Il primo passo per svolgere una valutazione di impatto consiste nel "prendere piena consapevolezza" della tipologia di trattamento di dati personali che viene effettuata in una determinata attivita'.

La descrizione del trattamento e la descrizione di come si svolge il flusso dei dati costituisce il metodo migliore da utilizzare per conoscere ed essere consapevoli della natura e dell'impatto effettivo del trattamento sui diritti e le liberta' degli interessati.

La descrizione deve contenere l'indicazione dell'origine del trattamento (raccolta dei dati), delle operazioni "ordinarie" (elaborazioni dei dati) e "straordinarie" (comunicazioni, diffusioni, trasferimenti dei dati) nonche' delle modalita' di conservazione e cessazione del trattamento.

Occorre ricordare, in proposito, che il regolamento generale sulla protezione dei dati non definisce formalmente il concetto di valutazione d'impatto sulla protezione dei dati come tale, tuttavia il suo contenuto minimo e' specificato dall'articolo 35, paragrafo 7, come segue:

1. una descrizione sistematica dei trattamenti previsti e delle finalita' del trattamento, compreso, ove applicabile, l'interesse legittimo perseguito dal titolare del trattamento;

2. una valutazione della necessita' e proporzionalita' dei trattamenti in relazione alle finalita';

3. una valutazione dei rischi per i diritti e le liberta' degli interessati di cui al paragrafo 1;

4. le misure previste per affrontare i rischi, includendo le garanzie, le misure di sicurezza e i meccanismi per garantire la protezione dei dati personali e dimostrare la conformita' al presente regolamento, tenuto conto dei diritti e degli interessi legittimi degli interessati e delle altre persone in questione.

Il suo significato e il suo ruolo sono chiariti dal considerando 84 come segue: "per potenziare il rispetto del presente regolamento qualora i trattamenti possano presentare un rischio elevato per i diritti e le liberta' delle persone fisiche, il titolare del trattamento dovrebbe essere responsabile dello svolgimento di una valutazione d'impatto sulla protezione dei dati per determinare, in particolare, l'origine, la natura, la particolarita' e la gravita' di tale rischio".

Fonte: Autorità Garante - Linee guida in materia di valutazione d'impatto sulla protezione dei dati e determinazione della possibilita' che il trattamento "possa presentare un rischio elevato" ai fini del regolamento (UE) 2016/679