Skip to main content

Valutazione d’impatto sulla protezione dei dati (DPIA) per i sistemi di IA: articolo 35 del GDPR

La DPIA è un obbligo del GDPR, non del regolamento sull’IA. Quando i sistemi di IA la richiedono e il rapporto con la FRIA.

Una valutazione d’impatto sulla protezione dei dati (DPIA) è un obbligo dell’articolo 35 del GDPR, non del regolamento sull’IA. Il titolare del trattamento deve svolgerne una prima di un trattamento che può presentare un rischio elevato per i diritti e le libertà delle persone. Sono casi tipici i sistemi di IA che profilano le persone, trattano categorie particolari di dati su larga scala o sorvegliano zone accessibili al pubblico.

Il regolamento sull’IA rinvia alla DPIA nell’articolo 26(9) e nell’articolo 27(4). Violare l’articolo 35 comporta sanzioni GDPR. Arrivano a 10 milioni di EUR o al 2 % del fatturato mondiale annuo, se superiore (articolo 83(4) del GDPR). Prossimo passo: verifichi se il Suo sistema tratta dati personali e chi ne è il titolare del trattamento.

L’articolo 35(3) del GDPR indica tre casi in cui è richiesta una DPIA

  • Valutazione sistematica e globale basata su un trattamento automatizzato

    Comprende la valutazione di aspetti personali, inclusa la profilazione, su cui si fondano decisioni che hanno effetti giuridici o incidono in modo analogo significativamente sulla persona (articolo 35(3), lettera a)). Esempio: lo scoring del credito.

  • Trattamento su larga scala di categorie particolari di dati o di dati relativi a reati

    Comprende le categorie particolari di dati ai sensi dell’articolo 9(1) del GDPR e i dati relativi a condanne penali e reati ai sensi dell’articolo 10 (articolo 35(3), lettera b)). Esempio: un sistema di IA che tratta dati sanitari su larga scala.

  • Sorveglianza sistematica su larga scala di una zona accessibile al pubblico

    Comprende la sorveglianza di aree pubbliche su larga scala (articolo 35(3), lettera c)). Esempio: l’analisi video in uno spazio pubblico.

Le autorità di controllo pubblicano elenchi di ulteriori tipi di trattamento che richiedono una DPIA (articolo 35(4) del GDPR).

Una DPIA ha quattro parti minime

  • Descrizione del trattamento

    Una descrizione sistematica dei trattamenti previsti e delle loro finalità, compreso, ove applicabile, l’interesse legittimo perseguito (articolo 35(7), lettera a)).

  • Necessità e proporzionalità

    Una valutazione della necessità e della proporzionalità del trattamento rispetto alle finalità (articolo 35(7), lettera b)).

  • Rischi per gli interessati

    Una valutazione dei rischi per i diritti e le libertà delle persone i cui dati sono trattati (articolo 35(7), lettera c)).

  • Misure contro i rischi

    Le garanzie, le misure di sicurezza e i meccanismi che affrontano i rischi e dimostrano la conformità al GDPR (articolo 35(7), lettera d)).

Il titolare del trattamento chiede anche il parere del responsabile della protezione dei dati, se designato (articolo 35(2)). Raccoglie le opinioni degli interessati o dei loro rappresentanti, se del caso (articolo 35(9)). Riesamina la DPIA almeno quando il rischio cambia (articolo 35(11)). Se la DPIA mostra un rischio elevato che il titolare non attenua, consulta prima l’autorità di controllo (articolo 36).

Una DPIA e una FRIA sono valutazioni distinte che possono condividere contenuti

  • Leggi e oggetti diversi

    La DPIA deriva dal GDPR e riguarda la protezione dei dati personali. La FRIA deriva dall’articolo 27 del regolamento sull’IA e riguarda i diritti fondamentali.

  • Soggetti obbligati diversi

    La DPIA spetta al titolare del trattamento, pubblico o privato. La FRIA spetta solo ai deployer elencati nell’articolo 27(1).

  • Contenuto condiviso

    Se la DPIA soddisfa già un obbligo dell’articolo 27, la FRIA può rinviare a essa o includerne parti (articolo 27(4)). La FRIA deve comunque coprire ogni elemento dell’articolo 27(1).

Cosa fa la valutazione DPIA di Scanara

Scanara non decide se una DPIA sia necessaria. Lo decide Lei, come titolare del trattamento, insieme al Suo responsabile della protezione dei dati.

Domande DPIA guidate

Un questionario segue il contenuto dell’articolo 35(7) del GDPR. Lei risponde; Scanara conserva le risposte come prove e redige il rapporto DPIA.

Risposte precompilate dalle scansioni

Se ha scansionato un repository, Scanara precompila le risposte con i risultati della scansione. Lei le verifica e le corregge.

Collegamento alla FRIA

Una valutazione FRIA può rinviare a una DPIA approvata dello stesso sistema (articolo 27(4)).

Apra la demo di Scanara

Approfondimenti sulle norme collegate

Domande frequenti sulla DPIA

Il regolamento sull’IA richiede una DPIA?

No. L’obbligo deriva dall’articolo 35 del GDPR. Il regolamento sull’IA vi rinvia soltanto: i deployer di sistemi ad alto rischio usano, se del caso, le informazioni del fornitore ai sensi dell’articolo 13 per la loro DPIA (articolo 26(9)).

Una valutazione d’impatto GDPR sostituisce la FRIA?

No. Una valutazione d’impatto sulla protezione dei dati può fornire parti della FRIA, perché l’articolo 27(4) consente al deployer di rinviare a essa o di includerne le parti pertinenti, ma solo per gli obblighi dell’articolo 27 che già soddisfa. La FRIA deve comunque coprire ogni elemento dell’articolo 27(1).

Quando serve una DPIA per un sistema di IA?

Quando il trattamento può presentare un rischio elevato per i diritti e le libertà delle persone fisiche (articolo 35(1) del GDPR). L’articolo 35(3) indica tre casi in cui è richiesta: valutazione sistematica e globale basata su un trattamento automatizzato, trattamento su larga scala di categorie particolari di dati o di dati relativi a reati, e sorveglianza su larga scala di aree pubbliche. Consulti anche l’elenco della Sua autorità di controllo.

Cosa succede se si omette una DPIA obbligatoria?

Sanzioni fino a 10 milioni di EUR o, per un’impresa, fino al 2 % del fatturato mondiale totale annuo dell’esercizio precedente, se superiore (articolo 83(4), lettera a), del GDPR).

Scanara prepara evidenze dai vostri repository

Scanara legge i vostri repository GitHub collegati ed esegue scansioni basate su regole per individuare pattern comuni di IA e machine learning. Può non rilevare il codice non standard. Separatamente genera bozze di documentazione a partire da modelli e dalle vostre risposte alle valutazioni, come evidenze per il vostro lavoro di conformità. La classificazione la decidete voi.