# Valutazione d’impatto sulla protezione dei dati (DPIA): quando è obbligatoria e come farla

URL: https://pulsaiq.com/it/guide/valutazione-impatto-protezione-dati/
Ultima revisione: 2026-11-04
Lingua: it
Base giuridica: GDPR, artt. 35 e 36

La direzione vuole avviare un sistema nuovo e qualcuno ha chiesto se «serve una DPIA». Questa guida la aiuta a rispondere in dieci minuti e, se la risposta è sì, a svolgere la valutazione d’impatto in circa una settimana di lavoro, con la fonte indicata per ogni regola.

## In due minuti

- **Faccia la DPIA prima di iniziare il trattamento**, mai dopo. È obbligatoria quando il trattamento può presentare un rischio elevato per le persone, soprattutto se usa nuove tecnologie. Art. 35, par. 1
- **Per capire se le serve, usi tre filtri:** i tre casi dell’art. 35, par. 3, i dodici punti dell’elenco del Garante e i nove criteri europei. Se il trattamento soddisfa due criteri, nella maggior parte dei casi la DPIA serve.
- **La DPIA ha quattro parti obbligatorie:** descrivere il trattamento, valutare se è necessario e proporzionato, valutare i rischi per le persone e decidere le misure che li riducono. Art. 35, par. 7
- **La svolge il titolare del trattamento.** Il DPO esprime un parere, il fornitore aiuta con le informazioni tecniche e, quando ha senso, si sentono le persone interessate. Art. 35, par. 2 e 9
- **Se dopo le misure il rischio resta elevato, consulti il Garante prima di iniziare.** Il Garante ha fino a otto settimane per rispondere, prorogabili di altre sei. Art. 36

## Per chi è questa guida

Per chi, in una PMI, deve decidere se un nuovo progetto richiede una valutazione d’impatto (DPIA), e per i responsabili della protezione dei dati (RPD o DPO) e i consulenti che seguono clienti e vogliono un metodo da ripetere ogni volta. Se segue più clienti, la <a href="/it/guide/dpo-esterno-piu-clienti/">guida per il DPO esterno con più clienti</a> spiega come dare un parere senza finire per prendere la decisione al posto loro.

**Per chi non è.** Per chi ha bisogno di un parere legale su un caso specifico. Questa guida spiega le regole e un metodo pratico, ma non sostituisce la consulenza di un professionista.


## La clinica che voleva il riconoscimento facciale all’ingresso

La Clínica Sorriso è una clinica odontoiatrica con 22 dipendenti. Un mese fa il direttore ha chiamato Inês, la DPO esterna della clinica: «Mettiamo il riconoscimento facciale all’ingresso. Ci faccia lei la valutazione d’impatto e la firmi, di lei ci fidiamo.»

Inês non ha firmato. Ha spiegato che la valutazione spetta alla clinica, ha consegnato un modello e si è impegnata a dare un parere scritto. Stamattina Sofia, la direttrice amministrativa, apre il modello per la prima volta. Ha in mano il preventivo del fornitore del sistema, una riunione con la direzione fissata fra tre settimane e nessuna idea di come cominciare.

Faremo la valutazione con lei, un passo alla volta.

La Clínica Sorriso, Sofia, Inês e gli altri personaggi sono inventati. Le norme, gli elenchi e le linee guida citati sono reali.


## Che cos’è una DPIA

La valutazione d’impatto sulla protezione dei dati (DPIA, dall’inglese data protection impact assessment) è un’analisi scritta, fatta prima di iniziare un trattamento, che risponde a quattro domande: cosa faremo con i dati, se dobbiamo davvero farlo in questo modo, cosa può andare storto per le persone e cosa facciamo per evitarlo (art. 35, par. 7).

Il GDPR ha sostituito il vecchio obbligo di notificare tutti i trattamenti all’autorità con questa valutazione, riservata ai trattamenti a rischio elevato (considerando 89 e 90). Per questo la DPIA non si invia al Garante per la protezione dei dati personali. Resta in azienda, pronta da esibire se il Garante la chiede, e gli viene trasmessa solo quando il rischio non si riesce a ridurre, nell’ambito della consultazione preventiva di cui parliamo più avanti.

In pratica una DPIA fatta bene fa risparmiare: modificare un progetto sulla carta costa meno che spegnere un sistema già acquistato perché il Garante lo ha giudicato illecito.


