32 Framework Nazionale per la Cybersecurity e la Data Protection presenti un rischio elevato per i diritti e le libertà degli interessati. In questo caso il titolare del trattamento dovrà consultarsi con il responsabile della protezione dei dati, tra le cui responsabilità c’è quella di fornire pareri in merito alle valutazioni d’impatto. Il controllo DP-ID.RA7-02 richiede che il titolare del trattamento si assicuri che la valutazione d’impatto contenga almeno quanto previsto dal Regolamento. Il controllo DP-ID.RA-7-03 richiede che il titolare del trattamento, nel valutare l’impatto dei trattamenti, tenga in considerazione l’eventuale rispetto di codici di condotta ed eventualmente senta il parere degli interessati o dei loro rappresentanti circa i trattamenti. Il controllo DP-ID.RA-7-04 prevede che la valutazione d’impatto venga svolta periodicamente e comunque ogni volta che insorgano variazioni del rischio associato ai trattamenti. Infine, il controllo DP-ID.RA-7-05 richiede che il titolare del trattamento consulti preventivamente l’autorità di controllo, qualora dalla valutazione d’impatto risulti che un trattamento presenterebbe un rischio elevato in assenza di misure adottate dal titolare per ridurre il rischio. Questi controlli si mappano nella subcategory DP-ID.RA-7 del Framework, relativa proprio alla valutazione di impatto. FUNCTION CATEGORY IDENTIFY (ID) Risk Assessment (ID.RA) SUBCATEGORY DP-ID.RA-7: Viene effettuata una valutazione di impatto sulla protezione dei dati personali. CONTROLLI DP-ID.RA-7-01: Qualora un tipo di trattamento di dati personali presenti un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento, consultato il responsabile della protezione dei dati, effettua una valutazione dell'impatto sulla protezione dei dati personali. RIFERIMENTI GDPR Art. 35(1-5) DP-ID.RA-7-02: Il titolare del trattamento si assicura che la valutazione d'impatto contenga quanto previsto dal Regolamento. Art. 35(7) DP-ID.RA-7-03: Il titolare del trattamento, nell'effettuare la valutazione d'impatto sulla protezione dei dati personali, tiene conto del rispetto dei codici di condotta e, se del caso, delle opinioni degli interessati o dei loro rappresentanti sul trattamento. Art. 35(8),(9) DP-ID.RA-7-04: Il titolare del trattamento procede ad un riesame della valutazione di impatto con cadenza periodica e qualora insorgano variazioni del rischio rappresentato dalle attività relative al trattamento. Art. 35(11) DP-ID.RA-7-05: Qualora la valutazione di impatto sulla protezione dei dati personali indichi che il trattamento presenterebbe un rischio elevato in assenza di misure adottate per attenuare il rischio, il titolare del trattamento consulta l'autorità di controllo. Art. 36(1),(3) Informazioni all’interessato Quest’area di indirizzo contiene un unico controllo (DP-ID.DM-2-01) che richiede l’adozione di processi per fornire all’interessato tutte le informazioni inerenti al trattamento dei dati personali che lo riguardano, oltre all’esistenza e alle modalità di esercizio dei diritti previsti dal Regolamento. Nell’adottare tali misure occorrerà tenere in considerazione le differenti informazioni da fornire qualora i dati siano stati raccolti presso l’interessato (art. 13 del Regolamento) o presso terzi (art. 14 del Regolamento). Questo controllo trova collocazione nella subcategory DP-ID.DM-2 del Framework inerente ai processi di informazione dell’interessato.