È opportuno condurre la DPIA prima di procedere al trattamento.
La DPIA dovrebbe essere condotta “prima di procedere al trattamento” (art. 35, paragrafo 1, e art. 35, paragrafo 10; considerando 80 e 93). Tale impostazione è coerente con i principi di protezione dei dati sin dalla fase di progettazione e per impostazione predefinita (art. 25 e considerando 78). La DPIA deve essere considerata uno strumento di ausilio nel processo decisionale relativo al trattamento.
L’effettuazione della DPIA dovrebbe collocarsi quanto più a monte possibile nella fase di progettazione di un trattamento, anche se non tutte le operazioni di tale trattamento sono già delineate. L’aggiornamento della DPIA nel corso dell’intero ciclo di vita di un determinato progetto garantirà la dovuta considerazione delle tematiche di privacy e protezione dei dati favorendo l’individuazione di soluzioni che promuovano l’osservanza. Talora potrà rendersi necessaria la ripetizione di singole tappe della valutazione con il procedere della fase di sviluppo, in quanto la scelta di determinate misure tecniche o organizzative potrà incidere sulla gravità o sulla probabilità dei rischi posti dal trattamento.
Il fatto che possa rendersi necessario un aggiornamento della DPIA dopo l’inizio effettivo del trattamento non è una buona ragione per differire o evitare di condurre una DPIA. La DPIA è un processo permanente, soprattutto se si ha a che fare con un trattamento dinamico e soggetto a continue trasformazioni. Lo svolgimento della DPIA è un processo continuativo e non un’attività una tantum.