## Serve una DPIA? I tre filtri

Faccia passare il trattamento per tre filtri, in quest’ordine. Se uno qualsiasi risponde sì, la DPIA va fatta.

### Filtro 1: i tre casi del GDPR

La DPIA è obbligatoria (art. 35, par. 3), fra gli altri casi, quando c’è:

1. una valutazione sistematica e globale di aspetti personali, basata su un trattamento automatizzato (compresa la profilazione), da cui dipendono decisioni che hanno effetti giuridici sulla persona o incidono in modo analogo e significativo su di lei. Esempio: un sistema che nega un finanziamento in base a un punteggio automatico;
2. un trattamento su larga scala di categorie particolari di dati (salute, dati biometrici, origine etnica e altre) o di dati relativi a condanne penali e reati;
3. la sorveglianza sistematica su larga scala di una zona accessibile al pubblico, come la videosorveglianza di un centro commerciale.

La «larga scala» non comprende i dati dei pazienti o dei clienti di un singolo medico, professionista sanitario o avvocato. In questi casi la DPIA non dovrebbe essere obbligatoria (considerando 91).

### Filtro 2: l’elenco del Garante

Il Garante ha pubblicato l’elenco dei trattamenti che in Italia richiedono una DPIA, oltre ai tre casi appena visti. È l’[elenco delle tipologie di trattamenti soggetti al requisito di una valutazione d’impatto](https://www.garanteprivacy.it/garante/doc.jsp?ID=9058979), allegato 1 al provvedimento n. 467 dell’11 ottobre 2018, pubblicato nella Gazzetta Ufficiale n. 269 del 19 novembre 2018. In sintesi, l’elenco comprende:

1. Valutazioni o punteggi (scoring) su larga scala, anche predittivi e anche online o tramite app, su aspetti come rendimento professionale, situazione economica, salute, preferenze, affidabilità, comportamento o spostamenti. Esempio: un punteggio di affidabilità calcolato su tutti i clienti di una società di credito al consumo.
2. Decisioni automatizzate con effetti giuridici o che incidono in modo analogo e significativo sulla persona, anche quando le negano un diritto, un servizio o la prosecuzione di un contratto. Esempio: una piattaforma che respinge in automatico le richieste di finanziamento.
3. Monitoraggio sistematico delle persone, anche tramite reti, online o app, compresa la raccolta di identificativi univoci e metadati. Esempio: un’app che registra di continuo come e quando la usano i clienti.
4. Dati di natura estremamente personale trattati su larga scala, come quelli sulla vita privata o familiare, sulle comunicazioni elettroniche, sull’ubicazione o sulla situazione finanziaria. Esempio: la posizione di tutti gli utenti di un servizio di car sharing.
5. Trattamenti nel rapporto di lavoro con sistemi tecnologici, compresi videosorveglianza e geolocalizzazione, che permettono di controllare a distanza l’attività dei dipendenti. Esempio: la geolocalizzazione dei furgoni aziendali.
6. Trattamenti non occasionali di dati di persone vulnerabili: minori, persone con disabilità, anziani, infermi di mente, pazienti, richiedenti asilo. Esempio: le cartelle degli ospiti di una residenza per anziani.
7. Tecnologie innovative (Internet delle cose, intelligenza artificiale, assistenti vocali, dispositivi indossabili, tracciamento di prossimità come il wi-fi tracking), quando ricorre anche almeno un altro dei criteri europei del filtro 3. Esempio: braccialetti che inviano a un’app i parametri vitali degli ospiti di una casa di riposo.
8. Scambio di dati su larga scala tra titolari diversi, per via telematica. Esempio: una piattaforma su cui molte strutture sanitarie si passano i referti dei pazienti.
9. Interconnessione, combinazione o raffronto di informazioni, compreso l’incrocio dei dati di consumo digitale con quelli di pagamento. Esempio: unire la cronologia di navigazione di un e-commerce con i pagamenti e la carta fedeltà dei clienti.
10. Categorie particolari di dati (art. 9) o dati su condanne penali e reati (art. 10) collegati ad altri dati personali raccolti per finalità diverse. Esempio: incrociare l’anagrafica dei clienti di una palestra con dati sanitari provenienti da un’altra fonte.
11. Trattamenti sistematici di dati biometrici, tenendo conto del volume dei dati e della durata o persistenza del trattamento. Esempio: le impronte digitali per entrare in tutti i punti vendita di una catena.
12. Trattamenti sistematici di dati genetici, con gli stessi parametri. Esempio: test genetici proposti a tutti i clienti di un servizio di benessere.

