Modelli e registrazioni · ISO 27701 · Punto A.1
Modello di valutazione d’impatto sulla privacy ISO 27701
L’analisi approfondita da fare prima di avviare un trattamento ad alto rischio: che cosa si farà, se è necessario e proporzionato, che cosa può danneggiare le persone e come lo si evita.
In una frase
La valutazione d’impatto sulla privacy descrive il trattamento e le sue finalità, ne valuta la necessità e la proporzionalità, analizza i rischi per i diritti e le libertà degli interessati e fissa le misure per affrontarli, che è il contenuto minimo dell’articolo 35.7 del GDPR; la ISO/IEC 27701 la include tra i controlli del titolare della tabella A.1.
- Dove lo richiede la norma
- ISO 27701 · Punto A.1 Si cita l’edizione 2025: i numeri da 4 a 10 sono capitoli; A.1, A.2 e A.3 sono le tabelle dell’Appendice A con i controlli del titolare, del responsabile e comuni a entrambi.
- Tipo di informazione
- Registrazione obbligatoria Registrazione da conservare quando il trattamento la richiede (art. 35 GDPR; controllo della tabella A.1)
- Chi lo compila
- Il titolare del trattamento, con il responsabile della protezione dei dati Il responsabile del trattamento collabora fornendo le informazioni di cui dispone (art. 28.3.f GDPR)
- Quando
- Prima di avviare il trattamento E di nuovo quando cambia il rischio (art. 35.11 GDPR)
- Per quanto tempo si conserva
- Per tutta la durata del trattamento E per il periodo successivo che l’organizzazione stabilisce per poter dimostrare che è stata fatta in tempo
Che cosa richiede la norma
Che cosa impone la norma ISO 27701 e che cosa lascia alla sua discrezione
La norma chiede al titolare di valutare l’impatto sulla privacy quando un nuovo trattamento o una modifica lo rendono necessario, e di conservarne l’esito. Il GDPR ne fa un obbligo quando è probabile un rischio elevato per i diritti e le libertà, e cita come casi la valutazione sistematica con effetti giuridici, il trattamento su larga scala di categorie particolari e la sorveglianza sistematica su larga scala di zone accessibili al pubblico.
L’articolo 35.7 fissa il contenuto minimo e il 35.2 obbliga a consultare il responsabile della protezione dei dati, se designato. Se il rischio residuo resta elevato, occorre consultare l’autorità di controllo prima di procedere al trattamento (art. 36).
Il fatto che non sia obbligatoria non impedisce di farla: molte organizzazioni la applicano in forma semplificata a ogni nuovo trattamento, ed è bene mettere per iscritto perché si è deciso che quella completa non serviva.
Struttura
Campi che il modello deve contenere
- Descrizione sistematica del trattamento e delle sue finalità
- Interesse legittimo perseguito, se è la base giuridica
- Valutazione della necessità e della proporzionalità
- Rischi per i diritti e le libertà degli interessati
- Misure previste: garanzie, sicurezza e meccanismi di protezione
- Parere del responsabile della protezione dei dati
- Parere degli interessati, se raccolto
- Rischio residuo e decisione: procedere, modificare o consultare l’autorità
- Data, approvazione e prossima revisione
Esempio
Esempio: rilevazione presenze biometrica in uno stabilimento fittizio
Azienda, persone e cifre inventate: l’esempio mostra soltanto come si presenta una registrazione compilata correttamente.
| Campo | Contenuto |
|---|---|
| Trattamento | Registrazione dell’orario con impronta digitale · Conserve Valdora (fittizia), 140 lavoratori |
| Necessità | Confronto con badge e app mobile: entrambi raggiungono la finalità senza dati biometrici |
| Rischi | Trattamento di categorie particolari; fuga irreversibile dei modelli biometrici |
| Parere dell’RPD | Sconsiglia l’impronta per mancanza di proporzionalità |
| Decisione | Si scarta la biometria e si adotta un badge con codice · 20 gennaio 2026 |
| Revisione | Alla proposta di qualsiasi modifica del sistema di timbratura |
In audit
Errori che gli auditor rilevano più spesso
- La valutazione si fa dopo aver acquistato e messo in uso lo strumento.
- Si limita a un questionario di sicurezza senza analizzare necessità e proporzionalità.
- Non risulta il parere del responsabile della protezione dei dati.
- Non è scritto perché un trattamento a rischio non ha richiesto una valutazione completa.
In Kimobox
Come si gestisce questa registrazione in Kimobox
- 1L’avvio di un nuovo trattamento passa da un flusso che chiede se serve una valutazione d’impatto.
- 2La valutazione si documenta come modulo con l’approvazione dell’RPD e della direzione.
- 3Le misure concordate diventano azioni con responsabile, scadenza e avviso di ritardo.
Domande frequenti
Cosa ci chiedono prima di iniziare
Quando è obbligatoria?
Quando un trattamento presenta probabilmente un rischio elevato per i diritti e le libertà delle persone (art. 35.1 GDPR). Le autorità di controllo pubblicano elenchi dei trattamenti che la richiedono.
La fa il responsabile del trattamento?
No: l’obbligo è del titolare. Il responsabile lo assiste con le informazioni sui propri mezzi e sulle proprie misure.
Gestisca le registrazioni ISO 27701 senza modelli sparsi
Le mostriamo il modulo in funzione con dati simili ai suoi.
Continua a esplorare
Pagine correlate
Valutazione d’impatto (DPIA)
Quando un trattamento comporta un rischio elevato per i diritti delle persone, il GDPR richiede di svolgere…
Controlli per titolari e responsabili
L’Appendice A raccoglie i controlli di riferimento del PIMS per titolari e responsabili; l’Appendice B…
Modello di registro delle attività di trattamento ISO 27701
Che cosa deve contenere il registro delle attività di trattamento in un PIMS ISO 27701 e per l’art. 30 del…
Modello di inventario dei dati personali ISO 27701
Come impostare un inventario dei dati personali per un PIMS ISO 27701: dove si trovano i dati, in quali…
Fonti
Da dove arriva ogni dato
Riferimenti al testo ufficiale in vigore. Se una norma viene revisionata, questa pagina si aggiorna e la data di revisione lo indica.
- Regolamento (UE) 2016/679, Regolamento generale sulla protezione dei dati (GDPR) EUR-Lex · 27 aprile 2016; applicabile dal 25 maggio 2018
- ISO/IEC 27701:2025 — Sistemi di gestione delle informazioni sulla privacy. Requisiti e linee guida ISO/IEC · Seconda edizione, ottobre 2025