in molti casi non obbligatorio (es. per le imprese sotto i 250 dipendenti) ma consigliato dal Garante. Si tratta di una "mappa" di tutti i trattamenti effettuati, come previsto dall'art. 30 del regolamento.

individuando i rischi connessi ai trattamenti e le misure da adottare in ambito:

1. sicurezza dei dati trattati e delle procedure di trattamento
2. sicurezza dei luoghi dove vengono conservati i dati
3. controllo degli accessi
4. backup dei dati
5. disaster recovery plan
6. difesa contro malware e difesa perimetrale
7. valutazione e correzioni delle vulnerabilità

come previsto dall'art. 35, in presenza di dati ad elevata rischiosità.

La DPIA consente l'identificazione e la prevenzione delle violazioni dei dati in fase iniziale, in modo da ridurre il danno che potrebbe verificarsi, in termini di costo. Se le misure individuate dopo la DPIA non contribuiscono a ridurre l'impatto, sarà necessario ricorrere ad una CONSULTAZIONE PREVENTIVA DEL GARANTE oppure desistere dall’effettuare quel tipo di trattamento.

che trattano i dati per nostro conto (es. il commercialista, il consulente del lavoro, l’avvocato, l’amministratore di sistema, ecc.) previa valutazione della loro affidabilità. In tal senso sarà opportuno stipulare un CONTRATTO CON CIASCUNO DEI RESPONSABILI DEL TRATTAMENTO e attivare una procedura per verificare che anche loro facciano lo stesso con i rispettivi sub-Responsabili.