# Estratto: WP248 rev. 01 - I 9 criteri per identificare trattamenti ad alto rischio

**Fonte**: `sources.yaml` id `wp248-rev01-edpb`
**Documento**: Guidelines on Data Protection Impact Assessment (DPIA) and determining whether
processing is "likely to result in a high risk" for the purposes of Regulation 2016/679
**Adottato**: 4 aprile 2017, last revised 4 ottobre 2017 (WP 248 rev.01), endorsed by EDPB
**Data consultazione**: 2026-05-10
**Hash SHA256**: `4de1ee2df6bbe9517847b45ba8b0657e7de4c1bd796f107d940df255ca6ded67`

---

## I 9 criteri WP248 rev. 01 (Sez. III.B.a, pag. 9-11)

Il WP29 (ora EDPB) ha identificato 9 criteri per determinare quando un trattamento e'
"likely to result in a high risk" e richiede quindi una DPIA. I criteri derivano dagli articoli
35(1) e 35(3)(a)-(c), dal par. 4 art. 35, e dai considerando 71, 75 e 91 del GDPR.

| # | Criterio (trad. operativa) | Fonte WP248 |
|---|---------------------------|-------------|
| 1 | Valutazione o scoring (inclusa profilazione e predizione di aspetti personali: rendimento lavorativo, salute, preferenze, ubicazione) | Sez. III.B.a, pag. 9 |
| 2 | Decisioni automatizzate con effetti giuridici o analoghi significativi sull'interessato (art. 35(3)(a)) | Sez. III.B.a, pag. 9 |
| 3 | Monitoraggio sistematico degli interessati, anche tramite reti o zone pubbliche (art. 35(3)(c)) | Sez. III.B.a, pag. 9 |
| 4 | Dati sensibili o di natura altamente personale (art. 9, art. 10, comunicazioni, ubicazione, dati finanziari, diari, email) | Sez. III.B.a, pag. 9-10 |
| 5 | Trattamenti su larga scala (numero interessati, volume, durata, estensione geografica) | Sez. III.B.a, pag. 10 |
| 6 | Combinazione o raffronto di dataset provenienti da fonti o finalita' diverse | Sez. III.B.a, pag. 10 |
| 7 | Interessati vulnerabili: minori, dipendenti, anziani, infermi, pazienti, richiedenti asilo (recital 75) | Sez. III.B.a, pag. 10 |
| 8 | Uso innovativo o applicazione di nuove soluzioni tecnologiche/organizzative (es. IoT, AI, biometria combinata) | Sez. III.B.a, pag. 10-11 |
| 9 | Trattamenti che impediscono l'esercizio di un diritto o l'uso di un servizio/contratto (art. 22, recital 91) | Sez. III.B.a, pag. 11 |

## Soglia di applicazione (Sez. III.B.a, pag. 11)

Il WP29 indica che, **in linea generale, un trattamento che soddisfa 2 o piu' criteri richiede
una DPIA**. Tuttavia, in alcuni casi un solo criterio puo' essere sufficiente. Il testo originale:

> "In most cases, a data controller can consider that a processing meeting two criteria would
> require a DPIA to be carried out. In general, the WP29 considers that the more criteria are
> met by the processing, the more likely it is to present a high risk to the rights and freedoms
> of data subjects, and therefore to require a DPIA, regardless of the measures which the
> controller envisages to adopt. However, in some cases, a data controller can consider that a
> processing meeting only one of these criteria requires a DPIA."
> (WP248 rev.01, Sez. III.B.a, pag. 11)

## Note sull'"uso innovativo" (Criterio 8, pag. 10-11)

Il criterio 8 e' esplicitamente citato anche nel Provvedimento Garante 467/2018 (Allegato 1,
tipologia 7) dove si elencano come esempi: IoT, sistemi di intelligenza artificiale, assistenti
vocali on-line, dispositivi wearable, wi-fi tracking - con la condizione aggiuntiva che ricorra
"almeno un altro dei criteri individuati nel WP 248, rev. 01".

## Note sul "trattamento su larga scala" (Criterio 5, pag. 10)

Il WP248 indica 4 fattori per valutare la "larga scala" (Sez. III.B.a, pag. 10):

> "the number of data subjects concerned, either as a specific number or as a proportion
> of the relevant population; the volume of data and/or the range of different data items
> being processed; the duration, or permanence, of the data processing activity; the
> geographical extent of the processing activity."
> (WP248 rev.01, Sez. III.B.a, pag. 10)