Gli esempi sono nostri; il testo esatto di ogni punto è nel provvedimento del Garante (link nelle fonti). Nella [pagina sulla DPIA](https://www.garanteprivacy.it/valutazione-d-impatto-della-protezione-dei-dati-dpia-) il Garante precisa che «sistematici» e «non occasionali» (punti 6, 11 e 12) rimandano al criterio della larga scala, e che al punto 11 si parla di dati biometrici trattati per identificare in modo univoco una persona. L’elenco non è esaustivo: anche fuori dall’elenco, la DPIA resta obbligatoria quando ricorrono due o più criteri del filtro 3.

Il GDPR permette alle autorità anche di pubblicare un elenco dei trattamenti per cui la DPIA **non** è richiesta (art. 35, par. 5). Al 4 novembre 2026 non abbiamo trovato un elenco di questo tipo sul sito del Garante.

### Filtro 3: i nove criteri europei

Se il trattamento non rientra nei filtri 1 e 2, usi i nove criteri delle linee guida europee sulla DPIA (WP248), fatte proprie dal Comitato europeo per la protezione dei dati (EDPB) e richiamate dal Garante nel suo elenco:

1. valutare o assegnare un punteggio alle persone, compresa la profilazione e la previsione;
2. decisioni automatizzate con effetti giuridici o effetti analoghi significativi;
3. monitoraggio sistematico delle persone;
4. dati sensibili o di natura estremamente personale;
5. dati trattati su larga scala;
6. incrocio o combinazione di insiemi di dati raccolti per finalità diverse;
7. dati di persone vulnerabili, come minori, dipendenti, pazienti o anziani;
8. uso innovativo o applicazione di nuove soluzioni tecnologiche od organizzative, come «la combinazione dell’uso dell’impronta digitale e del riconoscimento facciale per un miglior controllo degli accessi fisici»;
9. trattamenti che impediscono alla persona di esercitare un diritto o di usare un servizio o un contratto.

La regola pratica delle linee guida: «Nella maggior parte dei casi, un titolare del trattamento può considerare che un trattamento che soddisfi due criteri debba formare oggetto di una valutazione d’impatto sulla protezione dei dati.» Se il rischio è evidente, può bastare anche un solo criterio.

Anche i dipendenti rientrano tra le persone vulnerabili, per lo squilibrio di potere con il datore di lavoro. Quasi ogni progetto che sorveglia o misura il loro lavoro soddisfa quindi già due criteri.

### Alcuni casi passati per i tre filtri

- **Riconoscimento facciale all’ingresso del personale della Clínica Sorriso.** Sì. Elenco del Garante, punto 7. Criteri 4, 7 e 8.
- **Software che registra l’attività dei dipendenti al computer e su internet.** Sì. Elenco del Garante, punto 5. Criteri 3 e 7.
- **Selezione automatica dei curriculum che scarta candidati senza revisione umana.** Sì. Art. 35, par. 3, lettera a. Criteri 1, 2 e 7.
- **Braccialetti che inviano al personale i parametri vitali degli ospiti di una residenza per anziani.** Sì. Elenco del Garante, punto 7. Criteri 4 e 7.
- **Archivio dei pazienti di uno studio medico con un solo medico.** Non è obbligatoria (considerando 91). Criteri 4 e 7, ma non c’è larga scala.
- **Newsletter mensile ai clienti che l’hanno chiesta.** No. Nessun criterio.

Gli esempi sono illustrativi: la decisione dipende dalle circostanze concrete di ogni trattamento.

### Se conclude che non serve, scriva perché

Quando un trattamento soddisfa qualche criterio ma lei conclude che il rischio non è elevato, metta per iscritto la motivazione e il parere del DPO: lo chiedono le stesse linee guida europee. Il posto giusto è la colonna «DPIA necessaria?» del <a href="/it/guide/registro-dei-trattamenti/">registro delle attività di trattamento</a>, con un «No, perché…» e la data.


