Quando è obbligatoria una DPIA: guida alla decisione

Capire quando è obbligatoria una DPIA significa decidere prima dell'avvio se il trattamento proposto può presentare un rischio elevato per i diritti e le libertà delle persone ¹. Non basta classificare il progetto come “nuovo” o “digitale”: il punto di partenza è il trattamento effettivo, osservato nella sua natura, nel suo oggetto, nel contesto e nelle finalità.

La verifica combina i casi espressamente indicati dall'articolo 35 ¹ con i criteri delle linee guida WP248 ². Il risultato deve essere una decisione motivata, non una casella spuntata dopo il lancio.

Il fascicolo rende quindi visibili il perimetro deciso, le prove disponibili, le incertezze ancora aperte e la persona che può risolverle. Questa disciplina consente di intervenire mentre finalità, raccolta, accessi e garanzie sono ancora modificabili, e permette a un revisore successivo di distinguere una conclusione fondata da una semplice impressione del gruppo.

La decisione conserva anche la versione dei fatti, affinché ogni cambiamento successivo sia confrontato con una base identificabile e non con ricordi informali.

Risposta rapida Quando è obbligatoria una DPIA? Prima di iniziare un trattamento probabilmente ad alto rischio, applica i casi dell'articolo 35, i criteri WP248 e gli elenchi dell'autorità competente. Registra fatti, parere, responsabile e riesame. La conclusione può essere sì oppure no, ma deve rimanere motivata e verificabile.

Ultimo aggiornamento: 26 agosto 2026

Il rischio probabile viene prima dello strumento

La scheda iniziale dovrebbe raccontare l'intero trattamento con un confine unico, collegando persone, categorie di dati, fonti, destinatari, durata, scala, decisioni e possibili conseguenze, perché solo questa vista rende confrontabili rischio e garanzie; nominare separatamente ciò che è confermato, stimato o ancora ignoto consente inoltre di intervenire prima dell'avvio senza trasformare una tecnologia nuova in prova automatica né la dimensione dell'impresa in esenzione implicita.

La domanda corretta non è se il progetto utilizzi intelligenza artificiale, profilazione o una piattaforma nuova. Occorre chiedere se il trattamento proposto, considerato nel suo insieme, è probabilmente ad alto rischio per diritti e libertà ¹. La tecnologia è un elemento del contesto, non un interruttore automatico.

Definisci con precisione persone interessate, categorie di dati, operazioni, destinatari, durata, scala e decisioni prodotte. L'articolo 35 collega la valutazione a natura, oggetto, contesto e finalità ¹. Un'attività ordinaria può cambiare profilo quando cresce la scala, combina archivi prima separati o incide su persone che non possono ragionevolmente sottrarsi.

La valutazione avviene prima del trattamento ¹. Questo momento conta: una DPIA non serve a giustificare retroattivamente una soluzione già scelta, ma a modificare disegno, accessi, raccolta e garanzie mentre le alternative sono ancora praticabili. Il gruppo di progetto dovrebbe quindi aprire la verifica quando descrive il flusso reale, non alla vigilia della messa in esercizio.

Una breve scheda iniziale rende visibili due errori opposti: dichiarare “DPIA sempre” alla comparsa di una tecnologia sofisticata oppure “DPIA mai” perché l'impresa è piccola. Entrambe le scorciatoie cancellano persone, dati, scala e conseguenze dal ragionamento. La scheda deve invece collegare ogni fatto al rischio concreto e indicare ciò che resta da verificare; la dimensione dell'organizzazione può influire sulla scala, ma non crea né elimina da sola il rischio elevato.

I tre casi che impongono una verifica immediata

Per ciascuno dei tre casi occorre verificare tutti gli elementi della formulazione, non soltanto riconoscerne il nome: quale valutazione viene svolta, quanto è estesa, quale effetto produce, quali dati comprende, quale scala raggiunge oppure quale area viene osservata. Se un elemento resta incerto, il caso non è ancora risolto e la verifica deve concludersi prima dell'avvio.

