Il registro dei trattamenti: a cosa serve davvero

Il registro delle attività di trattamento è previsto dall'articolo 30 del GDPR. In molte organizzazioni è stato compilato una volta, spesso da un consulente, e poi archiviato. È un'occasione persa: un registro ben fatto e aggiornato è uno degli strumenti più utili per governare i dati personali, e non solo per rispondere al Garante.

Cosa contiene

Il registro tenuto dal titolare del trattamento descrive, per ogni attività che coinvolge dati personali:

• il nome e i contatti del titolare e, se presente, del responsabile della protezione dei dati;
• le finalità del trattamento, ad esempio gestione del personale, fatturazione, rilascio di certificati, videosorveglianza;
• le categorie di persone coinvolte e le categorie di dati trattati;
• i destinatari a cui i dati vengono comunicati, compresi fornitori e altri enti;
• gli eventuali trasferimenti verso Paesi fuori dall'Unione europea;
• quando possibile, i tempi di cancellazione previsti;
• quando possibile, una descrizione generale delle misure di sicurezza adottate.

Anche i responsabili del trattamento, cioè i fornitori che trattano dati per conto di altri, devono tenere un proprio registro delle attività svolte per i clienti.

Chi deve tenerlo

Il GDPR prevede un'esenzione per le organizzazioni con meno di 250 dipendenti, ma con eccezioni ampie: il registro è comunque obbligatorio se il trattamento può presentare un rischio per le persone, se non è occasionale o se riguarda categorie particolari di dati, come quelli sanitari, o dati su condanne e reati.

Poiché quasi ogni organizzazione tratta in modo non occasionale almeno i dati dei dipendenti, dei clienti o dei cittadini, nella pratica l'esenzione si applica raramente. Il Garante, inoltre, raccomanda di tenerlo comunque.

A cosa serve davvero

Sapere cosa si ha. Non si può proteggere ciò che non si conosce. Il registro è la mappa dei dati personali: dove sono, chi li usa, chi li riceve.

Gestire una violazione. Quando un sistema viene attaccato o un dispositivo va perso, la prima domanda è: quali dati c'erano, di quante persone? Con un registro aggiornato la risposta arriva in minuti, non in giorni, ed è decisiva per rispettare le 72 ore della notifica al Garante.

Rispondere alle persone. Chi chiede di accedere ai propri dati o di cancellarli ha diritto a una risposta completa. Il registro indica dove cercare.

Governare i fornitori. Elencando i destinatari dei dati, il registro mostra quali fornitori trattano dati personali e quindi quali contratti devono contenere le clausole previste dal GDPR.

Valutare i nuovi progetti. Un nuovo software, un nuovo servizio, un nuovo uso dei dati: confrontarlo con il registro aiuta a capire cosa cambia e se serve una valutazione d'impatto.

Dimostrare la conformità. In caso di controllo, il registro è uno dei primi documenti richiesti.

Come tenerlo vivo

• un responsabile del suo aggiornamento, con il supporto del DPO se presente;
• un aggiornamento a ogni nuovo trattamento, sistema o fornitore rilevante;
• una revisione almeno annuale con i responsabili dei diversi uffici, che conoscono i trattamenti reali;
• un formato semplice, anche un foglio di calcolo ben strutturato, purché completo e aggiornato.

In sintesi

Il registro dei trattamenti non è una formalità: è la mappa che permette di proteggere i dati, rispondere alle persone e reagire in fretta quando qualcosa va storto. Vale la pena tenerlo aggiornato anche per ciò che fa, non solo per ciò che dimostra.