## Chi fa che cosa

- **Titolare del trattamento.** Fa in modo che la DPIA venga svolta e decide. Può affidarla a qualcun altro, dentro o fuori l’organizzazione, ma la responsabilità resta sua (art. 35, par. 2).
- **DPO, se c’è.** Dà un parere sulla necessità della DPIA, sul metodo da seguire e sulla conformità delle conclusioni al GDPR. Il parere e le decisioni prese restano scritti nella DPIA (art. 35, par. 2; art. 39, par. 1, lettera c).
- **Responsabile del trattamento (il fornitore del sistema).** Fornisce al titolare le informazioni che gli servono per la valutazione (art. 28, par. 3, lettera f).
- **Persone interessate o loro rappresentanti.** Vengono sentite sul trattamento previsto, quando è opportuno (art. 35, par. 9).
- **Team interni (informatica, sicurezza, chi userà il sistema).** Spiegano come funziona il sistema e quali rischi vedono nel lavoro di tutti i giorni.

Il direttore della Clínica Sorriso voleva che fosse Inês a svolgere e firmare la DPIA. Le linee guida europee dicono invece che la DPIA spetta al titolare del trattamento e che il parere del DPO serve solo se è indipendente. Per questo la svolge Sofia, Inês dà il parere e la direzione decide.


## Il metodo in sei passi

Per un trattamento come quello della Clínica Sorriso, metta in conto una settimana di lavoro distribuita su due o tre settimane di calendario, perché dovrà aspettare le risposte del fornitore. Per un trattamento semplice bastano due o tre giorni.

### 1. Descriva il trattamento come se lo spiegasse a chi non l’ha mai visto

Scriva in una frase la finalità, poi quali dati raccoglie, di chi sono, da dove arrivano, dove vengono conservati, chi vi accede, per quanto tempo e quali fornitori intervengono. Se la base giuridica è il legittimo interesse, indichi qual è l’interesse perseguito (art. 35, par. 7, lettera a). Un semplice disegno del percorso dei dati, dalla telecamera al server, aiuta più di una pagina di testo.

Sofia chiede al fornitore tre risposte per iscritto: il sistema conserva fotografie o solo un modello matematico del volto? Dove si trova quel modello? Chi può vedere il registro degli ingressi? Scopre così che, nella versione del preventivo, i modelli dei 22 volti finiscono su un server del fornitore, fuori dalla clinica.

### 2. Si chieda se deve proprio farlo così

Spieghi quale problema risolve il trattamento e perché non esiste un modo meno invasivo per risolverlo (art. 35, par. 7, lettera b). Verifichi anche la base giuridica, se i dati sono solo quelli necessari, il periodo di conservazione e come informerà le persone.

Il problema della clinica sono i badge prestati tra colleghi e quelli persi. Un badge con codice personale risolverebbe quasi tutto.

In Italia, poi, la base giuridica va chiarita prima di tutto il resto. I dati biometrici si possono trattare solo se ricorre una delle condizioni dell’art. 9, par. 2, del GDPR e nel rispetto delle misure di garanzia disposte dal Garante (Codice privacy, d.lgs. 196/2003, art. 2-septies). Nel rapporto di lavoro la condizione è quella della lettera b, che richiede una norma di legge o un contratto collettivo con garanzie adeguate, mentre il consenso dei dipendenti, per lo squilibrio con il datore di lavoro, secondo il Garante di regola non è valido.

Per la rilevazione delle presenze il Garante ha già risposto: «Non esiste al momento alcuna norma che consenta l’uso di dati biometrici, come prevede il Regolamento, per svolgere una tale attività» (newsletter del 28 marzo 2024, con cinque società sanzionate), e lo ha ribadito con il provvedimento del 29 aprile 2026. Se il direttore volesse usare il sistema anche per misurare pause o presenze, quella finalità sarebbe quindi esclusa. Per il solo controllo degli accessi, Sofia deve indicare nella DPIA su quale norma si basa, ed è proprio su questo punto che Inês esprime il suo parere: senza una base giuridica il progetto si ferma qui, qualunque sia il rischio.

### 3. Valuti i rischi dal punto di vista delle persone

Il rischio che conta è quello per le persone di cui si trattano i dati, non quello per l’azienda (art. 35, par. 7, lettera c). Per ogni rischio pensi a cosa può succedere, con quale probabilità e con quale gravità. Tre domande aiutano a non dimenticare nulla: e se qualcuno senza autorizzazione accede ai dati? E se i dati vengono modificati o diventano sbagliati? E se spariscono o non sono più disponibili?

