Guida pratica
Valutazione d'impatto sui dati: quando serve nel condominio
La valutazione d'impatto sulla protezione dei dati, spesso indicata come DPIA, è l'analisi che il titolare deve svolgere quando un trattamento può presentare un rischio elevato per i diritti e le libertà delle persone. Non riguarda ogni attività dello studio di amministrazione, ma alcuni trattamenti condominiali possono richiederla, in particolare la videosorveglianza delle parti comuni e i sistemi di controllo degli accessi. Questa guida spiega quando la valutazione è necessaria, come si struttura e come documentarla, così da evitare sia l'omissione sia lo spreco di risorse su trattamenti che non la richiedono.
Quando valutare se serve una DPIA
- Il trattamento comporta monitoraggio sistematico di aree accessibili al pubblico, come la videosorveglianza.
- Si trattano dati su larga scala o categorie particolari, ad esempio dati sanitari o biometrici.
- Si usano tecnologie nuove o soluzioni di controllo degli accessi con dati biometrici.
- Il trattamento combina più insiemi di dati o valuta aspetti personali degli interessati.
- In caso di dubbio, documenta comunque la valutazione preliminare del rischio.
- Se emerge un rischio elevato non mitigabile, consulta l'autorità di controllo prima di iniziare.
Cos'è la DPIA e da dove nasce l'obbligo
L'articolo 35 del GDPR prevede che, quando un tipo di trattamento può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare effettui prima una valutazione d'impatto. È uno strumento di prevenzione: serve a individuare i rischi e a decidere le misure per ridurli prima di avviare il trattamento, non a giochi fatti.
Nel condominio il titolare è la compagine dei partecipanti e l'amministratore organizza il trattamento per suo conto. La DPIA non è quindi un adempimento astratto, ma una responsabilità concreta di chi decide di installare, ad esempio, un sistema di videosorveglianza che riprende ingressi, cortili o aree comuni frequentate quotidianamente dai condomini e da terzi.
I casi condominiali in cui può essere necessaria
Il caso più tipico è la videosorveglianza delle parti comuni. Un impianto che monitora in modo sistematico aree accessibili rientra tra i trattamenti che possono richiedere una valutazione d'impatto, soprattutto quando le telecamere coprono zone ampie o riprendono con continuità il passaggio delle persone. Analogo discorso vale per i sistemi di controllo degli accessi che utilizzano dati biometrici.
Non tutti i trattamenti condominiali richiedono la DPIA. La gestione ordinaria delle anagrafiche, della contabilità e delle comunicazioni non presenta di norma un rischio elevato. La chiave è distinguere: la valutazione va concentrata dove il rischio è davvero significativo, non applicata indiscriminatamente a ogni foglio di calcolo.
- Videosorveglianza sistematica delle parti comuni.
- Controllo degli accessi con dati biometrici.
- Trattamenti che combinano dati di fonti diverse su larga scala.
- Introduzione di tecnologie nuove di cui non si conoscono ancora gli effetti.
Come si struttura la valutazione
Una valutazione d'impatto ben fatta descrive innanzitutto il trattamento: quali dati, con quali finalità, per quanto tempo e con quali strumenti. Poi valuta la necessità e la proporzionalità, cioè se lo scopo può essere raggiunto con mezzi meno invasivi, e analizza i rischi per gli interessati, indicando le misure previste per ridurli, come la limitazione delle aree riprese, i tempi di conservazione contenuti e il controllo degli accessi alle immagini.
Se, nonostante le misure, resta un rischio elevato non mitigabile, il titolare deve consultare preventivamente l'autorità di controllo. Nella pratica condominiale la valutazione va conservata insieme alla delibera assembleare che autorizza l'impianto e all'informativa esposta, così da avere un quadro documentale coerente.
Documentare e rivedere la valutazione
La valutazione d'impatto non è un documento da archiviare e dimenticare. Va rivista quando cambiano gli elementi del trattamento: nuove telecamere, diversa copertura, modifica delle finalità o dei tempi di conservazione. Ogni aggiornamento va datato e conservato nel fascicolo di conformità, insieme alla valutazione originaria.
Un gestionale che tiene insieme documenti, delibere, scadenze e informative aiuta a mantenere ordinato tutto il corredo documentale del trattamento, incluse le valutazioni d'impatto e le misure adottate. Le funzionalità di AmministraPro sono descritte nella pagina /funzioni e i piani nella pagina /prezzi.
Domande frequenti
La videosorveglianza condominiale richiede sempre una DPIA?
Non automaticamente, ma la videosorveglianza sistematica di aree accessibili è tra i trattamenti che possono presentare un rischio elevato e quindi richiedere una valutazione d'impatto. La decisione dipende da estensione, finalità e modalità dell'impianto. In caso di dubbio conviene svolgere e documentare almeno una valutazione preliminare del rischio.
Chi deve fare la valutazione d'impatto nel condominio?
L'obbligo è del titolare del trattamento, cioè il condominio, ma nella pratica è l'amministratore a organizzarla per suo conto, coinvolgendo se necessario un consulente. La valutazione va approvata insieme alla scelta di installare il sistema e conservata come prova della conformità.
Cosa succede se emerge un rischio elevato?
Se, dopo aver previsto le misure di mitigazione, resta un rischio elevato che non è possibile ridurre, il titolare deve consultare preventivamente l'autorità di controllo prima di avviare il trattamento. Questa consultazione è un passaggio previsto dall'articolo 36 del GDPR e va documentato nel fascicolo.
La gestione ordinaria delle anagrafiche richiede una DPIA?
Di norma no. La tenuta delle anagrafiche, della contabilità e delle comunicazioni ordinarie non presenta un rischio elevato per i diritti degli interessati e non richiede una valutazione d'impatto. La DPIA va concentrata sui trattamenti realmente rischiosi, non applicata a ogni attività dello studio.
Prova AmministraPro
Contabilità, ripartizioni millesimali, assemblee, comunicazioni e intelligenza artificiale in un unico software italiano, conforme a UNI 10801 e GDPR.