La tabella separa requisiti cumulativi che un'etichetta commerciale potrebbe confondere. Se manca un requisito, annota quale e perché; se ricorrono tutti, la conseguenza è una DPIA prima del trattamento. Nel primo caso devono ricorrere una valutazione sistematica ed estesa basata su trattamento automatizzato e decisioni con effetti giuridici o analogamente significativi. Nel secondo, le categorie dell'articolo 9 o i dati dell'articolo 10 devono essere trattati su larga scala. Nel terzo, il monitoraggio di un'area accessibile al pubblico deve essere sistematico e su larga scala. Così l'assenza di una parola nella descrizione non nasconde una combinazione che soddisfa davvero il caso obbligatorio.

L'articolo 35 individua tre famiglie in cui la DPIA è richiesta ¹. La tabella serve a verificare i fatti essenziali, senza ridurre formulazioni cumulative a parole isolate.

Le linee guida spiegano come leggere questi casi insieme al test generale ², e la loro adozione resta visibile nel quadro dell'EDPB ³. Un termine come “profilazione” non basta senza la valutazione sistematica, l'estensione e l'effetto significativo richiesti dal caso pertinente ¹. Analogamente, la presenza di dati dell'articolo 9 non rende completa l'analisi se manca la verifica della larga scala.

Prima si definisce il trattamento, poi si verificano i casi obbligatori ¹. Se nessuno ricorre, si esaminano criteri ed elenchi ²; un risultato positivo o un rischio elevato probabile porta alla DPIA. In caso contrario si registra la motivazione, mentre un rischio residuo elevato dopo la DPIA può richiedere consultazione e ogni percorso conserva una condizione di riesame.

Tratta la tabella come un controllo di completezza. Per ogni riga annota quali prove mostrano scala, sistematicità, effetti o categorie di dati. Una descrizione che dice soltanto “non applicabile” non permette a chi riesamina la decisione di capire quale elemento mancasse.

Nove criteri per rendere visibili i rischi combinati

I criteri sono soprattutto una lente sulle interazioni. Un archivio ampio diventa più incisivo se viene collegato a dati molto personali; per persone vulnerabili, una valutazione o un monitoraggio possono essere più difficili da contestare. La combinazione va quindi tradotta nella conseguenza concreta e nelle misure che ne riducono probabilità o gravità, senza moltiplicare meccanicamente il conteggio.

Il valore della griglia di valutazione sta nella descrizione, non nel totale. Per ogni criterio il gruppo registra quale persona può subire quale conseguenza, con quale probabilità, per quanto tempo e con quali possibilità di opposizione o rimedio. Considera poi come i criteri si rafforzano tra loro: una riga vuota segnala un'analisi mancante, mentre un no motivato conserva il fatto osservato che permette a un revisore di confermarlo o riaprirlo.

Quando nessun caso obbligatorio chiude già la decisione, i criteri WP248 aiutano a leggere combinazioni che una descrizione sommaria nasconde ². L'EDPB ha mantenuto queste linee guida tra quelle approvate ³.

Due criteri indicano normalmente la necessità di una DPIA e più criteri rendono il rischio elevato più probabile ². Il totale deve essere letto insieme all'intensità e alle interazioni documentate. Questa è guida approvata dall'EDPB, non una soglia numerica inserita nell'articolo 35 ³. Un solo criterio può comunque bastare quando la sua intensità è tale da rendere probabile un rischio elevato.

Non trasformare il conteggio in un voto. Per ciascun criterio annota il fatto, la fonte interna e la conseguenza: ad esempio, il numero di interessati non descrive da solo la larga scala se mancano durata, volume dei dati ed estensione. L'obiettivo è permettere una decisione argomentata e ripetibile.

Gli elenchi dell'autorità completano il test

La prova degli elenchi dovrebbe essere ripetibile senza trasformarsi in una guida nazionale: identifica internamente l'autorità competente, la versione e la data, registra il risultato del confronto positivo e negativo e conserva il ragionamento sul perché la voce coincide o non coincide con l'operazione; in questo modo il lettore applica il metodo nel proprio contesto senza ricevere un elenco, un collegamento o una regola locale che potrebbe non appartenergli.

