La vostra DPIA secondo
il metodo pubblicato dalla CNIL
Il GDPR impone una Valutazione d'Impatto sulla Protezione dei Dati per ogni trattamento suscettibile di comportare un rischio elevato per i diritti e le libertà delle persone. SYAGA DPIA-Express struttura e documenta la vostra DPIA secondo la metodologia dell'articolo 35 e le linee guida dell'EDPB, senza improvvisazione e senza gergo tecnico.
L'obbligo
Determinare se il vostro trattamento deve essere oggetto di una DPIA, poi condurla secondo le regole
L'articolo 35 del GDPR impone una DPIA
Ogni trattamento suscettibile di comportare un rischio elevato per i diritti e le libertà delle persone fisiche deve essere oggetto di una Valutazione d'Impatto sulla Protezione dei Dati prima della sua attuazione (GDPR, art. 35).
La regola CNIL dei «2 criteri su 9»
L'EDPB (ex Gruppo di lavoro Articolo 29, WP29), nelle linee guida WP248 rev.01, ha definito 9 criteri di rischio elevato. Non appena un trattamento soddisfa almeno due di questi criteri, una DPIA deve in linea di principio essere condotta: un solo elemento mal identificato, e il fascicolo è incompleto.
Elenchi CNIL da confrontare articolo per articolo
La CNIL (l'autorità francese per la protezione dei dati) pubblica elenchi di trattamenti per i quali la DPIA è richiesta o non richiesta. Determinare con precisione dove si colloca il vostro trattamento richiede una lettura rigorosa, non un'impressione generale.
Senza metodo, il rischio è doppio
Condurre una DPIA troppo velocemente espone all'incompletezza davanti a un'autorità di controllo; non condurla quando è richiesta espone l'organizzazione a una violazione dell'articolo 35. Il metodo CNIL struttura questa scelta e la documenta.
Il metodo: DPIA-Express
La struttura imposta dall'articolo 35.7 del GDPR, applicata al vostro trattamento, con una conclusione motivata a ogni fase
Il vostro trattamento è realmente soggetto alla DPIA?
Analisi rispetto ai 3 casi dell'articolo 35.3, alla griglia dei 9 criteri dell'EDPB (WP248 rev.01) e agli elenchi CNIL dei trattamenti richiesti o non richiesti. Conclusione motivata, che la DPIA sia infine obbligatoria o meno.
Descrizione sistematica del trattamento
Finalità, categorie di dati e di persone interessate, destinatari, tempi di conservazione: la mappatura completa richiesta dall'articolo 35.7.a, coerente con il vostro registro delle attività di trattamento (art. 30).
Necessità e proporzionalità
Verifica che ogni dato raccolto sia necessario alla finalità perseguita, che la base giuridica (art. 6) sia identificata per ogni trattamento, e che il principio di minimizzazione (art. 5.1.c) sia rispettato.
Valutazione dei rischi per le persone
Per ogni rischio identificato: gravità, probabilità, misure già in atto, rischio residuo, presentati in forma di tabella utilizzabile dalla vostra direzione o dal vostro DPO.
Misure e conclusione documentata
Misure tecniche e organizzative previste (art. 32), conclusione motivata e giustificazione documentata ai sensi dell'accountability (art. 5.2), utilizzabile in caso di controllo da parte della CNIL.
Cosa ricevete
Un documento strutturato, con fonti citate, e onesto su ciò che resta da validare dal vostro legale o dal vostro DPO
Rapporto DPIA strutturato
Il documento completo secondo l'articolo 35.7 (da a a d), con una conclusione motivata.
- Descrizione sistematica del trattamento
- Analisi di necessità e proporzionalità
- Tabella dei rischi (gravità/probabilità/misure)
- Conclusione e giustificazione documentata (art. 5.2)
Griglia di determinazione
L'analisi preliminare che stabilisce se il vostro trattamento rientra nel campo dell'obbligo.
- I 3 casi dell'articolo 35.3
- I 9 criteri EDPB (WP248 rev.01)
- Confronto con gli elenchi CNIL
- Conclusione motivata e con fonti citate
Coerenza con il registro art. 30
La DPIA si basa sulla stessa base del vostro registro delle attività di trattamento.
