Ai sensi dell'art. 35 del Regolamento UE/2016/679, ai fini della valutazione di impatto sul trattamento dei dati, se del caso, il titolare del trattamento raccoglie le opinioni degli interessati o dei loro rappresentanti sul trattamento previsto, fatta salva la tutela degli interessi commerciali o pubblici o la sicurezza dei trattamenti.

Ai sensi delle citate linee guida, il titolare del trattamento deve "raccogliere le opinioni degli interessati o dei loro rappresentanti" (citato articolo 35, paragrafo 9), "se del caso". Il WP29 ritiene che:

• tali opinioni possono essere raccolte attraverso una varieta' di mezzi, a seconda del contesto (ad esempio uno studio generico relativo alla finalita' e ai mezzi del trattamento, una domanda posta ai rappresentanti del personale oppure indagini abituali inviate ai futuri clienti del titolare del trattamento), assicurando che il titolare del trattamento disponga di una base giuridica valida per il trattamento di qualsiasi dato personale interessato nel raccogliere dette opinioni; sebbene sia opportuno osservare che il consenso al trattamento non e' ovviamente un modo per raccogliere le opinioni degli interessati;

• qualora la decisione finale del titolare del trattamento si discosti dalle opinioni degli interessati, le sue motivazioni a sostegno del procedere o meno vanno documentate;

• il titolare del trattamento deve altresi' documentare la sua giustificazione per la mancata raccolta delle opinioni degli interessati, qualora decida che cio' non sia appropriato, ad esempio qualora cio' comporterebbe la riservatezza dei piani economici dell'impresa o sarebbe sproporzionato o impraticabile.

Fonte: Autorità Garante - GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI - Linee guida in materia di valutazione d'impatto sulla protezione dei dati e determinazione della possibilita' che il trattamento "possa presentare un rischio elevato" ai fini del regolamento (UE) 2016/679