Valutazione d'impatto sulla protezione dei dati per trasferimenti file

Una Valutazione d'Impatto sulla Protezione dei Dati (DPIA) ai sensi dell'Articolo 35 del GDPR è obbligatoria quando il trattamento "è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche". Per i sistemi di trasferimento file, questa soglia scatta quando trasferisci dati di categorie speciali su larga scala (file sanitari, dati biometrici), monitori sistematicamente i dipendenti, tratti dati di minori o integri flussi massicci di dati personali verso paesi terzi. La DPIA documenta il trattamento, valuta necessità e proporzionalità, identifica i rischi e le misure di attenuazione — prima che il trattamento inizi. Saltarla quando è obbligatoria espone a sanzioni ai sensi dell'Articolo 83(4) fino a 10 milioni di € o al 2% del fatturato globale.

Quando un sistema di trasferimento file richiede una DPIA

L'Articolo 35(3) elenca tre trigger presuntivi: valutazione automatizzata sistematica con effetti legali o significativi, trattamento su larga scala di categorie speciali dell'Articolo 9 o di dati criminali, e monitoraggio sistematico su larga scala di spazi pubblici. La maggior parte delle autorità nazionali di protezione dei dati ha ampliato questo elenco. La lista della CNIL (ottobre 2018, aggiornata periodicamente) aggiunge: uso innovativo di tecnologie, combinazione di dataset di diversi titolari, trattamento di dati di localizzazione o comportamentali, e trattamento di dati di soggetti vulnerabili. Una piattaforma per sperimentazioni cliniche che gestisce imaging DICOM, ID paziente e file genomici attiva l'Articolo 35 dal primo giorno.

Il contenuto obbligatorio dell'Articolo 35(7)

L'Articolo 35(7) specifica quattro componenti minime della DPIA: (a) descrizione sistematica delle operazioni di trattamento e delle finalità; (b) valutazione della necessità e proporzionalità; (c) valutazione del rischio per i diritti e le libertà degli interessati; (d) misure per affrontare i rischi, incluse garanzie e dimostrazione della conformità. Espandi ciascuna: sotto (a) includi diagrammi del flusso dei dati; sotto (b) cita la base giuridica e dimostra che le alternative meno invasive non funzionano; sotto (c) assegna punteggi ai rischi per probabilità e gravità; sotto (d) mappa ogni rischio a un controllo tecnico o organizzativo concreto.

Fase 1: descrivere il flusso di trasferimento da capo a coda

Inizia con un diagramma del flusso dei dati. Endpoint di upload, pre-elaborazione lato client, trasporto (TLS 1.3), ricezione lato server, cifratura a riposo (AES-256-GCM), posizione dell'archiviazione (eu-central-1), email di notifica al destinatario, endpoint di download, decifratura nel browser del destinatario, trigger di cancellazione (scadenza a 7 giorni). Per ogni freccia, documenta le categorie di dati personali (nome, email, contenuto del file, IP, timestamp), gli attori (mittente, piattaforma, destinatario, sub-responsabili) e la finestra di conservazione. Strumenti come il template DPIA di Microsoft o il software PIA della CNIL producono record esportabili accettati dai revisori.

Fase 2: valutare necessità e proporzionalità

L'Articolo 35(7)(b) chiede se il trattamento è necessario per lo scopo dichiarato. Lo stesso obiettivo potrebbe essere raggiunto con meno dati? Per un sistema di trasferimento, le risposte tipiche: l'email del destinatario è necessaria per la consegna (non si può sostituire). L'IP del mittente aiuta nella rilevazione delle frodi ma non è strettamente necessario — registra e scarta dopo 30 giorni invece di conservarlo permanentemente. La scansione dei file per malware è proporzionata se non estrae contenuti al di là delle firme malware. L'indicizzazione in tempo reale dei contenuti per la ricerca è generalmente sproporzionata a meno che gli utenti non vi acconsentano. Documenta ogni valutazione con le alternative considerate.

Fase 3: valutazione del rischio con punteggio

Usa una matrice 5x5 (probabilità x gravità) o la scala 4x4 PIA della CNIL. Elenca le minacce: accesso non autorizzato durante il transito, accesso non autorizzato a riposo, violazione da parte di un insider malintenzionato, divulgazione coatta da parte di autorità straniere, divulgazione accidentale tramite link inviato per errore, conservazione oltre lo scopo, impossibilità di soddisfare i diritti degli interessati. Per ciascuna, assegna un rischio intrinseco prima dei controlli. Per un trasferimento con solo TLS 1.3, la divulgazione accidentale tramite destinatario sbagliato ottiene probabilità 3 (moderata) e gravità 4 (significativa) per i file di business riservati. Dopo la scadenza del link e i log di accesso, la probabilità scende a 2.

