Libreria di prompt per la gestione della privacy ISO 27701

Determinare l'ambito della norma ISO 27701 e il nostro ruolo come titolare e/o responsabile del trattamento dei dati personali:

Panoramica dell'organizzazione:
- Nome e settore: [dettagli organizzazione]
- Dati personali trattati: [PII dei clienti, dati dei dipendenti, contatti dei fornitori, dati sanitari, dati finanziari]
- Ambito geografico: [paesi/regioni in cui operiamo e dove si trovano gli interessati]
- Normative sulla privacy applicabili: [GDPR, CCPA, LGPD, PIPEDA, APPI, ecc.]

Determinazione del ruolo:

Titolare del trattamento:
- Determiniamo le finalità e i mezzi del trattamento dei dati personali? [Sì/No]
- Esempi: [trattamento dei dati dei clienti per i nostri servizi, dati HR dei dipendenti, database di marketing]
- Controlli ISO 27701 applicabili: Clausole 6.2-6.16 (requisiti per il titolare)

Responsabile del trattamento:
- Trattiamo dati personali per conto di altri secondo le loro istruzioni? [Sì/No]
- Esempi: [fornitura di hosting cloud, servizi di analisi dei dati, elaborazione paghe per i clienti]
- Controlli ISO 27701 applicabili: Clausole 7.2-7.5 (requisiti per il responsabile)

Ruolo duale:
- Molte organizzazioni sono sia titolari (per il proprio trattamento) che responsabili (per i dati dei clienti)
- Documentare ogni attività di trattamento e il ruolo per quella attività

Ambito del PIMS:
- Dipartimenti/funzioni in ambito: [HR, marketing, vendite, assistenza clienti, IT, prodotto]
- Attività di trattamento dei dati personali in ambito: [elencare le principali attività di trattamento]
- Sistemi e applicazioni: [CRM, sistemi HR, automazione del marketing, database, servizi cloud]
- Esclusioni: [eventuali trattamenti fuori ambito]

Creare Registri delle Attività di Trattamento (RoPA) secondo l'Articolo 30 del GDPR mappando ogni attività al ruolo di titolare/responsabile e ai controlli ISO 27701.

Integrare il Sistema di Gestione delle Informazioni sulla Privacy con l'ISMS ISO 27001 esistente:

Stato dell'ISMS ISO 27001:
- Certificato: [Sì/No, organismo di certificazione, data di certificazione]
- Implementato ma non certificato: [livello di maturità]
- Non ancora implementato: [ISO 27701 richiede una base ISO 27001 - implementare prima l'ISMS]

Approccio all'integrazione del PIMS:

1. Contesto dell'ISMS (Clausola 4): Estendere per includere la privacy
- Parti interessate: Aggiungere gli interessati, le autorità di protezione dei dati (DPA), il responsabile della protezione dei dati (DPO)
- Requisiti legali e normativi: Aggiungere GDPR, CCPA, altre leggi sulla privacy
- Ambito: Estendere per coprire le attività di trattamento dei dati personali

2. Leadership (Clausola 5): Governance della privacy
- Impegno della direzione verso la privacy
- Politica sulla privacy integrata con la politica di sicurezza delle informazioni
- Ruoli e responsabilità: Designare il DPO o responsabile della privacy, champion della privacy
- Privacy nella gestione dei rischi e negli obiettivi

3. Pianificazione (Clausola 6): Valutazione dei rischi per la privacy
- Identificare i rischi per la privacy (divulgazione non autorizzata, raccolta eccessiva, mancanza di consenso, violazioni dei diritti degli interessati)
- Valutazioni d'impatto sulla privacy (PIA/DPIA) per il trattamento ad alto rischio
- Obiettivi e metriche per la privacy

4. Supporto (Clausola 7): Consapevolezza e competenza sulla privacy
- Formazione sulla privacy per tutto il personale che tratta dati personali
- Formazione specializzata per ruoli specifici (DPO, sviluppatori, addetti al marketing)
- Consapevolezza della protezione dei dati by design e by default

