L’articolo 35 del GDPR è il fulcro del principio di responsabilizzazione. In sintesi, dice che ogni titolare che intende avviare un nuovo trattamento di dati personali deve interrogarsi su quanto possa incidere sui diritti e sulle libertà delle persone. A conclusione di questa riflessione, potrebbe essere obbligatorio sviluppare una valutazione d’impatto sui dati personali (DPIA) che deve contenere una valutazione del rischio. Tutto questo deve essere documentato e deve, eventualmente, condurre a misure di riduzione del rischio.
Lo stesso articolo, tuttavia, al comma 4 prescrive che le autorità di controllo (nel nostro caso il Garante per la Protezione dei Dati Personali) possano ritenere obbligatoria, per alcuni tipi di trattamento, la conduzione della DPIA. Questo costituisce una deroga al principio di responsabilizzazione facendo prevalere la volontà pubblica sulla capacità del titolare di poter decidere in autonomia.
La Data Protection Commision irlandese (l’organismo corrispondente al nostro Garante per la Protezione dei Dati Personali) ha chiesto il parere dei cittadini sull’ampiezza di questa deroga proponendo una lista di trattamenti per i quali potrebbe diventare obbligatoria (in Irlanda) la DPIA.
Il documento, è interessante perché, oltre ad elencare i predetti trattamenti delicati, si sofferma su un concetto spesso trascurato dai titolari e da molti addetti ai lavori: il rischio è una grandezza multidimensionale e, soprattutto, variabile nel tempo. Per esempio, l’installazione di un sistema di videosorveglianza in una officina meccanica, con due videocamere puntate sui due ingressi, può risultare a rischio minimo perché, in fondo, tratta dati personali (le immagini) di un numero limitato di soggetti che corrispondono, in linea di massima, ai clienti ed ai dipendenti. Aggiungere al sistema una videocamera puntata su una zona di parcheggio condiviso con il supermercato adiacente può cambiare il rischio di incidere sui diritti e le libertà di persone completamente estranee alle finalità del trattamento.
Il rischio: una grandezza ad assetto variabile.