Non sussiste l'obbligo di pubblicare la valutazione d'impatto sulla protezione dei dati

• tuttavia pubblicarne una sintesi potrebbe favorire la fiducia e la valutazione d'impatto sulla protezione dei dati completa deve essere comunicata all'autorita' di controllo in caso di consultazione preventiva o su richiesta da parte delle autorita' competenti per la protezione dei dati personali.

La pubblicazione di una valutazione d'impatto sulla protezione dei dati non e' un requisito giuridico sancito dal regolamento generale sulla protezione dei dati, è una decisione del titolari del trattamento procedere in tal senso. Tuttavia, i titolari del trattamento dovrebbero prendere in considerazione la pubblicazione di almeno alcune parti, ad esempio di una sintesi o della conclusione della loro valutazione d'impatto sulla protezione dei dati.

Lo scopo di un tale processo sarebbe quello di contribuire a stimolare la fiducia nei confronti dei trattamenti effettuati dal titolare del trattamento, nonche' di dimostrare la responsabilizzazione e la trasparenza. Costituisce una prassi particolarmente buona pubblicare una valutazione d'impatto sulla protezione dei dati nel caso in cui individui della popolazione siano influenzati dal trattamento interessato. Nello specifico, cio' potrebbe essere il caso in cui un'autorita' pubblica realizza una valutazione d'impatto sulla protezione dei dati.

La valutazione d'impatto sulla protezione dei dati pubblicata non deve necessariamente contenere l'intera valutazione, soprattutto qualora essa possa presentare informazioni specifiche relative ai rischi per la sicurezza per il titolare del trattamento o divulgare segreti commerciali o informazioni commerciali sensibili. In queste circostanze, la versione pubblicata potrebbe consistere soltanto in una sintesi delle principali risultanze della valutazione d'impatto sulla protezione dei dati o addirittura soltanto in una dichiarazione nella quale si afferma che la valutazione d'impatto sulla protezione dei dati e' stata condotta.

Inoltre, laddove una valutazione d'impatto sulla protezione dei dati riveli la presenza di rischi residui elevati, il titolare del trattamento sara' tenuto a richiedere la consultazione preventiva dell'autorita' di controllo in relazione al trattamento (articolo 36, paragrafo 1). In tale contesto, la valutazione d'impatto sulla protezione dei dati deve essere fornita completa (articolo 36, paragrafo 3, lettera e)).

L'autorita' di controllo puo' fornire il proprio parere e procurera' di non compromettere segreti commerciali ne' divulgare vulnerabilita' di sicurezza, in conformita' con i principi applicabili in ciascuno Stato membro in materia di accesso del pubblico a documenti ufficiali.

Fonte: Autorità Garante - Linee guida in materia di valutazione d'impatto sulla protezione dei dati e determinazione della possibilita' che il trattamento "possa presentare un rischio elevato" ai fini del regolamento (UE) 2016/679