5. Operatività (Clausola 8): Implementazione dei controlli sulla privacy
- Implementare l'Allegato A della norma ISO 27701 (controlli per il titolare) e l'Allegato B (controlli per il responsabile)
- Privacy by design nei nuovi sistemi e processi
- Procedure per i diritti degli interessati (accesso, cancellazione, portabilità, opposizione)
- Gestione del consenso, informative sulla privacy
- Gestione dei fornitori per i responsabili del trattamento

6. Valutazione delle prestazioni (Clausola 9): Monitoraggio della privacy
- Metriche e KPI sulla privacy (DSAR gestite in tempo, tassi di consenso, incidenti sulla privacy)
- Audit sulla privacy (interni, esterni, ispezioni delle DPA)
- Riesame della direzione includendo le prestazioni sulla privacy

7. Miglioramento (Clausola 10): Gestione degli incidenti e miglioramento della privacy
- Risposta e notifica delle violazioni dei dati personali (72 ore alla DPA, senza indebito ritardo agli interessati)
- Azioni correttive derivanti da audit e incidenti sulla privacy
- Miglioramento continuo della privacy

Creare una struttura documentale del PIMS estendendo la documentazione esistente dell'ISMS: addendum alla politica sulla privacy, procedure specifiche per la privacy, mappatura dei controlli sulla privacy agli Allegati A/B della norma ISO 27701.

Sviluppare informative sulla privacy e meccanismi di trasparenza secondo i requisiti del titolare della norma ISO 27701:

6.2 - Identificare e documentare la finalità:
- Per ogni attività di trattamento, documentare: finalità, base giuridica, dati raccolti, periodo di conservazione, destinatari

6.3 - Identificare la base giuridica (Articolo 6 GDPR):
- Consenso: [quando ci affidiamo al consenso]
- Contratto: [trattamento necessario per l'esecuzione del contratto]
- Obbligo legale: [conformità alle leggi]
- Interessi vitali: [situazioni di vita o morte]
- Compito di interesse pubblico: [funzioni di autorità pubblica]
- Interessi legittimi: [bilanciamento degli interessi, valutazione degli interessi legittimi]

6.4 - Ottenere e registrare il consenso (quando applicabile):
- Il consenso deve essere: libero, specifico, informato, inequivocabile, dimostrabile
- Meccanismi di consenso: [caselle di spunta, moduli di opt-in, piattaforme di gestione del consenso]
- Registri del consenso: chi, quando, cosa, come, metodo di revoca
- Consenso per i dati di categoria speciale (consenso esplicito per dati sensibili: salute, biometrici, ecc.)
- Dati dei minori: Consenso dei genitori per minori di 13/16 anni (a seconda della giurisdizione)

Requisiti dell'informativa sulla privacy (trasparenza):
- Identità e dettagli di contatto del titolare del trattamento
- Dettagli di contatto del Responsabile della Protezione dei Dati (se applicabile)
- Finalità e base giuridica per ogni finalità
- Categorie di dati personali raccolti
- Destinatari o categorie di destinatari (terze parti, responsabili del trattamento, trasferimenti internazionali)
- Periodi di conservazione o criteri
- Diritti degli interessati (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione, revoca del consenso)
- Diritto di proporre reclamo presso l'autorità di controllo
- Se la fornitura dei dati personali è un requisito contrattuale/legale o necessario per il contratto
- Processo decisionale automatizzato inclusa la profilazione (logica, significato, conseguenze)
- Trasferimenti internazionali e garanzie (SCC, decisioni di adeguatezza, BCR)

Formati dell'informativa sulla privacy:
- Approccio stratificato: Informativa breve (punti chiave) + politica sulla privacy completa (dettagli completi)
- Informative contestuali: Informazioni sulla privacy nei punti di raccolta
- Formati accessibili: Linguaggio semplice, traduzioni, accessibile per disabilità

Creare modelli di informative sulla privacy per:
- Visitatori del sito web e clienti
- Dipendenti e candidati
- Fornitori e contatti commerciali
- Categorie speciali (minori, interessati a dati sanitari, ecc.)

Mappare agli Articoli 13-14 del GDPR, ai requisiti di divulgazione del CCPA e ad altre leggi applicabili sulla privacy.