L’elenco di Sofia:

- una fuga dei modelli facciali è grave, perché un volto non si cambia come una password;
- il sistema potrebbe essere usato in seguito per controllare orari e pause, senza che nessuno l’abbia mai deciso;
- il sistema potrebbe non riconoscere una persona e lasciarla fuori dalla porta;
- un dipendente che non vuole far registrare il proprio volto potrebbe sentirsi senza scelta.

### 4. Decida le misure che riducono ogni rischio

Per ogni rischio scriva la misura, chi la applica ed entro quando (art. 35, par. 7, lettera d). Le misure più efficaci di solito cambiano il modo in cui il trattamento è progettato, invece di aggiungere un altro strato di sicurezza.

Le misure della clinica:

- il modello del volto è conservato nel badge di ciascun dipendente e confrontato solo nel lettore della porta, senza archivio centrale e senza fotografie;
- il contratto con il fornitore previsto dall’art. 28 stabilisce che il registro degli ingressi serve solo al controllo degli accessi;
- la porta si apre anche con badge e codice, per chi il sistema non riconosce e per chi non vuole usare il volto;
- i dipendenti ricevono l’informativa dell’art. 13 prima che il sistema entri in funzione, e la clinica raccoglie la loro opinione in una riunione (art. 35, par. 9).

### 5. Chiuda la DPIA con una decisione firmata

Dopo le misure, valuti il rischio che resta. Alleghi il parere del DPO e, se la direzione non lo segue, il motivo. La decisione finale spetta a chi dirige l’organizzazione e riporta nome e data.

Se il rischio che resta è ancora elevato, non inizi il trattamento: prima consulti il Garante.

Alla Clínica Sorriso, Inês conferma per iscritto che, con il modello conservato nel badge e l’alternativa con il codice, il rischio non è più elevato, e nello stesso parere ricorda che il sistema può partire solo se regge la base giuridica del passo 2. La direzione approva questa versione a quella condizione. Se la conclusione fosse stata opposta, la clinica avrebbe dovuto consultare il Garante prima di accendere il sistema.

### 6. Fissi la prossima revisione

La DPIA accompagna il trattamento finché esiste. La riveda almeno quando cambiano i rischi: un nuovo fornitore, più dati, una nuova finalità, un incidente (art. 35, par. 11). Le linee guida europee indicano che la DPIA «va riesaminata continuamente e rivalutata con regolarità», senza fissare una scadenza. Una revisione all’anno, più una a ogni cambiamento rilevante, è una routine ragionevole.


## Cosa deve contenere la DPIA

Usi questo elenco per verificare che la sua DPIA sia completa. I primi quattro punti sono il minimo previsto dalla legge; gli altri vengono dalle linee guida europee.

- **Descrizione.** Finalità, dati, persone coinvolte, destinatari, periodi di conservazione, sistemi e fornitori (art. 35, par. 7, lettera a).
- **Necessità e proporzionalità.** Base giuridica, dati minimi, periodi di conservazione, informativa alle persone e modo in cui esercitano i loro diritti (art. 35, par. 7, lettera b).
- **Rischi.** Ogni rischio con l’origine, la probabilità e la gravità per le persone (art. 35, par. 7, lettera c).
- **Misure.** Misure, garanzie e procedure, ciascuna con un responsabile e una scadenza (art. 35, par. 7, lettera d).
- **Parere del DPO.** Scritto, datato, con quello che la direzione ha deciso al riguardo.
- **Opinione delle persone interessate.** Come sono state sentite, o perché non era opportuno sentirle.
- **Decisione.** Rischio residuo, approvazione con nome e data, consultazione del Garante se necessaria.
- **Revisione.** Data della prossima revisione e cosa la farebbe anticipare.

Una sola DPIA può coprire più trattamenti simili, con rischi elevati simili (art. 35, par. 1). Una rete di cliniche che usa lo stesso sistema a tutti gli ingressi può fare un’unica valutazione per tutte.