L'articolo 35 prevede elenchi di trattamenti per i quali è richiesta una DPIA e consente anche elenchi di trattamenti che non la richiedono ¹. Per questo il fascicolo deve registrare quale autorità competente e quale versione degli elenchi sono state controllate, insieme alla data.

Qui non esiste una lista nazionale universale da copiare. L'autorità competente dipende dal contesto del trattamento e gli elenchi possono cambiare. Il metodo corretto è verificare sia l'elenco positivo sia quello negativo pertinente, senza inventare esempi nazionali o sostituire il testo effettivo con una memoria generica.

Un elenco positivo può risolvere la decisione anche quando il gruppo aveva contato pochi criteri. Un elenco negativo, invece, non autorizza a ignorare fatti nuovi che rendano comunque probabile un rischio elevato. Conserva il collegamento o il riferimento usato nel fascicolo interno, ma non trasformarlo in una regola valida per tutti i paesi.

Il ramo “no” è una conclusione reale

Il ramo negativo vale entro un confine preciso: nessun caso obbligatorio completo, criteri assenti o deboli, elenchi controllati e rischio complessivo non elevato. Un elemento ancora incerto non conta come assente e deve essere risolto prima dell'avvio. La conclusione indica inoltre quali cambiamenti la renderebbero invalida, perché autorizza a procedere soltanto finché restano veri i fatti esaminati.

La distinzione tra esempio e porto sicuro è essenziale. Un elenco limitato usato solo per comunicazioni proprie descrive alcuni fatti, non una categoria sempre esclusa; se vengono aggiunti tracciamento, incrocio, nuove finalità o persone vulnerabili, il confronto riparte dalla versione aggiornata. Il valore del ramo negativo consiste nel rendere evidente questa differenza e nel lasciare una base concreta per il riesame.

Volume, durata, persone, dati e finalità delimitano quel confine. Casi obbligatori, criteri ed elenchi spiegano invece perché il rischio non risulta elevato nel perimetro descritto. Il progetto può procedere soltanto con quella configurazione: nuove fonti, un uso ulteriore o una platea più ampia non ereditano automaticamente il no. Tenere separati fatti e conclusione impedisce che un esempio semplice diventi un'esenzione generale per categoria o dimensione.

Una valutazione corretta deve poter terminare con un no. L'articolo 35 non crea un'esenzione generale per le piccole imprese ¹, ma neppure trasforma ogni trattamento ordinario in alto rischio. Il sì e il no dipendono dagli stessi fatti verificabili.

Una lista limitata di clienti usata dall'impresa per comunicazioni proprie può, secondo contesto, restare lontana dalla profilazione sistematica, dalla larga scala e dai dati sensibili ². Non è però un porto sicuro: frequenza, combinazione con altri archivi, tracciamento e vulnerabilità possono cambiare l'esito. Anche una mailing list richiede quindi una descrizione, non un'etichetta.

Il ramo no motivato spiega quali casi obbligatori non ricorrono, quali criteri sono stati esaminati e perché la realtà operativa rende improbabile il rischio elevato ². Non conclude mai che una categoria di progetto sia esclusa per sempre: collega invece l'esito agli elementi che, se cambiassero, riaprirebbero il test.

Se aumentano scala o osservazione, oppure cambiano le categorie di dati, il confronto con il perimetro precedente mostra quale elemento ha riaperto la valutazione. Il riesame parte quindi dalla variazione osservata, non da una presunzione che il vecchio no continui a valere.

Una decisione difendibile ha responsabile e data

Ogni voce del registro ha un'identità operativa. La fonte indica dove il fatto può essere ricontrollato, il responsabile risponde della sua accuratezza, la data colloca la conclusione nel tempo e la condizione di riesame stabilisce quando la stessa prova non basta più. Le opinioni professionali restano distinguibili dai fatti e dalla decisione finale, così nessun parere viene interpretato come trasferimento della responsabilità del trattamento.