Implementare procedure per l'adempimento dei diritti degli interessati secondo la norma ISO 27701:

6.5 - Privacy by design e by default:
- Integrare la privacy nel ciclo di vita della progettazione e dello sviluppo dei sistemi
- Impostazioni predefinite: Raccogliere solo i dati personali necessari, limitare il trattamento alla finalità, limitare l'accesso, limitare la conservazione
- Tecnologie per la valorizzazione della privacy: Crittografia, pseudonimizzazione, anonimizzazione

6.6 a 6.10 - Procedure per i diritti degli interessati:

Diritto di Accesso (Articolo 15 GDPR):
- Metodo di richiesta: [portale online, email, richiesta scritta]
- Verifica dell'identità (prevenire la divulgazione non autorizzata)
- Tempistica di risposta: 1 mese (prorogabile di 2 mesi se complessa)
- Informazioni da fornire: Copia dei dati personali, finalità del trattamento, categorie, destinatari, conservazione, diritti, decisioni automatizzate
- Formato: Strutturato, di uso comune, leggibile da macchina (es. JSON, CSV)

Diritto di Rettifica (Articolo 16 GDPR):
- Procedura per correggere dati personali inaccurati o incompleti
- Notifica ai destinatari se i dati personali sono stati divulgati
- Tempistica: 1 mese

Diritto alla Cancellazione / Diritto all'Oblio (Articolo 17 GDPR):
- Motivi per la cancellazione: Non più necessari, consenso revocato, opposizione, trattamento illecito, obbligo legale
- Eccezioni: Rivendicazioni legali, libertà di espressione, obblighi legali, interesse pubblico
- Procedure tecniche: Cancellazione dei dati, eliminazione dai backup (o marcatura per la cancellazione al ripristino)
- Notifica ai destinatari e ai motori di ricerca (se divulgati pubblicamente)

Diritto alla Limitazione del Trattamento (Articolo 18 GDPR):
- Motivi: Accuratezza contestata, trattamento illecito, non più necessari ma l'interessato ne ha bisogno per rivendicazioni legali, opposizione in attesa
- Marcare i dati personali come limitati, limitare il trattamento alla sola conservazione (eccetto con consenso o rivendicazioni legali)

Diritto alla Portabilità dei Dati (Articolo 20 GDPR):
- Ambito: Trattamento automatizzato basato su consenso o contratto
- Fornire i dati personali in formato strutturato, leggibile da macchina
- Trasmettere direttamente a un altro titolare se tecnicamente fattibile

Diritto di Opposizione (Articolo 21 GDPR):
- Motivi: Trattamento basato su interessi legittimi o interesse pubblico
- Interrompere il trattamento a meno che non vi siano motivi legittimi prevalenti
- Marketing diretto: Diritto assoluto di opposizione, nessun bilanciamento
- Opt-out dalle decisioni automatizzate

Diritto di non essere sottoposto a decisioni automatizzate inclusa la profilazione (Articolo 22 GDPR):
- Divieto di decisioni completamente automatizzate con effetti legali/significativi (a meno di consenso, contratto o legge)
- Meccanismo di revisione umana per le decisioni automatizzate
- Spiegazione della logica, significato e conseguenze

Infrastruttura per i diritti degli interessati:
- Ricezione delle richieste: [modulo web, indirizzo email, linea telefonica]
- Sistema di tracciamento delle richieste: [sistema di ticketing, piattaforma DSAR]
- Processo di verifica dell'identità
- Modelli di risposta per tipo di diritto
- Escalation per richieste complesse
- Metriche: Volume delle richieste, tipo, tempo di risposta, tasso di adempimento

Creare procedure DSAR, moduli di richiesta, modelli di risposta e materiali di formazione per i team che gestiscono le richieste.

