DPIA: quando serve davvero (e quando no)

La DPIA non è un adempimento da fare sempre "per sicurezza": l'art. 35 GDPR la richiede solo quando un trattamento presenta un rischio elevato per i diritti delle persone. Farla quando non serve è tempo perso. Non farla quando serve è un rischio sanzionatorio concreto. Il punto, per chi produce macchine, è saper distinguere i due casi.

Cosa dice davvero l'art. 35

Il GDPR non chiede la DPIA per ogni trattamento di dati personali. La chiede quando il trattamento, per natura, oggetto, contesto e finalità, può comportare un rischio elevato per le persone fisiche. L'art. 35 GDPR indica alcuni criteri guida: valutazione sistematica e monitoraggio su larga scala di aree accessibili al pubblico, trattamento su larga scala di categorie particolari di dati, uso sistematico di nuove tecnologie con impatto significativo.

Non esiste una lista chiusa di trattamenti "da DPIA obbligatoria" nel testo dell'articolo: serve un giudizio motivato basato su questi criteri. Questo significa che non puoi copiare la checklist di un'altra azienda e considerarla valida per la tua: il contesto specifico del trattamento fa la differenza.

I casi tipici in fabbrica

Tre situazioni ricorrono spesso nel manifatturiero e meritano una verifica seria.

La videosorveglianza estesa, quando copre reparti con presenza costante di lavoratori o aree di passaggio ampie, rientra facilmente nel criterio del monitoraggio sistematico. Più telecamere coprono, più a lungo conservano, più il rischio sale.

I sistemi di manutenzione predittiva che raccolgono dati identificativi, non solo parametri macchina ma anche chi ha operato su un impianto, quando, con quali credenziali, introducono un profilo di tracciamento del lavoratore che va oltre la semplice diagnostica industriale.

L'IoT industriale che scambia dati con terzi, fornitori, manutentori esterni, piattaforme cloud di terze parti, moltiplica i soggetti che trattano gli stessi dati e complica il controllo su dove finiscono e chi vi accede.

se uno di questi sistemi coinvolge dati di dipendenti o di terzi su larga scala, la domanda da farsi non è "conviene fare la DPIA" ma "posso dimostrare di aver valutato correttamente il rischio se richiesto".

Una DPIA fatta bene, non solo fatta

Il problema più comune non è saltare la DPIA quando serve: è farla in modo formale, con misure di mitigazione generiche che non cambiano nulla nella pratica. Una DPIA che elenca "formazione del personale" e "policy interna" come uniche misure non regge a un controllo.

Una DPIA utile descrive misure concrete e verificabili: durata esatta di conservazione dei log video, ruoli specifici abilitati all'accesso ai dati di manutenzione, criteri di anonimizzazione o pseudonimizzazione applicati prima dell'invio a fornitori terzi, log di accesso ai sistemi IoT con retention definita. Se una misura non è misurabile o controllabile, non è una misura: è una dichiarazione di intenti.

Cosa succede se salti una DPIA obbligatoria

Il rischio non è solo formale. Il GDPR prevede un apparato sanzionatorio proporzionato alla gravità della violazione, e l'assenza di una DPIA dovuta è tra le carenze che un'autorità di controllo verifica per prima in caso di ispezione o di segnalazione.

In pratica, se un'ispezione parte da un reclamo di un dipendente su videosorveglianza o da un incidente su un sistema IoT che ha esposto dati di terzi, la prima domanda che arriva è: avete fatto la valutazione d'impatto? Se la risposta è no e il trattamento la richiedeva, la posizione dell'azienda si complica indipendentemente dall'esito del merito.

Cosa significa per te

• Mappa i trattamenti che coinvolgono videosorveglianza, manutenzione predittiva con dati identificativi e IoT con scambio dati verso terzi.
• Per ciascuno, verifica i criteri dell'art. 35 GDPR: scala del monitoraggio, categorie di dati, uso di nuove tecnologie.
• Se la DPIA è dovuta, scrivi misure di mitigazione con numeri e responsabilità precise, non enunciati generici.
• Conserva la DPIA aggiornata: un sistema che cambia configurazione o scala richiede una revisione, non un documento fermo all'installazione.
• Se un trattamento non supera i criteri di rischio elevato, documenta comunque perché hai escluso la DPIA: la motivazione ti tutela quanto la valutazione stessa.

Clausify verifica che i manuali tecnici riflettano correttamente i trattamenti dati effettivi delle macchine, un presupposto utile anche per capire dove la DPIA serve davvero.