- Finalità e basi giuridiche
- Categorie di dati e di persone
- Destinatari e responsabili del trattamento
- Tempi di conservazione per categoria
Punti da validare dal vostro legale/DPO
Ogni punto di incertezza è segnalato esplicitamente, mai deciso al posto vostro.
- Qualificazione titolare / responsabile del trattamento
- Basi giuridiche per finalità
- Trasferimenti extra-UE identificati
- Designazione di un DPO (art. 37), se applicabile
Fonti e tracciabilità
Ogni affermazione giuridica è supportata da fonti, non affermata a memoria.
- Testo consolidato del GDPR (CELEX 32016R0679)
- Pagine ed elenchi CNIL (DPIA, registro)
- Linee guida EDPB (WP248 rev.01)
- URL verificabili citati nel documento
Documento modificabile
Consegnato in un formato modificabile, riutilizzabile dal vostro DPO o dal vostro legale.
- Struttura conforme all'articolo 35.7
- Riutilizzabile per i vostri futuri trattamenti
- Pronto per essere completato prima della validazione finale
- Nessuna formattazione fissa imposta
Riferimenti utilizzati
Un metodo che si basa su testi e autorità, non su interpretazioni personali
GDPR - Articolo 35
Valutazione d'impatto sulla protezione dei dati. Testo consolidato del Regolamento (UE) 2016/679 (EUR-Lex, CELEX 32016R0679).
Linee guida WP248 rev.01
I 9 criteri di rischio elevato dell'EDPB (ex Gruppo Articolo 29), ripresi dalla CNIL come metodo di riferimento per determinare l'obbligo di DPIA.
Elenchi e metodo CNIL
Elenchi dei trattamenti per i quali la DPIA è richiesta o non richiesta, e metodo CNIL per la conduzione di una valutazione d'impatto.
GDPR - Articolo 30
Registro delle attività di trattamento: la base di coerenza (finalità, dati, tempi) su cui si fonda ogni DPIA.
Una DPIA su misura, senza costi nascosti
Il perimetro dipende dal numero di trattamenti, dalla loro complessità e da ciò che è già documentato presso di voi. Preventivo stabilito dopo un primo scambio.
Offerta riservata ai professionisti (imprese e organizzazioni), non destinata ai consumatori.
Determinazione dell'obbligo
Non sapete se il vostro trattamento è interessato
- Griglia dei 9 criteri EDPB
- Confronto con l'articolo 35.3
- Verifica degli elenchi CNIL
- Conclusione motivata e con fonti citate
DPIA completa
Trattamento identificato ad alto rischio
- Tutto Determinazione dell'obbligo +
- Descrizione sistematica (art. 35.7.a)
- Necessità e proporzionalità (35.7.b)
- Analisi dei rischi (35.7.c)
- Misure previste (35.7.d)
- Punti elencati per il vostro legale/DPO
Programma pluriennale
Più trattamenti a rischio da coprire
- Tutto DPIA completa +
- Quadro metodologico comune
- Riesame periodico (art. 35.11)
- Coerenza mantenuta con il registro (art. 30)
Una DPIA non è mai definitiva
L'articolo 35.11 del GDPR impone di riesaminare l'analisi in caso di evoluzione significativa del trattamento (nuovo responsabile del trattamento, cambio di hosting, estensione del perimetro di raccolta). Un preventivo di riesame è stabilito caso per caso.
Domande frequenti
Monitoraggio normativo - fonti ufficiali
Quello che dice davvero il testo, spiegato in linguaggio semplice. Ogni punto mantiene il link al documento ufficiale.
Che cos'è una DPIA, in parole semplici?
