La valutazione d’impatto sulla protezione dei dati (DPIA) è una procedura finalizzata a descrivere il trattamento, valutarne necessità e proporzionalità, e facilitare la gestione dei rischi per i diritti e le libertà delle persone fisiche derivanti dal trattamento dei loro dati personali.

L’art. 35 del GDPR al n. 1 precisa che “Quando un tipo di trattamento, allorché prevede in particolare l’uso di nuove tecnologie, considerati la natura, l’oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento effettua, prima di procedere al trattamento, una valutazione dell’impatto dei trattamenti previsti sulla protezione dei dati personali”.

La valutazione d’impatto sulla protezione dei dati deve essere effettuata dal titolare del trattamento avvalendosi, se nominato, del responsabile della protezione dei dati (DPO). Il principio di carattere generale prevede quindi l’obbligo soltanto se il trattamento è suscettibile di causare un rischio elevato evidenziando come elemento determinante l’uso di nuove tecnologie.

Sicuramente una delle funzioni della DPIA è quella di permettere al titolare di realizzare e dimostrare la conformità alla complessa normativa sulla protezione dei dati personali.

In altre parole, la valutazione di impatto può essere considerata come uno strumento utile per effettuare una valutazione del livello del rischio e determinare le misure idonee a mitigarlo.