01
La risposta in breve
Un registro utile contiene sempre: identità e contatti del titolare (e del DPO, se nominato), le finalità di ogni trattamento, le categorie di interessati e di dati, i destinatari a cui i dati sono comunicati, eventuali trasferimenti extra-UE con le garanzie documentate, i termini di cancellazione previsti e una descrizione delle misure di sicurezza applicate.
02
Perché questi elementi e non altri
Il GDPR distingue due registri: quello del titolare, che tiene traccia delle finalità e dei destinatari, e quello del responsabile, che elenca le categorie di trattamenti svolti per conto di ogni titolare. Entrambi vanno tenuti in forma scritta, anche elettronica, e messi a disposizione dell'autorità di controllo su richiesta. L'obbligo non si applica alle organizzazioni con meno di 250 dipendenti, salvo che il trattamento comporti rischi, non sia occasionale o riguardi categorie particolari di dati.
03
La procedura per ruolo
Passaggi
- Il titolare individua ogni attività di trattamento e ne registra finalità, categorie di interessati e di dati.
- Il titolare documenta i destinatari dei dati, inclusi quelli in paesi terzi, con le garanzie adottate.
- Il titolare o il DPO stima i termini di cancellazione per ciascuna categoria di dati, ove possibile.
- Il responsabile del trattamento tiene un registro separato delle categorie di trattamenti svolti per conto del titolare.
- Il responsabile non incarica un altro responsabile senza autorizzazione scritta del titolare, e ogni incarico è regolato da un contratto che specifica materia, durata, natura e finalità del trattamento.
04
Un caso ipotetico
Esempio ipotetico: una PMI con 180 dipendenti usa un fornitore cloud esterno per la gestione delle buste paga. Il titolare registra la finalità (gestione del personale), le categorie di dati (dati retributivi) e il destinatario (il fornitore cloud). Il fornitore, in quanto responsabile, tiene il proprio registro delle categorie di trattamenti svolte per quel titolare e opera sulla base di un contratto scritto che ne definisce durata e natura.
05
Controlli prima di considerare il registro completo
- Ogni trattamento ha finalità, categorie di interessati e di dati indicate.
- I destinatari, incluse eventuali organizzazioni di paesi terzi, sono elencati con le garanzie documentate.
- I termini di cancellazione sono indicati ove possibile.
- Le misure di sicurezza tecniche e organizzative sono descritte in generale.
- Il registro è in forma scritta, anche elettronica, e pronto per essere mostrato all'autorità di controllo su richiesta.
06
Come un software può sostenere questa procedura
Un'azienda può chiedere al proprio fornitore software di configurare un'area dedicata dove registrare, per ogni trattamento, finalità, categorie di dati e destinatari, con un campo che tracci chi ha inserito o modificato ciascuna voce. Attribuire ruoli distinti a chi compila (titolare o suo delegato) e a chi revisiona (DPO, se presente) favorisce la tracciabilità richiesta e rende più semplice mostrare il registro in caso di richiesta.
07
Domande frequenti sul contenuto del registro
Il registro del titolare e quello del responsabile hanno contenuti diversi: il primo è centrato su finalità e destinatari, il secondo sulle categorie di trattamenti svolti per conto del titolare.
La soglia dei 250 dipendenti non esenta automaticamente dall'obbligo se il trattamento presenta rischi o riguarda categorie particolari di dati.
08
Prossimo passo
Passaggi
- Elenca tutte le attività di trattamento attive in azienda, una per una.
- Assegna a ciascuna un responsabile interno che ne curi l'aggiornamento.
- Verifica che ogni voce contenga tutti gli elementi previsti dall'articolo 30.
- Pianifica una revisione periodica insieme al DPO, se nominato.
FAQ
Domande frequenti
Quali informazioni non possono mancare in un registro dei trattamenti?
Nome e contatti del titolare, finalità del trattamento, categorie di interessati e dati, destinatari, eventuali trasferimenti extra-UE, termini di cancellazione e misure di sicurezza, ove possibile indicarli.
Il registro del responsabile è uguale a quello del titolare?
No: il responsabile tiene un registro delle categorie di trattamenti svolti per conto di ogni titolare, con dati di contatto propri e del titolare, non le stesse voci dettagliate del titolare.
Una PMI sotto i 250 dipendenti è sempre esente dal registro?
No: l'esenzione non vale se il trattamento comporta rischi per gli interessati, non è occasionale o riguarda categorie particolari di dati o dati su condanne penali.
✓