## Sei errori che rendono inutile la DPIA

- **Farla dopo aver comprato il sistema.** A quel punto nessuno vuole più sentirsi dire che il progetto andava cambiato. La legge chiede la DPIA prima del trattamento.
- **Valutare il rischio per l’azienda.** Sanzioni e reputazione non sono ciò che la DPIA misura. Conta quello che può succedere alle persone.
- **Saltare la necessità.** Molte DPIA descrivono il sistema e passano subito alla sicurezza, senza chiedersi se c’era un modo meno invasivo di ottenere lo stesso risultato.
- **Copiare la documentazione del fornitore.** Il fornitore conosce il prodotto, ma non il contesto, i dipendenti e i clienti della sua azienda.
- **Far svolgere e firmare la DPIA al DPO.** Il DPO esprime un parere. Se svolge lui la valutazione, non può più controllarla in modo imparziale.
- **Archiviarla e dimenticarla.** Una DPIA del 2021 su un sistema che nel frattempo ha cambiato fornitore e finalità non descrive più la realtà.


## Quando il rischio non scende: la consultazione preventiva del Garante

Se la DPIA mostra che il trattamento presenterebbe un rischio elevato in assenza di misure del titolare, e le misure non bastano ad abbassarlo, deve consultare il Garante **prima** di iniziare il trattamento (art. 36, par. 1; considerando 94).

Il Garante non ha un modulo dedicato: al 4 novembre 2026 la consultazione preventiva non compare né nella pagina [Modulistica e servizi online](https://www.garanteprivacy.it/home/modulistica-e-servizi-online) né in quella sulla DPIA. La pagina [Contatti](https://www.garanteprivacy.it/home/footer/contatti) indica come recapiti l’indirizzo PEC protocollo@pec.gpdp.it, che accetta solo messaggi di posta elettronica certificata, e l’indirizzo email protocollo@gpdp.it. In queste pagine non abbiamo trovato diritti o tariffe da pagare. Alleghi alla richiesta la DPIA completa, con le misure previste per ridurre il rischio.

Se il Garante ritiene che il trattamento violerebbe il GDPR, fornisce un parere scritto entro otto settimane dal ricevimento della richiesta. Per i trattamenti complessi il termine può essere prorogato di sei settimane, e il Garante comunica la proroga entro un mese. I termini restano sospesi finché il Garante non ottiene le informazioni che ha chiesto (art. 36, par. 2).

Con la proroga possono quindi passare 14 settimane prima della risposta, senza contare le sospensioni. Pianifichi l’avvio con questo margine e non cominci il trattamento mentre aspetta.


## Modelli e strumenti gratuiti

Non serve inventarsi un modulo: questi modelli vengono da fonti ufficiali.

- **[EDPB, modello di DPIA](https://www.edpb.europa.eu/public-consultations/template-for-data-protection-impact-assessment_en)** (Word, con nota esplicativa). È pensato come base comune per le autorità europee: l’EDPB scrive che le autorità lo adotteranno come modello unico o come «meta-template» per quelli nazionali. È disponibile solo in inglese ed è la versione 1, di aprile 2026: la consultazione pubblica si è chiusa il 9 giugno e la versione definitiva non è ancora stata pubblicata. Non è obbligatorio.
- **[CNIL, software PIA](https://www.cnil.fr/fr/outil-pia-telechargez-et-installez-le-logiciel-de-la-cnil)**. Programma open source che guida la DPIA passo per passo, disponibile in italiano: secondo il Garante, la versione italiana è stata messa a punto anche con la sua collaborazione. Segue il metodo della CNIL, l’autorità francese per la protezione dei dati.
- **CNIL, guide PIA:** [metodo](https://www.cnil.fr/sites/default/files/atoms/files/cnil-pia-1-fr-methode.pdf), [modelli](https://www.cnil.fr/sites/default/files/atoms/files/cnil-pia-2-fr-modeles.pdf) e [basi di conoscenza](https://www.cnil.fr/sites/default/files/atoms/files/cnil-pia-3-fr-basesdeconnaissances.pdf). Esempi di rischi e di misure da cui prendere spunto per l’analisi. In francese.
- **[Linee guida WP248](https://ec.europa.eu/newsroom/article29/items/611236)** (sul sito della Commissione europea, con le versioni linguistiche, italiano compreso). Contengono i nove criteri e l’elenco di ciò che deve avere una DPIA accettabile (allegato 2). Non sono un modello da compilare.

Se è DPO e ha più clienti, scelga un modello e lo usi con tutti. Quello dell’EDPB è il candidato naturale, perché è la base che useranno le autorità europee.