Una DPIA è semplicemente un lavoro di valutazione: si analizzano i rischi che un trattamento di dati comporta per le persone, prima di metterlo in atto. La CNIL la definisce come "un processo formale che consente di valutare i rischi legati al trattamento di dati personali". Non è un ulteriore adempimento amministrativo, ma uno strumento di buon senso reso obbligatorio dal RGPD in alcuni casi. Fonte: CNIL →
Chi è davvero interessato: la regola dei «2 criteri su 9»
Non serve essere una grande azienda per essere interessati. La CNIL ritiene che una DPIA sia obbligatoria non appena un trattamento soddisfa almeno due di queste nove situazioni: valutare o classificare le persone, prendere una decisione automatizzata che ha un effetto reale su di loro, sorvegliarle in modo sistematico, raccogliere dati sensibili (salute, origine, ecc.), raccogliere su larga scala, incrociare più basi di dati, riguardare persone vulnerabili (dipendenti, pazienti, minori...), utilizzare una tecnologia nuova, oppure privare qualcuno di un diritto o di un servizio. Fonte: CNIL →
Due liste della CNIL che spesso rispondono al posto vostro
Per evitare di dover indovinare, la CNIL ha pubblicato due liste ufficiali: una lista di 14 tipi di trattamenti in cui la DPIA è obbligatoria (dati sanitari, profilazione HR, sorveglianza dei dipendenti, geolocalizzazione su larga scala...), e una lista di 12 tipi in cui non è richiesta (paghe e gestione del personale di organizzazioni con meno di 250 dipendenti, esclusa la profilazione, gestione fornitori, cartella paziente di un professionista sanitario che esercita da solo...). Queste liste non coprono tutti i casi, ma rispondono già a molte situazioni comuni. Fonte: lista CNIL dei trattamenti richiesti →
Cosa deve davvero contenere l'analisi
Il RGPD (articolo 35) non richiede un romanzo, ma quattro elementi precisi: descrivere il trattamento e il suo scopo, verificare che sia davvero necessario e proporzionato, valutare i rischi per le persone interessate, quindi elencare le misure previste per ridurre questi rischi. Una conclusione chiara alla fine: il trattamento è accettabile, e a quali condizioni. Fonte: RGPD, articolo 35 →
Il ruolo del vostro DPO (se ne avete uno)
Se la vostra organizzazione ha designato un Responsabile della Protezione dei Dati, il RGPD impone di chiedergli consiglio al momento di condurre la DPIA, e di incaricarlo di verificare che l'analisi sia stata effettivamente realizzata. È una garanzia, non una semplice casella da spuntare: coinvolgere il DPO resta il riflesso giusto prima di convalidare una conclusione. Fonte: RGPD, articoli 35 e 39 →
E se il rischio resta elevato dopo l'analisi?
Se, nonostante le misure previste, il trattamento presenta ancora un rischio elevato per le persone, il RGPD impone di consultare la CNIL prima di iniziare. Quest'ultima dispone quindi di otto settimane per dare il proprio parere scritto (prorogabile di sei settimane se il fascicolo è complesso). Da tenere presente: questo caso resta l'eccezione, non la regola. Fonte: RGPD, articolo 36 →
Le sanzioni, senza drammatizzare
La CNIL ricorda che le sanzioni RGPD possono arrivare fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, a seconda dell'importo più elevato. È un tetto massimo legale, non una fatalità: una DPIA condotta correttamente è proprio ciò che permette di dimostrare, in caso di controllo, che la questione è stata presa sul serio. Fonte: CNIL →
Una novità europea da seguire
Il Comitato europeo per la protezione dei dati (CEPD/EDPB) ha messo in consultazione pubblica, dal 14 aprile al 9 giugno 2026, una bozza di modello unico di DPIA destinato ad armonizzare le pratiche tra i paesi europei. La consultazione è ormai chiusa; seguiamo gli sviluppi di questo progetto per informarne i nostri clienti a tempo debito. Fonte: EDPB →
Chi è davvero interessato dalla DPIA?
Prima di sapere come realizzare una DPIA, occorre sapere se si è interessati. Ecco il perimetro esatto, così come definito dal RGPD e dalla CNIL, senza inutili suspense.
