La valutazione d'impatto sulla protezione dei dati va effettuata

• Prima del trattamento.

La valutazione d'impatto sulla protezione dei dati va effettuata "prima del trattamento" (articolo 35, paragrafi 1 e 10, considerando 90 e 93)(23).

Cio' e' coerente con i principi di protezione dei dati fin dalla progettazione e di protezione per impostazione predefinita (articolo 25 e considerando 78). La valutazione d'impatto sulla protezione dei dati va considerata come uno strumento atto a contribuire al processo decisionale in materia di trattamento.

La valutazione d'impatto sulla protezione dei dati va avviata il prima possibile nella fase di progettazione del trattamento anche se alcune delle operazioni di trattamento non sono ancora note. L'aggiornamento della valutazione d'impatto sulla protezione dei dati nel corso dell'intero ciclo di vita del progetto garantira' che la protezione dei dati e della vita privata sia presa in considerazione e favorisca la creazione di soluzioni che promuovono la conformita'. Puo' essere altresi' necessario ripetere singole fasi della valutazione man mano che il processo di sviluppo evolve, dato che la selezione di determinate misure tecniche od organizzative puo' influenzare la gravita' o la probabilita' dei rischi posti dal trattamento.

Il fatto che possa rendersi necessario aggiornare la valutazione d'impatto sulla protezione dei dati dopo l'effettivo avvio del trattamento non costituisce un motivo valido per rinviare o non svolgere una valutazione d'impatto sulla protezione dei dati. La valutazione d'impatto sulla protezione dei dati e' un processo continuo, soprattutto quando un trattamento e' dinamico ed e' soggetto a variazioni continue.

Realizzare una valutazione d'impatto sulla protezione dei dati e' un processo continuo, non un esercizio una tantum.

(23) Fatto salvo il caso in cui si tratti di un trattamento gia' in essere che e' stato preventivamente verificato dall'autorita' di controllo, nel qual caso la valutazione d'impatto sulla protezione dei dati deve essere eseguita prima di attuare modifiche significative.

Fonte: Autorità Garante - Linee guida in materia di valutazione d'impatto sulla protezione dei dati e determinazione della possibilita' che il trattamento "possa presentare un rischio elevato" ai fini del regolamento (UE) 2016/679