Registro dei trattamenti: quali elementi lo rendono davvero utile

01

Cosa deve contenere il registro

• Nome e dati di contatto del titolare, del contitolare, del rappresentante e del DPO, ove applicabile
• Le finalità del trattamento
• Categorie di interessati e categorie di dati personali trattati
• Categorie di destinatari, compresi quelli in paesi terzi o organizzazioni internazionali
• Trasferimenti extra-UE, termini di cancellazione e misure di sicurezza, ove possibile

02

Chi deve tenerlo e in che forma

L'obbligo riguarda sia il titolare del trattamento sia il responsabile, che tiene un registro delle categorie di attività svolte per conto del titolare. Entrambi i registri devono essere tenuti in forma scritta, anche elettronica.

Gli obblighi non si applicano alle imprese con meno di 250 dipendenti, a meno che il trattamento presenti rischi per i diritti degli interessati, non sia occasionale o riguardi categorie particolari di dati o condanne penali.

03

Come costruire il registro passo per passo

Passaggi

1. Elenca titolare, eventuale contitolare, rappresentante e DPO con i relativi contatti
2. Documenta ogni finalità di trattamento separatamente
3. Descrivi categorie di interessati e di dati per ciascuna finalità
4. Indica destinatari e trasferimenti verso paesi terzi, con le garanzie adeguate
5. Aggiungi, ove possibile, termini di cancellazione e misure di sicurezza tecniche e organizzative

04

Esempio ipotetico

Ipotesi: un'azienda con oltre 250 dipendenti registra il trattamento dei dati del personale per la gestione delle buste paga. Nel registro indica finalità, categorie di dipendenti coinvolti, il fornitore esterno di payroll come destinatario e il trasferimento dei dati a un cloud extra-UE con le relative garanzie.

Se affida il payroll a un responsabile esterno, il contratto specifica materia, durata, natura e finalità del trattamento, tipo di dati e categorie di interessati, oltre a obblighi e diritti del titolare.

05

Verifica prima di considerarlo completo

• Nome e contatti di titolare, rappresentante e DPO sono presenti
• Ogni finalità di trattamento è documentata singolarmente
• Categorie di interessati, dati, destinatari e trasferimenti sono indicati
• Il registro è in forma scritta o elettronica e pronto per l'autorità di controllo
• I contratti con i responsabili esterni contengono gli elementi richiesti

06

Cosa può essere impostato in un software gestionale

Un'azienda può chiedere al proprio partner software di configurare campi dedicati a titolare, finalità, categorie di dati, destinatari e trasferimenti, così da mantenere le informazioni sempre aggiornate e ricercabili.

È utile definire ruoli distinti per chi inserisce le voci del registro e chi le rivede, con una traccia delle modifiche nel tempo, per poter mostrare il registro su richiesta dell'autorità competente.

07

Domande frequenti sul registro

Il registro serve solo alle grandi aziende? No: si applica a titolari e responsabili, con un'esenzione limitata alle organizzazioni sotto i 250 dipendenti se il trattamento non è rischioso o occasionale.

Basta un file elettronico? Sì, la forma scritta anche elettronica è espressamente ammessa dal regolamento.

Cosa succede se manca un elemento come i termini di cancellazione? Il regolamento richiede questi dati 'ove possibile', quindi vanno inclusi quando disponibili.

08

Prossimo passo pratico

Rivedi il tuo registro attuale confrontandolo con gli elementi elencati in questo articolo e verifica che ogni finalità di trattamento abbia una voce completa e aggiornata.