Si tratta di un procedimento complesso e non privo di dubbi, che non va confusa con la valutazione del rischio, che della DPIA costituisce una parte fondamentale, ma non unica, e che serve, in sostanza, per comprendere se e come i rischi insiti in qualsivoglia trattamento (e a maggior ragione insiti in un trattamento su larga scala e così invasivo come quello della video sorveglianza) possano avere impatti sui diritti e le libertà fondamentali degli interessati, secondo alcuni criteri: scoring, decisioni automatizzate, monitoraggio regolare e sistematico, categorie particolari di dati, trattamenti su larga scala, dataset correlati, dati relativi a soggetti vulnerabili, soluzioni tecnologiche innovative, trasferimenti extra UE, caratteristiche e identificabilità dell’interessato.
Con una corretta valutazione di impatto si assicura la trasparenza nel trattamento e la sicurezza dei dati, sia da un punto di vista tecnico sia organizzativo, nel rispetto del principio di accountability che permea l’intero regolamento privacy. Senza una DPIA correttamente svolta, ogni impianto di videosorveglianza è soggetto a sanzione e di conseguenza il Comune ed i suoi dirigenti a responsabilità.
Vediamo quindi, nella pratica, come deve essere svolta una valutazione di impatto su un sistema di video sorveglianza.
I soggetti coinvolti
Dal punto di vista soggettivo, si occupano ed interessano della DPIA il Titolare, il DPO del Comune ed i Responsabili del trattamento, nonché gli amministratori di sistema, i soggetti installatori e chiunque abbia le competenze tecniche per “mettere le mani” nell’impianto di telecamere.
Il Titolare del trattamento è come sempre il soggetto richiamato alla responsabilità dal Regolamento. La sua partecipazione non è facoltativa, ma necessaria, pur se non sufficiente, per la redazione della DPIA. Che la rediga materialmente egli stesso (difficile) o che la deleghi a un dipendente o, più probabilmente, a un consulente esterno, il Titolare non può essere Ponzio Pilato e lavarsi le mani di quello che accade. Sarà lui, in caso di ispezione a dover dimostrare e illustrare le misure tecniche ed organizzative utilizzate, quindi sarà bene che le conosca.
Il Data Protection Officer, nel suo ruolo consultivo (art. 35 comma 2 del GDPR) e di sorveglianza del Regolamento (art 39 comma 1 lett. c) è chiamato dal Regolamento ad assistere il Titolare in questa procedura complessa. Attenzione: non è il DPO che redige la DPIA. Troppo spesso, infatti, si vedono Comuni che nominano un DPO perché non ne possono fare a meno (peraltro disponendo per la loro funzione una soglia di spesa da considerarsi offensiva) e poi lo “usano” come un consulente. Questo non è corretto dal punto di vista della accountability: il DPO verifica, controlla, dirige, indirizza e convalida, ma non può fare tutte queste cose se è lui stesso che ha redatto la DPIA, per un evidente problema di conflitto di interessi.
I responsabili del trattamento vanno coinvolti, in quanto l’impianto di videosorveglianza è certamente affidato ad una società esterna, che fornisce, installa e configura i dispositivi e pertanto non si può procedere senza di loro.
In alcuni casi piò essere caldamente consigliata una richiesta di parere agli interessati, che in questo caso sono i cittadini: si tratta di un’ottima dimostrazione di accountability e i rapporti tra PA e cittadini potrebbero trarne giovamento (si badi però che quest’ultimo punto è meramente opzionale e facoltativo).
Il contenuto minimo di una DPIA
Il contenuto minimo di una DPIA è sancito normativamente dall’art 35 comma 7 del GDPR, quindi almeno in questo il Comune si trova ad essere facilitato. La valutazione deve contenere almeno:
- una descrizione sistematica dei trattamenti previsti e delle finalità del trattamento, compreso, ove applicabile, l’interesse legittimo perseguito dal titolare del trattamento;
- una valutazione della necessità e proporzionalità dei trattamenti in relazione alle finalità;
- una valutazione dei rischi per i diritti e le libertà degli interessati di cui al paragrafo 1;
- le misure previste per affrontare i rischi, includendo le garanzie, le misure di sicurezza e i meccanismi per garantire la protezione dei dati personali e dimostrare la conformità al presente regolamento, tenuto conto dei diritti e degli interessi legittimi degli interessati e delle altre persone in questione.