Il registro dovrebbe permettere a chi non ha partecipato alla riunione di ricostruire la sequenza completa: attività, evidenze, test dell'articolo 35, criteri, elenchi, parere del DPO quando applicabile, conclusione, motivazione, responsabile, data e condizione di riesame. Conservare le versioni di questi elementi evita che una nuova finalità o fonte venga valutata con una decisione vecchia e rende visibile chi deve riaprire il fascicolo.

Il fascicolo minimo descrive attività e confini, persone coinvolte, dati, finalità e flussi. Collega questi fatti al test dell'articolo 35 e ai criteri esaminati ². Se una persona indipendente non riesce a ricostruire la decisione, la registrazione contiene una conclusione senza prova.

Registra anche il controllo degli elenchi pertinenti ¹, la versione consultata e il risultato. Quando è applicabile, includi il parere del responsabile della protezione dei dati ², distinguendo il contributo professionale dalla responsabilità finale del titolare del trattamento.

Chiudi con conclusione, motivazione, responsabile, data e condizione di riesame. Un evento concreto può essere una nuova fonte di dati, un aumento di scala, una diversa decisione automatizzata o una modifica delle persone interessate. Non serve prevedere ogni futuro: serve rendere osservabile il momento in cui i fatti non sono più quelli valutati.

La decisione non deve essere dispersa tra messaggi e verbali. Un unico fascicolo con versioni consente di mostrare perché il trattamento è partito, quali condizioni lo sostenevano e chi deve intervenire quando una condizione cambia.

Se serve, la DPIA deve guidare il progetto

Il collegamento tra le quattro parti va reso esplicito. Ogni rischio rimanda a una fase del flusso e a una possibile conseguenza per le persone; ogni misura indica quale rischio affronta, chi la attua e come sarà verificata. Se una garanzia riduce soltanto la probabilità ma non la gravità, il rischio residuo deve mostrarlo. Questa tracciabilità consente di scegliere tra modifica, ulteriore salvaguardia, sospensione e, quando ne ricorrono le condizioni, consultazione preventiva.

I quattro contenuti non sono capitoli isolati, ma una catena: la descrizione fissa ciò che viene valutato, necessità e proporzionalità verificano se quel disegno è giustificato, i rischi traducono il flusso in possibili effetti sulle persone e le misure rispondono a effetti specifici, con un rischio residuo esplicito; se il documento non mostra questi collegamenti, una lunga lista di controlli può ancora lasciare senza risposta la decisione che ha aperto la valutazione.

Una DPIA non è soltanto la conferma che il rischio esiste. L'articolo 35 richiede contenuti capaci di cambiare il progetto ¹. Le linee guida collegano la valutazione a un processo che accompagna la progettazione ².

• descrizione sistematica delle operazioni previste e delle finalità, compreso l'eventuale interesse legittimo perseguito dal titolare;
• valutazione della necessità e proporzionalità delle operazioni rispetto alle finalità;
• valutazione dei rischi per i diritti e le libertà delle persone interessate;
• misure previste per affrontare i rischi, comprese garanzie, sicurezza e meccanismi per dimostrare la conformità.

Questi quattro elementi provengono dall'articolo 35 ¹. La descrizione impedisce che una misura generica venga applicata a un flusso non definito; la necessità e proporzionalità chiedono se quantità, durata e accessi sono davvero richiesti ². La valutazione dei rischi considera conseguenza e probabilità per le persone, mentre le misure devono rispondere ai rischi identificati.

Quando appropriato, occorre cercare il punto di vista delle persone interessate o dei loro rappresentanti ². Il coinvolgimento non sostituisce il giudizio del titolare e non trasforma il consenso in una soluzione universale. Serve a scoprire effetti pratici che la sola progettazione interna può non vedere.

Se, dopo le misure, rimane un rischio elevato, l'articolo 36 può aprire la consultazione preventiva prima del trattamento ¹. Non si aspetta il problema reale per verificare questa conseguenza. La DPIA dovrebbe mostrare chiaramente il rischio iniziale, le misure, il rischio residuo e la decisione successiva.

