La valutazione d’impatto sulla protezione dei dati (DPIA) è uno degli strumenti più importanti introdotti dal GDPR per la gestione dei rischi legati al trattamento dei dati personali. Nel contesto del monitoraggio dei lavoratori e del BYOD, la sua omissione può avere conseguenze gravi.

Quando è obbligatoria la DPIA

L’art. 23 del D.Lgs. n. 51/2018 prevede che quando il trattamento presenta un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento debba effettuare una valutazione d’impatto prima di procedere al trattamento. I criteri che indicano un rischio elevato comprendono: la profilazione sistematica dei comportamenti; il trattamento su larga scala di categorie particolari di dati; il monitoraggio sistematico di aree accessibili al pubblico; le decisioni automatizzate con effetti giuridici significativi; il trattamento di dati di soggetti vulnerabili.

Nel contesto BYOD, il TAR Bologna (n. 618/2022) ha precisato che ogniqualvolta il trattamento dei dati comporti rischi elevati per i diritti e le libertà degli interessati, il titolare è tenuto ad effettuare la DPIA. Questo si applica tipicamente ai sistemi di monitoraggio dell’attività dei dipendenti, agli strumenti di geolocalizzazione e ai software che raccolgono dati sulle abitudini lavorative.

Le conseguenze dell’omessa DPIA

La mancata effettuazione della DPIA, in presenza di un obbligo, costituisce una violazione grave della normativa sulla protezione dei dati personali e comporta: l’irrogazione di sanzioni amministrative da parte del Garante, la cui entità è determinata in base alla gravità della violazione, al numero degli interessati coinvolti e alla durata; l’obbligo di adeguarsi alle prescrizioni del Garante, adottando le misure correttive indicate e, se del caso, sospendendo o cessando il trattamento illecito; la possibile responsabilità amministrativa per danno erariale, qualora la sanzione sia posta a carico di un ente pubblico e sia imputabile a condotte gravemente colpose dei dirigenti.

Il caso Corte dei Conti Valle d’Aosta (n. 36/2025)

La Corte dei Conti (Sez. Valle d’Aosta n. 36/2025) ha condannato il dirigente responsabile per aver insistito sulla legittimità della pubblicazione di atti contenenti dati personali dei dipendenti, nonostante le chiare prescrizioni del Garante e la normativa vigente. La Corte ha sottolineato che la tutela della dignità e della riservatezza del lavoratore deve prevalere su esigenze organizzative non adeguatamente bilanciate. La sanzione irrogata dal Garante per la violazione delle prescrizioni in materia di protezione dei dati personali può determinare una responsabilità amministrativa per danno erariale a carico dei dirigenti responsabili, qualora il comportamento omissivo abbia causato un esborso economico per l’ente.

L’obbligo di adempimento alle prescrizioni del Garante

La giurisprudenza ha sottolineato che la mancata impugnazione del provvedimento del Garante comporta l’obbligo di eseguirlo, e che la resistenza ingiustificata alle prescrizioni dell’Autorità può integrare colpa grave. Il dirigente pubblico che, nonostante le prescrizioni del Garante, persiste in un comportamento non conforme, si espone a responsabilità disciplinare e amministrativa.