Fase 4: identificare e documentare le misure di attenuazione

Ogni rischio ottiene una riga di mitigazione. Accesso non autorizzato in transito: TLS 1.3 con HSTS, certificate pinning nei client mobile. Accesso non autorizzato a riposo: AES-256-GCM con chiavi per file, chiavi master gestite da KMS. Divulgazione coatta: cifratura lato client così il provider detiene solo ciphertext, hosting esclusivamente in UE con provider sovrani (OVH, Scaleway). Link inviati per errore: opzione di protezione con password, notifiche di download, scadenza del link, UI di revoca. Superamento della conservazione: TTL predefinito di 7 giorni, estensione manuale limitata a 30 giorni, verifica documentata della cancellazione. Ogni misura di attenuazione fa riferimento al controllo che la implementa.

Consultazione con il DPO e l'autorità di controllo

L'Articolo 35(2) richiede la consultazione con il Responsabile della Protezione dei Dati se nominato. Il parere del DPO deve essere documentato e il razionale per seguirlo o discostarsene registrato. L'Articolo 36 richiede la consultazione con l'autorità di controllo se il rischio residuo rimane elevato dopo le misure di attenuazione. La CNIL riporta i volumi di consultazione preventiva nel suo rapporto annuale: circa 100-200 l'anno, con il 30-60% che porta a raccomandazioni che richiedono una riconfigurazione. Prevedi due-quattro mesi per la risposta dell'autorità di controllo quando si attiva la consultazione preventiva — blocca il go-live.

Integrazione con la Transfer Impact Assessment

Se l'ambito della DPIA include trasferimenti internazionali, integra la Transfer Impact Assessment ai sensi di Schrems II come allegato. La TIA copre gli stessi rischi da una prospettiva diversa: legge del paese terzo, accesso coatto, efficacia delle SCC. Per uno strumento di trasferimento che usa un CDN statunitense (Cloudflare, Fastly) anche con object storage solo in UE, la TIA deve affrontare se i metadati (IP, header delle richieste) transitino attraverso POP del CDN negli USA e se ciò costituisca un trasferimento. L'orientamento attuale dell'EDPB tratta il routing in transito come trasferimento, quindi affrontalo esplicitamente.

Mantenere la DPIA aggiornata nel tempo

Una DPIA non è un artefatto una tantum. L'Articolo 35(11) richiede la revisione quando il trattamento cambia materialmente. Per un servizio di trasferimento file, i cambiamenti materiali includono: nuovo sub-responsabile, nuovo tipo di file supportato (aggiunta di video quando prima erano solo documenti), espansione a nuove categorie di utenti (consumatori versus aziende), cambiamenti architetturali (passaggio da solo-UE a multi-regione). Rivedi almeno annualmente, documenta la data di revisione e il revisore, e gestisci la DPIA in un registro di conformità con version control. Una DPIA revisionata l'ultima volta nel 2022 ma che riflette ancora il sistema attuale è un segnale d'allarme.

Modelli e risorse efficaci

Il software PIA gratuito della CNIL (versione 3.0, aggiornato nel 2023) produce un PDF DPIA conforme all'Articolo 35(7). L'ICO offre un template DPIA e una DPIA campione per trattamenti ad alto rischio. L'AEPD spagnola pubblica la "Guía Práctica para las Evaluaciones de Impacto". Il manuale ENISA del 2018 sulle misure di sicurezza integra questi strumenti con i controlli tecnici. Per il trasferimento file in specifico, confronta il template con le linee guida del Gruppo di Lavoro Articolo 29 WP248 (adottate nel 2017, approvate dall'EDPB). Provider come HexaTransfer pubblicano documentazione DPIA-ready — diagrammi dell'architettura, specifiche di cifratura, elenchi dei sub-responsabili — che i clienti possono inserire nelle proprie valutazioni.

La DPIA è il documento che le autorità di controllo richiedono per primo in un'indagine. Scrivila prima di andare live. Provalo su hexatransfer.com — gratis, senza registrazione, fino a 10 GB.