Gestire il ciclo di vita dei dati personali secondo i requisiti del titolare della norma ISO 27701:

6.11 - Limitare la raccolta:
- Minimizzazione dei dati: Raccogliere solo i dati personali necessari per la finalità specificata
- Limitazione della finalità: Trattare solo per la finalità originale (o finalità compatibile)
- Valutazione della limitazione della raccolta per ogni attività di trattamento

6.12 - Accuratezza e qualità:
- Processi per garantire che i dati personali siano accurati, completi e aggiornati
- Revisione e validazione periodica (es. conferma annuale dell'email, revisione dei profili dei clienti)
- Rettifica su richiesta o rilevamento di errori
- Cancellazione o limitazione dei dati inaccurati

6.13 - Conservazione e smaltimento dei dati personali:
- Programma di conservazione: Specificare il periodo di conservazione per ogni categoria di dati personali e finalità
- Giustificazione della conservazione: Requisiti legali, esigenze aziendali, durata del consenso
- Cancellazione o anonimizzazione automatica alla fine della conservazione
- Metodi di smaltimento sicuro: [cancellazione, wiping, anonimizzazione, distruzione]
- Conservazione dei backup allineata alla politica di conservazione

Esempio di programma di conservazione:
- Dati dell'account cliente: Conservati mentre l'account è attivo + [X anni] per obblighi legali/garanzia
- Consensi di marketing: Fino alla revoca del consenso o [X anni] di inattività
- Dati dei dipendenti: Durata del rapporto di lavoro + [X anni] per obblighi legali (tasse, diritto del lavoro)
- Registrazioni CCTV: [30 giorni] salvo indagini su incidenti

6.14 - De-identificazione, pseudonimizzazione, anonimizzazione dei dati personali:
- Pseudonimizzazione: Sostituire i campi identificativi con pseudonimi, mantenere la capacità di re-identificare con una chiave
- Anonimizzazione: De-identificazione irreversibile, impossibilità di re-identificazione (fuori dall'ambito del GDPR)
- Casi d'uso: Analisi, ambienti di test, ricerca, divulgazione pubblica
- Tecniche: Hashing, tokenizzazione, generalizzazione, mascheramento dei dati

6.15 - Gestione dei file temporanei:
- File temporanei, cache, log contenenti dati personali
- Limiti di conservazione e cancellazione per i file temporanei
- Cancellazione sicura dallo storage temporaneo

6.16 - Smaltimento:
- Smaltimento sicuro alla fine della conservazione o su richiesta di cancellazione
- Metodi: Cancellazione sicura, degaussing, triturazione, sovrascrittura
- Verifica dello smaltimento e registri
- Smaltimento dei dati personali su sistemi e supporti dismessi

Creare una politica di conservazione dei dati, procedure di smaltimento e registri di smaltimento per il percorso di audit.

Implementare i controlli per il responsabile del trattamento dei dati personali secondo la norma ISO 27701:

7.2 - Trattamento in conformità alle istruzioni del cliente (titolare):
- Trattare i dati personali solo su istruzioni documentate dal cliente
- Istruzioni documentate nel contratto/accordo di trattamento dei dati (DPA)
- Avvisare il cliente se l'istruzione viola le leggi sulla privacy (valutazione legale)
- Non trattare per scopi propri (a meno di requisito legale o con il consenso del cliente)

7.3 - Sicurezza del trattamento dei dati personali:
- Implementare misure di sicurezza secondo le norme ISO 27001/27002
- Sicurezza aggiuntiva specifica per il responsabile: Crittografia, pseudonimizzazione, controlli di accesso, log di audit
- Obblighi di sicurezza nei contratti
- Diritti di audit del cliente e fornitura di informazioni
- Notificare al cliente le violazioni dei dati personali senza indebito ritardo

7.4 - Coinvolgimento di sub-responsabili:
- Ottenere l'autorizzazione del cliente per i sub-responsabili (autorizzazione specifica o generale)
- Notifica al cliente e opportunità di opposizione per nuovi sub-responsabili
- Imporre gli stessi obblighi di protezione dei dati ai sub-responsabili (clausole di flusso)
- Il responsabile rimane responsabile per la conformità del sub-responsabile
- Registro e gestione dei sub-responsabili

