Negli ultimi tempi sono in molti a porsi questa domanda: ” Devo fare il registro delle attività del Trattamento ?”
Tanto è vero che l’8 Ottobre 2018 il garante della privacy ha pubblicato delle istruzione sul registro del trattamento.
Ma andiamo per gradi.
Che cos’è il Registro delle attività del trattamento?
Il Registro del trattamento è previsto dall’Articolo 30 del GDPR e non è altro che un documento -cartaceo o elettronico- che deve essere redatto dal Titolare del trattamento e, se nominato, dal Responsabile del trattamento. Ecco perché molto spesso sentiamo dire registri del trattamento (al plurale).
Al suo interno vanno inserite tutte le informazioni relative al trattamento dei dati.
Pertanto andranno inserite:
- le modalità e le finalità del trattamento (meglio se con riferimento alla base giuridica);
- le categorie di interessati (clienti, fornitori, dipendenti);
- le tipologie di dati oggetto del trattamento ( anagrafici, biometrici, genetici,…);
- le categorie di destinatari (a chi saranno trasmessi i dati);
- le modalità attraverso cui i dati saranno trasferiti a paesi terzi;
- le modalità e i termini previsti per la cancellazione
- le misure di sicurezza previste per la protezione dei dati.
Considerando la grossa quantità di informazioni contenute al suo interno, il registro delle attività del trattamento, si configura come un documento in divenire, non statico. Può essere modificato e ampliato e deve contenere sia la data di creazione, sia quella relative ad eventuali modifiche.
Chi deve fare il registro del trattamento?
Il registro del trattamento deve essere fatto obbligatoriamente da:
- imprese o organizzazioni con almeno 250 dipendenti;
- qualunque titolare o responsabile (incluse imprese o organizzazioni con meno di 250 dipendenti) che effettui trattamenti che possano presentare un rischio – anche non elevato – per i diritti e le libertà dell’interessato;
- qualunque titolare o responsabile (incluse imprese o organizzazioni con meno di 250 dipendenti) che effettui trattamenti non occasionali;
- qualunque titolare o responsabile (incluse imprese o organizzazioni con meno di 250 dipendenti) che effettui trattamenti delle categorie particolari di dati di cui all’articolo 9, paragrafo 1 RGPD, o di dati personali relativi a condanne penali e a reati di cui all’articolo 10 RGPD.
- esercizi commerciali
- esercizi pubblici o artigiani con almeno un dipendente (bar, ristoranti, officine, negozi, piccola distribuzione, ecc.) e/o che trattino dati sanitari dei clienti (es. parrucchieri, estetisti, ottici, odontotecnici, tatuatori ecc.);
- liberi professionisti con almeno un dipendente e/o che trattino dati sanitari e/o dati relativi a condanne penali o reati (es. commercialisti, notai, avvocati, osteopati, fisioterapisti, farmacisti, medici in generale);
- associazioni, fondazioni e comitati ove trattino “categorie particolari di dati” e/o dati relativi a condanne penali o reati (i.e. organizzazioni di tendenza; associazioni a tutela di soggetti c.d. “vulnerabili” quali ad esempio malati, persone con disabilità, ex detenuti ecc.; associazioni che perseguono finalità di prevenzione e contrasto delle discriminazioni di genere, razziali, basate sull’orientamento sessuale, politico o religioso ecc.; associazioni sportive con riferimento ai dati sanitari trattati; partiti e movimenti politici; sindacati; associazioni e movimenti a carattere religioso);
- il condominio ove tratti “categorie particolari di dati” (es. delibere per interventi volti al superamento e all’abbattimento delle barriere architettoniche ai sensi della L. n. 13/1989; richieste di risarcimento danni comprensive di spese mediche relativi a sinistri avvenuti all’interno dei locali condominiali).
Al di là dell’obbligatorietà, il Garante, raccomanda a tutti i titolari e a tutti i responsabili del trattamento di redigerlo.
Quindi: devo fare il registro delle attività del trattamento?
Se non rientri nelle categorie citate sopra, non sei obbligato a farlo! Ma il consiglio del Garante (e anche il nostro) è di redigerlo comunque.
Perché?
Il registro delle attività del trattamento può essere per te un’ottima opportunità.
Innanzitutto perché redigendo il registro potrai delineare in maniera approfondita tutto ciò che hai fatto o stai facendo per la protezione dei dati che ti sono stati affidati, potrai renderti conto di eventuali lacune e/o migliorie da apportare al tuo sistema di sicurezza.
In secondo luogo, in caso di controllo, avrai modo di dimostrare in maniera immediata ciò che hai fatto e come lo hai fatto per salvaguardare i dati in tuo possesso.
Come fare il registro delle attività del trattamento?
Come anticipato il registro delle attività del trattamento è un documento che può essere fatto sia in formato elettronico, sia in formato cartaceo.
Se non sai come impostarlo e vuoi redigere il tuo registro e le tue informative in maniera semplice e professionale puoi farlo con il nostro Software Privacy GDPR, nato per venire incontro alle esigenze dei professionisti e di chi vuole avvalersi di un supporto intelligente e pratico da usare. Scarica la demo.
