Il Regolamento europeo dispone che i titolari del trattamento di dati personali effettuino una “valutazione di impatto”, cioè, in estrema sintesi, una valutazione sulla legittimità del trattamento e sulla sua sicurezza in termini di gestione dei dati personali.

Solitamente in comune si eseguono trattamenti previsti esclusivamente da norme (es. anagrafe, tributi, sociale, polizia urbana ecc.), dunque la valutazione è insita nel riferimento della norma. Per la sicurezza, specie quando il trattamento è informatico, va fatto riferimento alle misure contenute nel Codice dell’Amministrazione digitale e nelle line guida dell’ AGID.

Va previamente adottato un registro delle tipologie di trattamenti di dati personali che si effettuano, con le relative valutazioni di impatto.

Periodicamente si dovrà eseguire un aggiornamento del registro, specie della sezione in cui viene fatta la valutazione di impatto o, meglio, del rischio delle violazioni.

Sarà necessario adottare il Registro, con una deliberazione della giunta comunale, ed eseguire una relazione sulla valutazione di impatto.

Questa valutazione, unitamente alla compilazione del registro, potrebbe essere effettuata dal DPO o da un soggetto diverso individuato dalla delibera o con altro strumento (PEG o simili).