Il modello EDPB è facoltativo

Il Comitato europeo per la protezione dei dati ha adottato un modello DPIA il 14 aprile 2026, lasciando espressamente ai titolari la scelta della metodologia DPIA ⁴. Il modello non è quindi obbligatorio e non crea un nuovo presupposto ai sensi dell’articolo 35. Offre una struttura gratuita a chi non dispone di un metodo interno e un controllo incrociato a chi ne usa già uno. La consultazione si è chiusa il 9 giugno 2026; la pagina ufficiale afferma ancora che il modello sarà finalizzato dopo la consultazione ⁵.

Il riesame segue i cambiamenti operativi

Il responsabile registra l'evento, confronta le versioni e indica quale parte del rischio deve essere valutata nuovamente.

Una condizione di riesame utile è osservabile e affidata a un responsabile: per esempio, una nuova finalità, un'altra categoria di dati, una scala maggiore, una diversa fonte, un nuovo destinatario, una modifica della logica decisionale o una garanzia rimossa. Confrontare la versione nuova con quella precedente permette di riesaminare solo ciò che cambia, senza trattare la DPIA come un modulo statico né sostituire l'analisi con una scadenza ricorrente priva di evidenza.

L'articolo 35 richiede un riesame quando cambia il rischio rappresentato dalle operazioni ¹. Le linee guida descrivono la DPIA come un processo continuo ², non come un documento da archiviare appena firmato.

Collega quindi il riesame a eventi osservabili: nuova finalità, nuova categoria di dati, più persone, durata maggiore, nuova fonte, diverso fornitore, nuova logica decisionale o misure ridotte. Aggiungi una revisione periodica solo se ha un responsabile e una finalità; una data ricorrente senza confronto dei fatti produce rituale, non controllo ².

Tre esempi mostrano perché i fatti contano

Ogni esito resta quindi condizionato al perimetro e alla qualità della prova disponibile nel momento della decisione.

Gli esempi funzionano solo se il gruppo conserva anche i passaggi intermedi. Nel primo caso deve provare come la valutazione alimenta la decisione e quale intervento umano può realmente modificarla. Nel secondo deve mostrare che volume, frequenza e uso restano limitati; nel terzo deve spiegare come localizzazione, profili e vulnerabilità si combinano. Senza questi passaggi, tre etichette diverse produrrebbero tre conclusioni apparenti invece di tre applicazioni dello stesso metodo.

Per ciascuno conviene registrare una versione alternativa dei fatti e osservare quale nodo cambia. Se il punteggio diventa solo assistivo, se la lista viene collegata a un sistema di osservazione o se i dati di localizzazione non sono più conservati, non si modifica automaticamente l'esito: si riapre il criterio pertinente, si aggiorna la prova e si ricalcola il rischio complessivo. Il confronto mostra perché una conclusione appartiene alla configurazione descritta e non al nome del progetto.

Il responsabile applica infine l'esempio al proprio trattamento, indicando somiglianze, differenze e lacune informative. Copiare l'esito senza questo confronto trasformerebbe un caso didattico in una scorciatoia. Una nota breve ma strutturata consente invece di vedere se l'analogia riguarda davvero persone, dati, scala, finalità e conseguenze oppure soltanto una tecnologia simile.

Primo caso: un'impresa introduce un punteggio automatizzato che decide l'accesso a un servizio. Se la valutazione è sistematica ed estesa e produce un effetto significativo, il caso obbligatorio dell'articolo 35 è direttamente rilevante ¹. Anche l'intervento umano dichiarato va verificato nella pratica. La DPIA deve precedere la scelta definitiva della logica e delle fonti.

Secondo caso: un piccolo studio mantiene un elenco limitato di clienti per comunicazioni proprie, senza profilazione, osservazione sistematica, dati sensibili o incroci inattesi. La dimensione non dà un'esenzione, ma i fatti possono sostenere una conclusione di rischio non elevato. Il fascicolo deve indicare confini, criteri non presenti e condizioni di riesame, invece di proclamare una regola generale.

Terzo caso: un servizio combina dati di localizzazione, profili di consumo e informazioni su persone vulnerabili. Incrocio, monitoraggio e vulnerabilità sono criteri distinti, che le linee guida WP248 richiedono di valutare congiuntamente ². Il loro cumulo può rendere probabile un rischio elevato; quando ciò accade, il test dell'articolo 35 porta alla DPIA ¹, anche se nessuna singola parola del progetto coincide con una categoria commerciale prestabilita.