L'unico criterio che conta: il rischio, non le dimensioni
Il RGPD non fissa alcuna soglia di organico per l'obbligo di DPIA. Il suo articolo 35 impone questa analisi al "titolare del trattamento", qualunque sia la sua forma (associazione, artigiano, PMI, ente pubblico, grande gruppo), non appena un trattamento "può presentare un rischio elevato per i diritti e le libertà delle persone fisiche". Un errore frequente da evitare: la soglia di 250 dipendenti esiste effettivamente nel RGPD, ma riguarda un'esenzione parziale dal registro dei trattamenti (articolo 30), non la DPIA. Un'azienda con 5 dipendenti può essere interessata; un gruppo con 2000 dipendenti può non esserlo: tutto dipende dal trattamento, mai dalle dimensioni della struttura. Fonte: RGPD, articolo 35 (riprodotto dalla CNIL) →
Pubblico o privato: nessuno è escluso dal perimetro
L'articolo 35 riguarda "il titolare del trattamento" in senso ampio: un'impresa privata così come una pubblica amministrazione, un ente territoriale, un'associazione o una struttura sanitaria. Il testo prevede persino esplicitamente il caso di una "sorveglianza sistematica su larga scala di una zona accessibile al pubblico", che riguarda tipicamente un comune o un ente di edilizia popolare che installa videosorveglianza sulla pubblica via, non solo un'impresa commerciale. Fonte: RGPD, articolo 35, paragrafo 3 →
Il segnale concreto: 2 criteri su 9
La CNIL e l'ex gruppo dell'articolo 29 (diventato Comitato europeo, EDPB) hanno fissato nove criteri nelle loro linee guida di riferimento (WP248). Non appena un trattamento ne riunisce almeno due, la DPIA diventa obbligatoria: valutare o classificare le persone, decidere automaticamente qualcosa che le riguarda, sorvegliarle in modo sistematico, trattare dati sensibili, trattare su larga scala, incrociare archivi, riguardare persone vulnerabili (dipendenti, pazienti, minori), utilizzare una tecnologia nuova, oppure privare qualcuno di un diritto o di un contratto. Fonte: CNIL, linee guida G29/EDPB (WP248) →
Esempi concreti di profili interessati
In pratica, la dottrina della CNIL riconduce tipicamente a questi criteri: uno studio medico o una clinica che tratta dati sanitari su larga scala, un servizio HR che utilizza uno strumento di valutazione o profilazione dei dipendenti, un'azienda dotata di badge e di videosorveglianza sistematica dei propri locali aperti al pubblico, un istituto di credito o di recupero crediti che pratica lo scoring, oppure un dispositivo connesso per la salute che raccoglie dati sulle abitudini di vita. Fonte: CNIL, lista dei 14 trattamenti a DPIA obbligatoria →
E se non sono interessato, come faccio a saperlo?
La CNIL ha pubblicato anche una lista di 12 tipi di trattamenti per i quali la DPIA NON è richiesta: ad esempio le paghe e la gestione del personale di un'organizzazione con meno di 250 dipendenti (esclusa la profilazione), la cartella paziente di un professionista sanitario che esercita da solo, o la gestione corrente dei fornitori. Una buona notizia per molte micro-imprese: avere dipendenti o clienti non basta, da solo, a far scattare l'obbligo. Fonte: CNIL, lista dei 12 trattamenti senza DPIA →
Le domande che un imprenditore si pone davvero sulla DPIA
Niente gergo da avvocati: risposte semplici, ciascuna basata sul testo ufficiale che la fonda.
Il calendario della DPIA, in chiaro
Le date che contano davvero, con fonti, per sapere cosa è già obbligatorio oggi e cosa sta arrivando.
Già in vigore oggi
Il RGPD è applicabile dal 25 maggio 2018, in tutta Europa. L'obbligo di realizzare una DPIA (articolo 35), le due liste della CNIL che indicano quando è obbligatoria o meno, e le linee guida europee che spiegano come condurla: tutto ciò è in vigore, stabile, e non dipende da alcuna riforma futura. È la base su cui potete contare fin da subito.
Da seguire, non ancora definitivo
Il Comitato europeo per la protezione dei dati (CEPD) sta lavorando a un modello unico di DPIA per armonizzare le pratiche tra i paesi europei. La consultazione pubblica su questo progetto si è conclusa il 9 giugno 2026; non è ancora stata comunicata alcuna data di pubblicazione del modello finale. Nulla obbliga ad aspettare: nel frattempo il metodo della CNIL resta valido.
