Modelli e registrazioni · ISO 27701 · Punto A.1

Modello di valutazione d’impatto sulla privacy ISO 27701

L’analisi approfondita da fare prima di avviare un trattamento ad alto rischio: che cosa si farà, se è necessario e proporzionato, che cosa può danneggiare le persone e come lo si evita.

In una frase

La valutazione d’impatto sulla privacy descrive il trattamento e le sue finalità, ne valuta la necessità e la proporzionalità, analizza i rischi per i diritti e le libertà degli interessati e fissa le misure per affrontarli, che è il contenuto minimo dell’articolo 35.7 del GDPR; la ISO/IEC 27701 la include tra i controlli del titolare della tabella A.1.

Contenuto revisionato il 17 ottobre 2026

Dove lo richiede la norma: ISO 27701 · Punto A.1 Si cita l’edizione 2025: i numeri da 4 a 10 sono capitoli; A.1, A.2 e A.3 sono le tabelle dell’Appendice A con i controlli del titolare, del responsabile e comuni a entrambi.
Tipo di informazione: Registrazione obbligatoria Registrazione da conservare quando il trattamento la richiede (art. 35 GDPR; controllo della tabella A.1)
Chi lo compila: Il titolare del trattamento, con il responsabile della protezione dei dati Il responsabile del trattamento collabora fornendo le informazioni di cui dispone (art. 28.3.f GDPR)
Quando: Prima di avviare il trattamento E di nuovo quando cambia il rischio (art. 35.11 GDPR)
Per quanto tempo si conserva: Per tutta la durata del trattamento E per il periodo successivo che l’organizzazione stabilisce per poter dimostrare che è stata fatta in tempo

Che cosa richiede la norma

Che cosa impone la norma ISO 27701 e che cosa lascia alla sua discrezione

La norma chiede al titolare di valutare l’impatto sulla privacy quando un nuovo trattamento o una modifica lo rendono necessario, e di conservarne l’esito. Il GDPR ne fa un obbligo quando è probabile un rischio elevato per i diritti e le libertà, e cita come casi la valutazione sistematica con effetti giuridici, il trattamento su larga scala di categorie particolari e la sorveglianza sistematica su larga scala di zone accessibili al pubblico.

L’articolo 35.7 fissa il contenuto minimo e il 35.2 obbliga a consultare il responsabile della protezione dei dati, se designato. Se il rischio residuo resta elevato, occorre consultare l’autorità di controllo prima di procedere al trattamento (art. 36).

Il fatto che non sia obbligatoria non impedisce di farla: molte organizzazioni la applicano in forma semplificata a ogni nuovo trattamento, ed è bene mettere per iscritto perché si è deciso che quella completa non serviva.

Lo legga nel contesto: Controlli per titolari e responsabili, nell’Academy ISO 27701

Struttura

Campi che il modello deve contenere

Descrizione sistematica del trattamento e delle sue finalità
Interesse legittimo perseguito, se è la base giuridica
Valutazione della necessità e della proporzionalità
Rischi per i diritti e le libertà degli interessati
Misure previste: garanzie, sicurezza e meccanismi di protezione
Parere del responsabile della protezione dei dati
Parere degli interessati, se raccolto
Rischio residuo e decisione: procedere, modificare o consultare l’autorità
Data, approvazione e prossima revisione

Esempio

Esempio: rilevazione presenze biometrica in uno stabilimento fittizio

Azienda, persone e cifre inventate: l’esempio mostra soltanto come si presenta una registrazione compilata correttamente.

Campo	Contenuto
Trattamento	Registrazione dell’orario con impronta digitale · Conserve Valdora (fittizia), 140 lavoratori
Necessità	Confronto con badge e app mobile: entrambi raggiungono la finalità senza dati biometrici
Rischi	Trattamento di categorie particolari; fuga irreversibile dei modelli biometrici
Parere dell’RPD	Sconsiglia l’impronta per mancanza di proporzionalità
Decisione	Si scarta la biometria e si adotta un badge con codice · 20 gennaio 2026
Revisione	Alla proposta di qualsiasi modifica del sistema di timbratura

In audit

Errori che gli auditor rilevano più spesso

La valutazione si fa dopo aver acquistato e messo in uso lo strumento.
Si limita a un questionario di sicurezza senza analizzare necessità e proporzionalità.
Non risulta il parere del responsabile della protezione dei dati.
Non è scritto perché un trattamento a rischio non ha richiesto una valutazione completa.

In Kimobox

Come si gestisce questa registrazione in Kimobox

1L’avvio di un nuovo trattamento passa da un flusso che chiede se serve una valutazione d’impatto.
2La valutazione si documenta come modulo con l’approvazione dell’RPD e della direzione.
3Le misure concordate diventano azioni con responsabile, scadenza e avviso di ritardo.

Domande frequenti

Cosa ci chiedono prima di iniziare

Quando è obbligatoria?

Quando un trattamento presenta probabilmente un rischio elevato per i diritti e le libertà delle persone (art. 35.1 GDPR). Le autorità di controllo pubblicano elenchi dei trattamenti che la richiedono.

La fa il responsabile del trattamento?

No: l’obbligo è del titolare. Il responsabile lo assiste con le informazioni sui propri mezzi e sulle proprie misure.

Gestisca le registrazioni ISO 27701 senza modelli sparsi

Le mostriamo il modulo in funzione con dati simili ai suoi.

Richiedi una demo

Continua a esplorare