Procedura
Raccolta delle informazioni per effettuare una descrizione puntuale del trattamento da svolgere: nel nostro caso quante telecamere verranno installate, di che tipo, con quali software e con quale tipo di tecnologia.
Descrizione dei trattamenti: quali finalità si pone il trattamento, quali interessati saranno coinvolti, quale base giuridica ha scelto il Titolare.
Valutazione della proporzionalità dei trattamenti: rispetto dei principi del GDPR, di minimizzazione e conservazione dei dati.
Data Flow: descrizione del flusso dei dati, per capire quali problemi possono sorgere e dove è possibile (o necessario) intervenire.
Revisione dei principi e dei diritti: principi del GDPR e diritti dell’interessato devono sempre essere il parametro secondo cui effettuare tutta la valutazione.
Identificazione dei rischi: questa è la fase più delicata. I rischi del trattamento vanno sempre valutati tenendo conto i diritti e le libertà fondamentali degli interessati e dai rischi è necessario approfondire di un ulteriore gradino e scendere all’impatto. Per esempio, se esiste il rischio che attraverso una certa telecamera installata in un certo posto particolare gli interessati vengano identificati in maniera inequivocabile perché la telecamera inquadra il volto, quale sarà l’impatto di questo rischio sugli interessati? Discriminazione? Scoring? Perdita di riservatezza? E così via. È necessario che il Titolare, con l’aiuto dei suoi consulenti, appronti prima le domande da porsi e per ogni domanda, a cui sarà attribuito un punteggio, deve essere collegata una misura di minimizzazione di quel rischio. Si parla di minimizzazione, perché è sostanzialmente impossibile che il rischio venga del tutto eliminato, ma la minimizzazione del rischio dovrà essere tale da rendere sostanzialmente nullo il verificarsi di quell’impatto. La minimizzazione, naturalmente, avviene attraverso l’approntamento di misure tecniche ed organizzative adeguate gestite dal Titolare (nel caso di cui sopra, per esempio: l’impatto si minimizza rendendo quella particolare telecamera inaccessibile a chicchessia tranne che al Titolare stesso del trattamento).
Realizzazione del rapporto: il tutto va documentato in un rapporto, che costituisce l’output della DPIA, che stabilirà se quel trattamento potrà essere effettuato o meno.
Il rischio residuo dovrà essere considerato “accettabile”. Solo nel caso in cui il rischio residuo abbia un impatto basso o nullo (difficile, meglio attestarsi sul basso e lì puntare: un rischio residuo zero potrebbe semplicemente significare che non tutti i parametri sono stati presi correttamente in considerazione) il trattamento potrà proseguire.
In caso contrario, il Titolare ha la scelta o di abbandonare il trattamento, oppure di consultare il Garante.
Ricordiamo che lo scopo di una DPIA non è quello di eliminare ogni rischio possibile, ma l’accettazione del rischio residuo come accettabile, nell’ottica della accountability del Titolare, anche in relazione ai benefici che quel trattamento può portare, non solo al Titolare stesso, ma anche agli interessati (incremento della sicurezza nei luoghi pubblici, prevenzione dei reati e delle infrazioni, controllo sulle aree sottoposte a raccolta differenziata per la tutela dell’ambiente e così via).
Del resto, come sempre, la base del vivere collettivo, sta proprio in quel pizzico di rinuncia alla propria libertà individuale in nome di un superiore bene comune.
PER APPROFONDIRE
CORSO ONLINE IN DIRETTA
La gestione del rischio cibernetico nella Pubblica Amministrazione – Un approccio metodologico: analisi delle vulnerabilità, gestione delle minacce e focus sulle Misure Minime AgID
Docente: Corrado Giustozzi
Corso online in diretta – Martedì 11 ottobre 2022, ore 9 – 16