In ciascun caso il risultato cambia se cambiano scala, scopo o conseguenze. Un esempio non crea una zona sicura e non sostituisce gli elenchi dell'autorità competente ¹. Serve a mostrare come descrizione, criterio, conclusione e riesame restino collegati.

Domande frequenti sulla decisione DPIA

Le risposte si applicano alla configurazione documentata, non creano esenzioni per nome o dimensione. Il fascicolo collega ogni conclusione ai fatti, assegna un responsabile e conserva la condizione che riapre il test; se manca una prova, indica chi la raccoglie e quando la decisione potrà essere chiusa e registrata in una nuova versione.

Quando è obbligatoria una DPIA ai sensi del GDPR?

Una DPIA è obbligatoria prima di un trattamento che, per natura, oggetto, contesto e finalità, può presentare un rischio elevato per diritti e libertà ¹. Occorre verificare anche i tre casi dell'articolo 35, i criteri WP248 ² e gli elenchi dell'autorità competente. La conclusione deve essere motivata sui fatti e conservata in forma verificabile, non dedotta dal nome della tecnologia.

Due criteri WP248 rendono automaticamente obbligatoria la DPIA?

No. L'articolo 35 impone il test del rischio elevato, ma non fissa una soglia numerica di criteri ¹. Le linee guida WP248 indicano che due criteri rendono normalmente necessaria la DPIA ², e l'approvazione dell'EDPB non trasforma l'indicazione in una regola legislativa ³. Anche un solo criterio particolarmente intenso può bastare; più segnali richiedono una lettura congiunta, sostenuta da fatti e misure documentati.

Una piccola impresa è esente dalla DPIA?

No, non esiste un'esenzione generale per le piccole imprese ¹. Conta il trattamento concreto, non la dimensione dell'organizzazione. Una semplice lista limitata di contatti può risultare a basso rischio ², mentre una funzione circoscritta può comunque richiedere una DPIA se comporta monitoraggio sistematico, dati molto sensibili, persone vulnerabili o decisioni con effetti significativi. La conclusione resta quindi legata ai fatti osservati.

Che cosa bisogna registrare quando la DPIA non è necessaria?

Il fascicolo dovrebbe descrivere l'attività, i fatti esaminati, il test dell'articolo 35 e i criteri applicati ¹. Deve conservare anche il controllo degli elenchi pertinenti e della loro versione, l'eventuale parere del responsabile della protezione dei dati, la motivazione della conclusione, il responsabile della decisione, la data e l'evento osservabile che imporrà un nuovo esame.

Che cosa deve contenere una DPIA?

La DPIA deve includere una descrizione sistematica del trattamento e delle finalità, la valutazione di necessità e proporzionalità e quella dei rischi per diritti e libertà ¹. Deve inoltre indicare le misure previste per affrontarli, comprese garanzie, sicurezza e meccanismi capaci di dimostrare conformità ². Se resta un rischio elevato non mitigato, può aprirsi la consultazione preventiva.

Il modello DPIA dell’EDPB è obbligatorio?

No. Il Comitato europeo per la protezione dei dati ha adottato il modello il 14 aprile 2026, ma non è obbligatorio: i titolari possono scegliere la metodologia DPIA ⁴. La consultazione si è chiusa il 9 giugno 2026 e la pagina ufficiale afferma ancora che il modello sarà finalizzato dopo la consultazione ⁵. Offre una struttura gratuita o un controllo incrociato di un metodo esistente e non crea un nuovo presupposto per la DPIA.

Quando occorre riesaminare una DPIA?

Occorre riesaminare la DPIA quando cambiano operazioni, finalità, dati, scala, tecnologia, destinatari, misure o profilo di rischio. Conviene collegare il controllo a un evento osservabile e assegnarlo a un responsabile, così la valutazione non resta un documento statico. La nuova versione confronta i fatti aggiornati con quelli precedenti e riapre soltanto le parti dell'analisi interessate dal cambiamento.