Pulsaiq non ha ancora un kit per la DPIA. Per ora il <a href="/it/risorse/modello-registro-dei-trattamenti/">kit del registro delle attività di trattamento</a> ha la colonna «DPIA necessaria?», da cui partire per capire quali trattamenti valutare per primi.


## Gli elenchi potrebbero diventare europei. Non è ancora legge.

Il Digital Omnibus, proposto dalla Commissione europea a novembre 2025 (COM(2025) 837), prevede elenchi comuni dell’UE dei trattamenti che richiedono, o non richiedono, una valutazione d’impatto. Nel mandato negoziale approvato il 21 ottobre 2026, il Consiglio va oltre: un elenco unico dell’UE sostituirebbe gli elenchi nazionali, e diventerebbe obbligatorio anche un elenco dei trattamenti esclusi (considerando 40 del mandato, documento 14756/26). Il Parlamento europeo non ha ancora adottato la sua posizione.

**Cosa significa per lei oggi:** finché non ci sarà un testo definitivo pubblicato nella Gazzetta ufficiale, valgono l’elenco del Garante e i criteri europei di questa guida. Le altre novità del pacchetto sono nell’<a href="/it/blog/digital-omnibus-data-breach-diritto-accesso/">articolo sul Digital Omnibus</a>.

**E l’intelligenza artificiale?** Se userà un sistema di IA ad alto rischio, l’AI Act le chiede di usare le informazioni del fornitore per svolgere la DPIA (regolamento (UE) 2024/1689, art. 26, par. 9). Alcuni deployer, come gli enti pubblici e chi usa l’IA per valutare il merito creditizio, devono fare anche una valutazione d’impatto sui diritti fondamentali (art. 27). Queste regole si applicano dal 2 dicembre 2027 nei settori dell’allegato III. Il resto è spiegato nell’<a href="/it/blog/cose-l-ai-act/">articolo sull’AI Act</a>.


## Checklist: la sua DPIA è pronta?

- Ha fatto passare il trattamento per i tre filtri e ha annotato il risultato, anche quando la risposta era no.
- La DPIA è stata fatta prima dell’avvio del trattamento.
- La descrizione dice quali dati, di chi, per cosa, dove sono conservati, chi vi accede e per quanto tempo.
- Ha spiegato perché non c’è un modo meno invasivo di ottenere lo stesso risultato.
- I rischi sono scritti dal punto di vista delle persone, con probabilità e gravità.
- Ogni rischio ha una misura, un responsabile e una scadenza.
- Il fornitore ha dato per iscritto le informazioni tecniche che servivano.
- Il DPO ha dato un parere scritto, e la decisione su quel parere è stata registrata.
- Le persone interessate o i loro rappresentanti sono stati sentiti, oppure è scritto perché non era opportuno.
- La decisione finale ha nome e data e dice se il rischio residuo è elevato.
- Se il rischio resta elevato, la consultazione preventiva del Garante è stata fatta prima dell’avvio.
- C’è una data per la prossima revisione.


## Domande frequenti

### Una PMI deve fare valutazioni d’impatto?

Solo per i trattamenti a rischio elevato, a prescindere dalle dimensioni dell’azienda. Una clinica di 22 persone che vuole usare il riconoscimento facciale ha bisogno di una DPIA; una multinazionale che manda una newsletter a chi l’ha chiesta non ne ha bisogno per quel trattamento.

### Devo inviare la DPIA al Garante?

No, la DPIA resta in azienda. Va trasmessa solo con la consultazione preventiva, quando il rischio resta elevato, oppure se il Garante la chiede.

### Il DPO può svolgere la DPIA?

Non dovrebbe. La DPIA spetta al titolare del trattamento e il DPO esprime un parere su di essa (art. 35, par. 2, e art. 39, par. 1, lettera c). Può fornire il modello e seguire il lavoro, ma agli atti la decisione deve risultare come decisione dell’organizzazione.

### Ogni quanto devo rivedere la DPIA?

La legge non fissa una scadenza. Impone di rivederla almeno quando cambiano i rischi (art. 35, par. 11), e le linee guida europee chiedono di rivalutarla con regolarità. Una revisione all’anno più una a ogni cambiamento rilevante soddisfa entrambe le indicazioni.

