Registro dei trattamenti: quali elementi lo rendono davvero utile

01

La risposta in breve

Un registro dei trattamenti diventa uno strumento utile quando riunisce, per ogni attività, gli elementi previsti dal Regolamento (UE) 2016/679: nome e contatti del titolare, di eventuali contitolari, del rappresentante del titolare del trattamento e del responsabile della protezione dei dati; le finalità del trattamento; le categorie di interessati e di dati personali; le categorie di destinatari, compresi quelli in paesi terzi; eventuali trasferimenti extra-UE con le garanzie applicate; i termini di cancellazione, ove possibile; e una descrizione generale delle misure di sicurezza tecniche e organizzative adottate.

02

Chi lo tiene e in che forma

L'obbligo riguarda sia il titolare del trattamento, che registra le attività svolte sotto la propria responsabilità, sia il responsabile del trattamento, che tiene un registro distinto delle categorie di trattamenti svolte per conto di ogni titolare. Il rapporto tra i due è disciplinato da un contratto o altro atto giuridico che stabilisce materia, durata, natura e finalità del trattamento. Il registro va tenuto in forma scritta, anche elettronica, e le imprese con meno di 250 dipendenti possono essere esentate, salvo rischi per gli interessati, trattamento non occasionale o dati particolari.

03

Come costruirlo passo per passo

Passaggi

1. Elenca ogni attività di trattamento, individuando titolare, eventuali contitolari, il rappresentante del titolare del trattamento e il responsabile della protezione dei dati.
2. Descrivi la finalità di ciascun trattamento e le categorie di interessati e dati coinvolti.
3. Indica le categorie di destinatari, inclusi quelli in paesi terzi o organizzazioni internazionali.
4. Documenta i trasferimenti extra-UE e le garanzie adeguate applicate, se presenti.
5. Annota i termini di cancellazione previsti e le misure di sicurezza tecniche e organizzative adottate.

04

Un esempio ipotetico

Esempio ipotetico: un'azienda con quaranta dipendenti mappa il trattamento dei dati del personale. Nel registro indica il titolare e i suoi contatti, la finalità (gestione del rapporto di lavoro), le categorie di interessati (dipendenti) e di dati (dati contrattuali e retributivi), i destinatari (consulente del lavoro esterno), l'assenza di trasferimenti extra-UE, un termine di conservazione legato alla durata del rapporto e le misure di sicurezza applicate, come la cifratura degli archivi digitali.

05

Checklist degli elementi previsti

• Nome e contatti del titolare, di eventuali contitolari, del rappresentante del titolare del trattamento e del responsabile della protezione dei dati.
• Finalità del trattamento descritte per ogni attività registrata.
• Categorie di interessati e di dati personali trattati.
• Categorie di destinatari e, se presenti, trasferimenti verso paesi terzi con le garanzie adottate.
• Termini di cancellazione, ove possibile, e misure di sicurezza tecniche e organizzative.

06

Come impostarlo con un partner software

Un'azienda può scegliere di affidare a un partner software la struttura informativa che sostiene il registro: un elenco unico delle attività di trattamento, con campi per titolare e responsabile, contatti, categorie di interessati e dati, destinatari, trasferimenti, termini di cancellazione e misure di sicurezza. Assegnare ruoli e permessi di modifica solo a chi aggiorna il registro, e mantenere una traccia delle revisioni nel tempo, sono scelte operative che rendono il registro consultabile e coerente con l'obbligo di tenerlo in forma scritta, anche elettronica.

07

Chiarimenti frequenti

• Il registro può essere tenuto in formato elettronico, non solo su carta.
• Le imprese con meno di 250 dipendenti possono essere esentate, salvo rischi per i diritti degli interessati o dati particolari.
• Su richiesta, il registro va messo a disposizione dell'autorità di controllo competente.

08

Il passo utile successivo

Elenca le attività di trattamento già in corso in azienda e verifica, una per una, se compaiono tutti gli elementi previsti: contatti, finalità, categorie, destinatari, trasferimenti, termini di cancellazione e misure di sicurezza. Questo controllo permette di individuare rapidamente cosa manca e di completare il registro con dati verificabili.