7.5 - Assistenza al cliente (titolare):
- Assistere il cliente nel rispondere alle richieste dei diritti degli interessati (accesso, cancellazione, ecc.)
- Assistere nella risposta agli incidenti di sicurezza e nella notifica delle violazioni
- Assistere con le Valutazioni d'Impatto sulla Protezione dei Dati (DPIA) per il cliente
- Fornire informazioni per le attività di conformità del cliente
- Restituire o cancellare i dati personali alla fine del contratto (scelta del cliente)
- Dimostrare la conformità tramite audit, certificazioni, attestazioni

Documentazione specifica per il responsabile:
- Modello di Accordo di Trattamento dei Dati (DPA) con clausole conformi al GDPR
- Elenco dei sub-responsabili e processo di approvazione
- Registro delle istruzioni (log delle istruzioni ricevute ed eseguite dal cliente)
- Procedura di assistenza DSAR (come aiutiamo il cliente a soddisfare le richieste degli interessati)
- Procedura di notifica delle violazioni ai clienti
- Procedura di restituzione/cancellazione dei dati personali alla fine del contratto

Creare un framework di conformità per il responsabile: modelli DPA, gestione dei sub-responsabili, procedure di assistenza al cliente, materiali di supporto per gli audit.

Implementare meccanismi conformi per il trasferimento internazionale di dati personali secondo la norma ISO 27701:

I nostri trasferimenti internazionali di dati:
- Tipi di dati personali trasferiti: [dati dei clienti, dati dei dipendenti, ecc.]
- Paesi di origine del trasferimento: [SEE, Regno Unito, USA, ecc.]
- Paesi di destinazione del trasferimento: [USA, India, Filippine, ecc.]
- Finalità del trasferimento: [hosting cloud, servizi di supporto, sviluppo, analisi]
- Metodi di trasferimento: [storage cloud, API, email, trasferimenti di file]

Meccanismi di trasferimento del Capitolo V del GDPR:

1. Decisioni di adeguatezza (Articolo 45 GDPR):
- I trasferimenti verso paesi con decisione di adeguatezza sono senza restrizioni: [Regno Unito, Svizzera, Giappone, Canada (commerciale), Israele, ecc.]
- Trasferimenti verso gli USA: Data Privacy Framework (DPF) per le aziende statunitensi certificate
- Verificare che il destinatario si trovi in un paese adeguato o sia certificato DPF

2. Clausole Contrattuali Standard (SCC) (Articolo 46 GDPR):
- SCC approvate dalla Commissione UE (SCC 2021 per titolari/responsabili)
- Eseguire il modulo SCC appropriato: C2C (titolare a titolare), C2P (titolare a responsabile), P2P (responsabile a responsabile), P2C (responsabile a titolare)
- Valutazione d'Impatto sul Trasferimento (TIA): Valutare le leggi del paese di destinazione, i rischi di accesso da parte del governo, le misure supplementari necessarie
- Misure supplementari se le leggi del paese minano le SCC: Crittografia, pseudonimizzazione, minimizzazione dei dati, sfide legali

3. Regole Aziendali Vincolanti (BCR) (Articolo 47 GDPR):
- Politiche interne vincolanti per gruppi multinazionali che trasferiscono dati personali all'interno del gruppo
- Richiedono l'autorizzazione della DPA (processo di approvazione lungo)
- Alternativa alle SCC per grandi organizzazioni con frequenti trasferimenti intra-gruppo

4. Deroghe per situazioni specifiche (Articolo 49 GDPR):
- Consenso esplicito per trasferimenti occasionali (non per trasferimenti sistematici)
- Necessità contrattuale, rivendicazioni legali, interessi vitali, interesse pubblico
- Utilizzare con parsimonia, non per trasferimenti aziendali regolari

Implementazione:
- Inventario di tutti i trasferimenti internazionali (mappatura dei dati)
- Classificazione per meccanismo di trasferimento (adeguatezza, SCC, deroghe)
- Esecuzione delle SCC con tutti i destinatari in paesi non adeguati
- Condurre Valutazioni d'Impatto sul Trasferimento per destinazioni ad alto rischio
- Implementare misure supplementari (crittografia in transito e a riposo, controlli di accesso)
- Monitorare i cambiamenti nelle decisioni di adeguatezza e nelle sentenze dei tribunali (implicazioni Schrems II)

Creare un registro dei trasferimenti internazionali, un repository delle SCC, documentazione TIA e un piano di implementazione delle misure supplementari.

