La fonte normativa o base giuridica va individuata e va scritta in maniera analitica nella descrizione sistematica del trattamento in quanto riveste una importanza fondamentale, fornendo la COPERTURA NORMATIVA del trattamento dei dati personali.

Si ricorda, al riguardo, il principio di necessita' in forza del quale nessun trattamento di dati personali puo' essere effettuato se non e' necessario per la finalita' istituzionale da conseguire.

Cio' premesso, il WP29 ritiene che una valutazione d'impatto sulla protezione dei dati non sia richiesta qualora un trattamento, effettuato a norma dell'articolo 6, paragrafo 1, lettere c) o e) del regolamento:

• trovi una base giuridica nel diritto dell'Unione o nel diritto dello Stato membro, tale diritto disciplini il trattamento specifico o sia gia' stata effettuata una valutazione d'impatto sulla protezione dei dati nel contesto dell'adozione di tale base giuridica (articolo 35, paragrafo 10), a meno che uno Stato membro non abbia dichiarato che e' necessario effettuare tale valutazione prima di procedere alle attivita' di trattamento.

Tuttavia, la valutazione d'impatto sulla protezione dei dati va comunque effettuata anche in presenza di una base giuridica in preseza del dubbio sulla circostanza che tale base giuridica disciplini il trattamento specifico posto in atto dall'Ente o sia gia' stata effettuata una valutazione d'impatto sulla protezione dei dati nel contesto dell'adozione di tale base giuridica.

In conclusione, anche in presenza di base normativa (che giustifica la necessita' del trattamento), la valutazione di impatto va comunque effettuata per tutti quei trattamenti che possono presentare un rischio elevato e per i quali l'ELENCO di trattamenti del Garante non esclude la valutazione medesima.

Fonte: Autorità Garante- Linee guida in materia di valutazione d'impatto sulla protezione dei dati e determinazione della possibilita' che il trattamento "possa presentare un rischio elevato" ai fini del regolamento (UE) 2016/679