# Estratto: GDPR Art. 35 - DPIA + Art. 36 - Consultazione preventiva

**Fonte**: `sources.yaml` id `gdpr-it-garante-2018`
**Documento**: Reg. UE 2016/679 - testo italiano arricchito Garante
**Data consultazione**: 2026-05-10 (verificato SHA256 - coincide con hash dichiarato)
**Hash SHA256**: 16c0bb358414707b194678bdf80d7e4ba721a0d9cb0e76965569257b75be3e58
**Licenza**: testo regolamentare UE in pubblico dominio.
**Testo di riferimento**: `references/fonti/gdpr-it-garante-2018.md`

---

## Articolo 35 - Valutazione d'impatto sulla protezione dei dati (Cons. 84, 89-93, 95)

**1.** Quando un tipo di trattamento, allorche' prevede in particolare l'**uso di nuove tecnologie**, considerati la natura, l'oggetto, il contesto e le finalita' del trattamento, **puo' presentare un rischio elevato per i diritti e le liberta' delle persone fisiche**, il titolare del trattamento effettua, prima di procedere al trattamento, una valutazione dell'impatto dei trattamenti previsti sulla protezione dei dati personali. Una singola valutazione puo' esaminare un insieme di trattamenti simili che presentano rischi elevati analoghi.

**2.** Il titolare del trattamento, allorquando svolge una DPIA, **si consulta con il DPO**, qualora ne sia designato uno.

**3.** La DPIA e' richiesta in particolare nei casi seguenti:

- **a) valutazione sistematica e globale di aspetti personali** relativi a persone fisiche, basata su un trattamento automatizzato, **compresa la profilazione**, e sulla quale si fondano decisioni che hanno effetti giuridici o incidono in modo analogo significativamente su dette persone fisiche;
- **b) trattamento, su larga scala, di categorie particolari di dati personali** di cui all'articolo 9, paragrafo 1, **o di dati relativi a condanne penali e a reati** di cui all'articolo 10; o
- **c) sorveglianza sistematica su larga scala di una zona accessibile al pubblico**.

**4.** L'autorita' di controllo redige e rende pubblico un elenco delle tipologie di trattamenti soggetti al requisito di una DPIA ai sensi del paragrafo 1.
> **In Italia**: vedi `garante-allegato1-prov467-2018.md` per l'elenco delle 12 tipologie italiane.

**5.** L'autorita' di controllo puo' inoltre redigere e rendere pubblico un elenco delle tipologie di trattamenti per le quali NON e' richiesta una DPIA.

**6.** [meccanismo di coerenza tra autorita' europee]

**7.** **La valutazione contiene almeno**:

- **a) descrizione sistematica dei trattamenti previsti e delle finalita'** del trattamento, compreso, ove applicabile, l'interesse legittimo perseguito dal titolare del trattamento;
- **b) valutazione della necessita' e proporzionalita'** dei trattamenti in relazione alle finalita';
- **c) valutazione dei rischi per i diritti e le liberta' degli interessati** di cui al paragrafo 1; e
- **d) misure previste per affrontare i rischi**, includendo le garanzie, le misure di sicurezza e i meccanismi per garantire la protezione dei dati personali e dimostrare la conformita' al presente regolamento, tenuto conto dei diritti e degli interessi legittimi degli interessati e delle altre persone in questione.

**8.** Nel valutare l'impatto del trattamento e' tenuto in debito conto il rispetto dei codici di condotta approvati di cui all'articolo 40.

**9.** Se del caso, il titolare del trattamento **raccoglie le opinioni degli interessati** o dei loro rappresentanti sul trattamento previsto, fatta salva la tutela degli interessi commerciali o pubblici o la sicurezza dei trattamenti.

**10.** Esenzione: se il trattamento si fonda sull'art. 6 par. 1 lett. c) o e) (obbligo legale o interesse pubblico) e una DPIA e' gia' stata effettuata in fase di adozione della base giuridica, i paragrafi 1-7 non si applicano (salvo diversa previsione dello Stato membro).

**11.** Il titolare procede a un **riesame** della DPIA quando insorgono variazioni del rischio.

---

## Articolo 36 - Consultazione preventiva (Cons. 94-96)

**1.** Il titolare del trattamento, prima di procedere al trattamento, **consulta l'autorita' di controllo** qualora la DPIA ai sensi dell'art. 35 indichi che il trattamento presenterebbe un rischio elevato in assenza di misure adottate per attenuare il rischio.

**2.** L'autorita' di controllo fornisce, entro 8 settimane (prorogabili di 6), parere scritto qualora ritenga che il trattamento previsto violi il regolamento.

**3.** Al momento di consultare l'autorita' di controllo, il titolare comunica:
- **a)** rispettive responsabilita' titolare/contitolari/responsabili
- **b)** finalita' e mezzi del trattamento previsto
- **c)** misure e garanzie previste
- **d)** dati di contatto del DPO
- **e)** la DPIA di cui all'articolo 35
- **f)** ogni altra informazione richiesta

---

## Sintesi operativa - i 4 contenuti minimi della DPIA (par. 7)

Una DPIA conforme contiene **almeno** questi 4 elementi:

1. **Descrizione** sistematica dei trattamenti e finalita'
2. **Necessita' e proporzionalita'** rispetto alle finalita'
3. **Valutazione dei rischi** per gli interessati
4. **Misure** per affrontare i rischi

Per i **9 criteri WP248 rev. 01** (linee guida WP29 endorsed EDPB) che precisano quando un
trattamento e' "ad alto rischio" ai fini del par. 1, vedi l'estratto dedicato:
`references/estratti/wp248-criteri.md` (fonte verificata: SHA256 `4de1ee2df6bb...`).

In Italia, l'**Allegato 1 al Provv. Garante 467/2018** definisce 12 tipologie per cui la DPIA e'
richiesta esplicitamente: vedi `references/estratti/garante-allegato1-prov467-2018.md`.

## Sanzioni

Violazione art. 35-36: sanzione amministrativa **fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo** (art. 83 par. 4).