Il RGPD viene adottato, poi pubblicato nella Gazzetta Ufficiale dell'UE
Il Parlamento europeo e il Consiglio adottano il regolamento 2016/679 il 27 aprile 2016. Viene pubblicato nella Gazzetta Ufficiale dell'Unione europea (GU L119) il 4 maggio 2016, per poi entrare in vigore venti giorni dopo, il 24 maggio 2016, senza essere ancora applicabile. Fonte: EUR-Lex, riferimento ufficiale del regolamento →
Il RGPD diventa applicabile: la DPIA diventa un vero obbligo
Due anni dopo la sua adozione, il regolamento si applica finalmente in tutta Europa (articolo 99.2). È in questo giorno che l'obbligo di DPIA dell'articolo 35 diventa vincolante, e che il Comitato europeo per la protezione dei dati (CEPD) viene istituito per la prima volta, facendo proprie le linee guida sulla DPIA già redatte (WP248 rev.01). Fonte: EUR-Lex, scheda del regolamento (articolo 99) → Fonte: CEPD, linee guida riprese →
La CNIL pubblica la sua lista dei 14 trattamenti in cui la DPIA è obbligatoria
Pochi mesi dopo l'entrata in applicazione del RGPD, la CNIL adotta la propria delibera n°2018-327: una lista concreta di 14 tipi di trattamenti (dati sanitari, profilazione HR, sorveglianza dei dipendenti...) per i quali la DPIA deve essere sistematicamente realizzata. Basta indovinare caso per caso. Fonte: CNIL →
La CNIL pubblica la lista inversa: quando la DPIA non è necessaria
Un anno dopo, la CNIL completa la propria dottrina con la delibera n°2019-118: una lista dei trattamenti per i quali una DPIA NON è richiesta (paghe di organizzazioni con meno di 250 dipendenti esclusa la profilazione, gestione fornitori, cartella paziente di un professionista che esercita da solo...). Le due liste della CNIL, insieme, rispondono già a molte situazioni comuni senza dover decidere da soli. Fonte: CNIL →
Il CEPD avvia una consultazione su un modello unico di DPIA europeo
Il CEPD ha messo in consultazione pubblica una bozza di modello di DPIA comune, destinata ad armonizzare le pratiche tra i paesi europei (oggi, ogni autorità nazionale ha una propria griglia). La consultazione è chiusa dal 9 giugno 2026; non è ancora un testo applicabile, solo un progetto in fase di esame. Fonte: CEPD →
La finalizzazione del modello CEPD, senza scadenza nota
Lo stesso CEPD indica che il modello "sarà finalizzato, con riserva di modifiche appropriate", dopodiché le autorità nazionali avvieranno le procedure per adottarlo come modello unico, o come "meta-modello" compatibile con i modelli già esistenti (tra cui quello della CNIL). Ad oggi non è comunicata alcuna data: seguiamo questo dossier per avvisare i nostri clienti non appena ci saranno novità concrete, senza anticipare nulla. Fonte: CEPD →
Le sanzioni RGPD, in chiaro
Chi sanziona, quanto, e in base a quali criteri. Senza drammatizzare: la grande maggioranza dei casi non ha nulla a che vedere con gli importi che fanno notizia.