Affrontare i requisiti di trasferimento transfrontaliero del CCPA, LGPD, APPI e di altre giurisdizioni se applicabili.

Sviluppare una risposta alle violazioni dei dati personali secondo gli Articoli 33-34 del GDPR e la norma ISO 27701:

Definizione di Violazione dei Dati Personali (GDPR):
- Violazione della sicurezza che porta alla distruzione, perdita, alterazione, divulgazione non autorizzata o accesso accidentale o illecito ai dati personali

Tipi di violazione:
- Violazione della riservatezza: Accesso o divulgazione non autorizzati
- Violazione dell'integrità: Alterazione o corruzione non autorizzata dei dati
- Violazione della disponibilità: Perdita di accesso o distruzione dei dati

Procedura di risposta alle violazioni:

1. Rilevamento e valutazione iniziale:
- Fonti di rilevamento delle violazioni: Monitoraggio della sicurezza, segnalazioni dei dipendenti, notifica di terze parti, reclami degli interessati
- Triage iniziale: Si tratta di una violazione dei dati personali? Quali dati personali sono interessati? Quanti interessati?
- Contenimento: Fermare la violazione in corso, prevenire ulteriori esposizioni

2. Valutazione della violazione e decisione:
- Rischio per gli interessati: Probabilità e gravità del danno (furto di identità, perdita finanziaria, discriminazione, danno alla reputazione, danno fisico)
- Fattori di rischio: Sensibilità dei dati (dati di categoria speciale = rischio più elevato), volume, identificabilità, facilità di identificazione, conseguenze per gli interessati, interessati vulnerabili (minori)
- Decisione di notifica:
  - Notificare alla DPA se esiste un rischio per i diritti e le libertà (Articolo 33 GDPR) → Entro 72 ore dalla consapevolezza
  - Notificare agli interessati se esiste un rischio elevato (Articolo 34 GDPR) → Senza indebito ritardo
  - Documentare la decisione (anche se non si notifica, documentare il motivo)

3. Notifica alla DPA (entro 72 ore) - Articolo 33 GDPR:
- Descrizione della violazione: Natura, categorie di interessati e record, numeri approssimativi
- Punto di contatto: DPO o persona di contatto
- Probabili conseguenze della violazione
- Misure adottate o proposte per affrontare la violazione e mitigare il danno

Se la notifica supera le 72 ore, spiegare i motivi del ritardo. È consentita una notifica graduale se le informazioni complete non sono inizialmente disponibili.

4. Notifica agli interessati (se rischio elevato) - Articolo 34 GDPR:
- Descrizione chiara e semplice della violazione
- Punto di contatto per ulteriori informazioni
- Probabili conseguenze
- Misure adottate o proposte per mitigare il danno

Eccezioni alla notifica agli interessati:
- Sono state applicate misure tecniche/organizzative di protezione appropriate (es. crittografia che ha reso i dati illeggibili)
- Misure successive eliminano il rischio elevato
- Sforzo sproporzionato (comunicazione pubblica invece)

5. Indagine e rimedio:
- Analisi della causa radice (come è avvenuta la violazione?)
- Azioni di rimedio (correzione delle vulnerabilità, miglioramento dei controlli, revoca degli accessi)
- Conservazione delle prove (forensi, log)
- Considerazioni legali e normative (altre leggi sulla notifica delle violazioni: leggi statali sulla notifica delle violazioni negli USA, ecc.)

6. Documentazione:
- Registro delle violazioni: Data, fatti, effetti, azioni correttive (Articolo 33(5) GDPR)
- Registri delle notifiche: Cosa è stato segnalato, quando, a chi
- Rapporto di indagine interna
- Corrispondenza con la DPA

7. Riesame post-violazione:
- Lezioni apprese
- Miglioramento dei controlli
- Aggiornamenti delle politiche e delle procedure
- Formazione basata sulle cause della violazione

Creare un piano di risposta alle violazioni, modelli di notifica (DPA e interessati), registro delle violazioni e materiali di formazione.

