No, ma pubblicarne una sintesi può favorire un rapporto fiduciario e la si deve inviare in forma completa all’autorità di controllo in caso di consultazione preventiva ovvero su richiesta dell’autorità stessa.
La pubblicazione della DPIA non costituisce un obbligo formale ai sensi del regolamento, ed è quindi rimessa alla discrezionalità del titolare. Tuttavia, sarebbe opportuno che i titolari valutassero di rendere pubbliche almeno parti della DPIA, quali una sintesi o le conclusioni: così facendo si promuoverebbe la fiducia nelle attività di trattamento svolte da quei titolari dando prova di un approccio responsabile e trasparente. La pubblicazione della DPIA appare particolarmente indicata se il trattamento produce effetti su una parte della popolazione, il che vale soprattutto nel caso sia un’autorità pubblica a condurre la DPIA.
Non è necessario che si pubblichi la DPIA nella sua interezza, specialmente se essa contiene informazioni dettagliate rispetto ai rischi di sicurezza che investono il titolare ovvero se può rivelare segreti commerciali o informazioni di rilevanza commerciale. In casi del genere, può essere sufficiente una sintesi delle principali risultanze del processo di valutazione di impatto, o anche una semplice dichiarazione relativa all’effettuazione di una DPIA.
Inoltre, se la DPIA indica l’esistenza di un rischio residuale elevato, il titolare dovrà consultare l’autorità di controllo prima di procedere al trattamento (art. 36, paragrafo 1), e in tal caso sussiste l’obbligo di fornire la DPIA nella sua interezza all’autorità (art. 36, paragrafo 3, lettera e)). L’autorità di controllo può fornire la propria consulenza senza pregiudicare segreti commerciali o rivelare vulnerabilità in termini di sicurezza, salvi i principi applicabili in ciascun Stato membro con riguardo all’accesso ai documenti pubblici.