Chi decide, in Francia: la formation restreinte della CNIL
È un organo specializzato della CNIL, distinto dal collegio che controlla e assiste quotidianamente, a pronunciare le sanzioni. Dispone di diversi strumenti graduati, non solo la multa: richiamo formale, avvertimento, diffida (con o senza penalità finanziaria), ingiunzione, limitazione temporanea o definitiva del trattamento. La multa è solo l'ultimo gradino della scala. Fonte: CNIL, le sanzioni pronunciate →
Due tetti massimi legali, non un importo unico
Il RGPD (articolo 83) fissa due tetti massimi, di cui si applica il più elevato: fino a 10 milioni di euro o al 2% del fatturato mondiale dell'esercizio precedente per le violazioni degli obblighi organizzativi (sicurezza, registro, DPO, valutazione d'impatto...); fino a 20 milioni di euro o al 4% per le violazioni dei principi sostanziali (base giuridica, consenso, diritti degli interessati, trasferimenti extra-UE). Sono tetti massimi, non importi automatici. Fonte: RGPD, articolo 83 →
Come viene realmente fissato l'importo
L'articolo 83.2 impone all'autorità di tenere conto di: gravità e durata della violazione, natura intenzionale o mera negligenza, misure già adottate per limitare il danno, grado di responsabilità, precedenti, cooperazione con l'autorità, e sensibilità dei dati interessati. In concreto: un'organizzazione che ha documentato il proprio percorso (registro, DPIA, misure di sicurezza) e coopera viene giudicata diversamente da chi non ha fatto nulla. Fonte: RGPD, articolo 83.2 →
Un caso reale in cui l'assenza di DPIA ha pesato: Discord
Il 10 novembre 2022, la formation restreinte della CNIL ha inflitto una multa di 800 000 euro a Discord. Tra le violazioni contestate: un periodo di conservazione eccessivo, una carenza di sicurezza, e la violazione dell'articolo 35 del RGPD, ovvero l'assenza di una valutazione d'impatto mentre il trattamento, su larga scala e riguardante minori, ne richiedeva una. È l'esempio più diretto del legame tra "nessuna DPIA documentata" e sanzione inflitta. Fonte: delibera SAN-2022-020, Légifrance →
Gli importi elevati esistono, ma restano rari
Criteo è stata sanzionata con 40 milioni di euro il 15 giugno 2023, per non essere riuscita a dimostrare un consenso valido al deposito di cookie pubblicitari. Clearview AI è stata sanzionata con 20 milioni di euro il 17 ottobre 2022, per una raccolta massiva di fotografie senza base giuridica. Questi importi riguardano trattamenti internazionali su scala molto ampia, non il caso di una PMI che documenta il proprio percorso. Fonte: delibera SAN-2023-009, Légifrance →
La realtà della maggioranza dei casi trattati dalla CNIL
Sulla stessa pagina ufficiale della CNIL che elenca le delibere, una parte importante delle sanzioni pubblicate si conta in migliaia di euro, non in milioni: un'agenzia pubblicitaria sanzionata con 3 000 euro, due medici con 3 000 e 6 000 euro, un servizio di consegna pasti con 20 000 euro. La sanzione è proporzionata alle dimensioni e alla gravità, non una mannaia uniforme. Fonte: CNIL, le sanzioni pronunciate →
Cosa bisogna ricordare
Una DPIA condotta correttamente non rende un'organizzazione intoccabile: costituisce la prova, in caso di controllo, che l'argomento è stato preso sul serio. È esattamente ciò che l'articolo 83.2 del RGPD chiede di considerare per stabilire, o non stabilire, una multa.
La vostra autorità di controllo, in base al vostro paese
In Europa, ogni paese ha le proprie autorità. Ecco, per i 30 paesi dello Spazio Economico Europeo, l'autorità di protezione dei dati (il vostro interlocutore per il RGPD) e l'autorità nazionale per la cybersicurezza. Ogni nome rimanda al sito ufficiale.
Fonti: siti ufficiali delle autorità ed elenco dei membri dell'EDPB (edpb.europa.eu), consultati il 18 luglio 2026. Autorità di protezione dei dati confermate: 30/30. Autorità di cybersicurezza confermate: 28/30. Le indicazioni «da confermare» segnalano una fonte ufficiale non ancora stabilizzata a oggi.
Pronti a documentare la vostra DPIA?
Descriveteci il vostro trattamento, vi ricontatteremo con un preventivo personalizzato.
Il vostro Microsoft 365: il punteggio gratuito
SYAGA Audit legge la configurazione di sicurezza del vostro Microsoft 365 e vi consegna un punteggio gratuito, punto per punto. È sola lettura: nei limiti dei diritti che Microsoft consente di concedere per la sola lettura, e anche dove un diritto permetterebbe di agire, noi ci limitiamo a leggere. Questo punteggio descrive fatti di configurazione; non garantisce la conformità.