Integrare con la gestione degli incidenti ISO 27001, garantire il coordinamento tra i team di sicurezza e privacy.

Condurre Valutazioni d'Impatto sulla Protezione dei Dati secondo l'Articolo 35 del GDPR e la norma ISO 27701:

Casi che richiedono una DPIA (quando necessaria):
- Profilazione sistematica ed estesa con effetti significativi
- Trattamento su larga scala di dati di categoria speciale (salute, biometrici, ecc.) o condanne penali
- Monitoraggio sistematico di aree accessibili al pubblico su larga scala (es. CCTV)
- Nuove tecnologie con alto rischio per la privacy
- Trattamento che impedisce agli interessati di esercitare diritti o utilizzare servizi
- Combinazione di più criteri dell'Articolo 35(3) del GDPR

DPIA non obbligatoria ma raccomandata per:
- Qualsiasi nuovo trattamento con rischio per la privacy
- Cambiamenti significativi nel trattamento esistente

Processo DPIA:

1. Definizione dell'ambito e descrizione del trattamento:
- Descrizione dell'attività di trattamento (sistematica, finalità, contesto, natura, ambito, volume)
- Flussi di dati e ciclo di vita (raccolta, utilizzo, conservazione, condivisione, conservazione, cancellazione)
- Categorie di dati personali e interessati
- Tecnologie e sistemi coinvolti
- Responsabili del trattamento e terze parti
- Trasferimenti transfrontalieri

2. Valutazione della necessità e proporzionalità:
- Il trattamento è necessario per la finalità? (Minimizzazione dei dati)
- La finalità è legittima e specifica?
- Esistono alternative meno intrusive?
- Proporzionalità: Benefici vs. impatto sulla privacy

3. Identificazione dei rischi:
- Rischi per gli interessati (non rischi per l'organizzazione): Discriminazione, furto di identità, perdita finanziaria, danno alla reputazione, perdita di riservatezza, danno fisico, perdita di controllo sui dati personali
- Gravità dell'impatto se il rischio si materializza (minimo, limitato, significativo, grave)
- Probabilità del rischio (trascurabile, possibile, probabile, certo)

4. Misure di mitigazione dei rischi:
- Misure tecniche: Crittografia, pseudonimizzazione, anonimizzazione, controlli di accesso, monitoraggio
- Misure organizzative: Politiche, formazione, supervisione del DPO, gestione dei fornitori, limiti di conservazione dei dati
- Salvaguardie per gli interessati: Trasparenza, consenso, meccanismi dei diritti, revisione umana delle decisioni automatizzate
- Rischio residuo dopo la mitigazione

5. Consultazione degli stakeholder:
- Consultare il Responsabile della Protezione dei Dati (obbligatorio se designato)
- Consultare gli interessati o i loro rappresentanti (ove appropriato)
- Documentare le opinioni ottenute e come sono state affrontate

6. Consultazione con la DPA (se rischio residuo elevato):
- Se il rischio residuo rimane elevato nonostante la mitigazione, consultare l'autorità di controllo (DPA) prima del trattamento
- La DPA fornisce consigli sulla mitigazione o vieta il trattamento

7. Esiti e decisioni della DPIA:
- Decisione: Procedere con il trattamento, procedere con ulteriori salvaguardie o non procedere
- Approvazione e firma (direzione, DPO)
- Trigger per la revisione continua (annuale, cambiamento nel trattamento, incidente)

Documentazione DPIA:
- Descrizione sistematica del trattamento e delle finalità
- Valutazione della necessità e proporzionalità
- Valutazione dei rischi per gli interessati
- Misure per affrontare i rischi e dimostrare la conformità
- Registri delle consultazioni con gli stakeholder
- Parere del DPO
- Approvazione della direzione

Creare un modello di DPIA, una metodologia di valutazione dei rischi e un registro delle DPIA che tracci tutte le valutazioni e le date di revisione.

Integrare la DPIA nel ciclo di vita del progetto: Attivare la DPIA durante la fase di pianificazione per nuovi sistemi/processi di trattamento, non dopo l'implementazione.