### Una DPIA può valere per più trattamenti?

Sì, se sono simili e presentano rischi elevati simili (art. 35, par. 1). Conviene a chi usa lo stesso sistema in più negozi, cliniche o uffici.

### Devo pubblicare la DPIA?

Non è obbligatorio. Le linee guida europee suggeriscono di pubblicarne almeno una sintesi o le conclusioni, perché così le persone vedono che il rischio è stato preso in considerazione.

### Posso già usare il modello dell’EDPB?

Sì. L’EDPB incoraggia le organizzazioni a usarlo e precisa che non è obbligatorio. È alla versione 1, di aprile 2026, e la versione definitiva potrà contenere modifiche.


## Fonti

### Legislazione dell’UE e italiana

- [Regolamento (UE) 2016/679 (GDPR)](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32016R0679), articoli 9, 13, 28, 35, 36 e 39 e considerando 89, 90, 91 e 94 (EUR-Lex)
- [Codice in materia di protezione dei dati personali (d.lgs. 196/2003)](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2003-06-30;196), art. 2-septies (Normattiva)
- [Regolamento (UE) 2024/1689 (AI Act)](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32024R1689), articoli 26 e 27 (EUR-Lex)

### Autorità di controllo

- [Garante, elenco delle tipologie di trattamenti soggetti a valutazione d’impatto (provvedimento n. 467 dell’11 ottobre 2018)](https://www.garanteprivacy.it/garante/doc.jsp?ID=9058979), Gazzetta Ufficiale n. 269 del 19 novembre 2018
- [Garante, Valutazione d’impatto della protezione dei dati (DPIA)](https://www.garanteprivacy.it/valutazione-d-impatto-della-protezione-dei-dati-dpia-)
- [Garante, newsletter del 28 marzo 2024 sul riconoscimento facciale per il controllo delle presenze](https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9997208)
- [Garante, provvedimento n. 107 del 22 febbraio 2024](https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9995741), riconoscimento facciale per la rilevazione delle presenze
- [Garante, provvedimento n. 372 del 29 aprile 2026](https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/10292720), riconoscimento facciale per la rilevazione delle presenze
- [Garante, Modulistica e servizi online](https://www.garanteprivacy.it/home/modulistica-e-servizi-online)
- [Garante, Contatti](https://www.garanteprivacy.it/home/footer/contatti)
- [Gruppo di lavoro Articolo 29, Linee guida in materia di valutazione d’impatto sulla protezione dei dati (WP248 rev.01)](https://ec.europa.eu/newsroom/article29/items/611236), modificate e adottate da ultimo il 4 ottobre 2017, fatte proprie dall’EDPB
- [EDPB, notizia sul modello di DPIA](https://www.edpb.europa.eu/news/enhancing-compliance-and-consistency-edpb-adopts-dpia-template_en), 14 aprile 2026 (in inglese)
- [EDPB, consultazione pubblica sul modello di DPIA](https://www.edpb.europa.eu/public-consultations/template-for-data-protection-impact-assessment_en), con il modello e la nota esplicativa (in inglese)
- [CNIL, software PIA](https://www.cnil.fr/fr/outil-pia-telechargez-et-installez-le-logiciel-de-la-cnil)
- [CNIL, Ce qu'il faut savoir sur l'AIPD](https://www.cnil.fr/fr/ce-quil-faut-savoir-sur-lanalyse-dimpact-relative-la-protection-des-donnees-aipd) (in francese)

### Proposte in corso

- [Commissione europea, proposta COM(2025) 837](https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:52025PC0837), Digital Omnibus
- [Consiglio dell’UE, mandato negoziale, documento 14756/26](https://data.consilium.europa.eu/doc/document/ST-14756-2026-INIT/en/pdf), 22 ott 2026
- [Parere congiunto EDPB-GEPD 2/2026 sul Digital Omnibus](https://www.edpb.europa.eu/system/files/documents/2026-02/edpb_edps_jointopinion_202602_digitalomnibus_en.pdf) (in inglese)

**Ultima revisione:** 4 novembre 2026. Aggiorniamo questa guida ogni volta che cambiano la legge o le indicazioni delle autorità.

Questa guida è un’informazione generale sul GDPR e non costituisce consulenza legale. Per decisioni su un caso specifico, si rivolga a un professionista qualificato. I personaggi e le aziende degli esempi sono inventati.