Uno dei più importanti adempimenti privacy previsti dal GDPR è la redazione dei Registri dei trattamenti.
I registri (al plurale perché sono tenuti sia come Titolare, sia come Responsabile del trattamento dei dati personali) sono documenti che raccolgono le informazioni principali sulle diverse attività poste in essere dal Titolare e, di conseguenza, forniscono un quadro costantemente aggiornato dei trattamenti privacy effettuati.
Pertanto, oltre ad essere indispensabili per ogni attività di valutazione o analisi dei rischi, rappresentano uno degli elementi basilari dell’accountability del titolare.
La disciplina sul registro dei trattamenti è data dall’art. 30 e dal Considerando 82 del Regolamento ma anche dalle FAQ del Garante (di cui al link https://www.garanteprivacy.it/home/faq/registro-delle-attivita-di-trattamento).
L’art 30, differenziando tra registro del Titolare e registro del Responsabile, specifica quali sono le informazioni che deve contenere.
Nello specifico, il Registro del Titolare deve indicare:
- il nominativo del Titolare del trattamento;
- i dati trattati e gli interessati;
- le finalità del trattamento;
- i destinatari;
- i trasferimenti verso un paese terzo se esistenti;
- i termini ultimi per la cancellazione dei dati;
- una descrizione generale delle misure di sicurezza;
Mentre, il Registro del Responsabile, deve indicare:
- il nominativo del responsabile o dei responsabili del trattamento;
- il nominativo del titolare per conto del quale agisce il responsabile del trattamento;
- le categorie dei trattamenti effettuati per conto di ogni titolare;
- i trasferimenti verso un paese terzo se esistenti;
- una descrizione generale delle misure di sicurezza;
Ne consegue che il registro delle attività di trattamento, sia esso del Titolare del trattamento o del Responsabile del trattamento, dovrà assumere la forma scritta e dovrà recare, in maniera verificabile, la data della sua prima creazione unitamente a quella dell’ultimo aggiornamento.
L’art. 30 inoltre, indica che il Registro dei trattamenti è obbligatorio per tutte le PA e per le organizzazioni private con più di 250 dipendenti. Tuttavia, al di fuori dei casi di tenuta obbligatoria, il considerando 82 del GDPR aggiunge che:
“per dimostrare che si conforma al presente regolamento, il titolare del trattamento o il responsabile del trattamento dovrebbe tenere un registro delle attività di trattamento effettuate sotto la sua responsabilità. Sarebbe necessario obbligare tutti i titolari del trattamento e i responsabili del trattamento a cooperare con l’autorità di controllo e a mettere, su richiesta, detti registri a sua disposizione affinché possano servire per monitorare detti trattamenti”.
Il Garante fornisce ulteriori istruzioni a tal riguardo. In particolare, in ambito privato è tenuto a redigere il registro dei trattamenti anche:
- qualunque titolare o responsabile (incluse imprese o organizzazioni con meno di 250 dipendenti) che effettui trattamenti che possano presentare un rischio – anche non elevato – per i diritti e le libertà dell’interessato;
- qualunque titolare o responsabile (incluso imprese o organizzazioni con meno di 250 dipendenti) che effettui trattamenti non occasionali;
Alla luce del combinato disposto dell’art. 30, del considerando 82 e anche delle FAQ del Garante, si evince che sono tenuti all’obbligo di redazione del registro, ad esempio:
tutte le attività con almeno un dipendente o che trattino dati particolari comprese associazioni, fondazioni e condomini.
Concludendo, dunque, il registro dei trattamenti rappresenta un supporto efficace che va ad inserirsi nel più ampio disegno di gestione della privacy della propria attività.
Se vuoi saperne di più o se hai bisogno di una consulenza sugli adempimenti necessari della tua attività in materia di privacy e protezione dei dati, contattaci a privacy@cmpsicurezza.it o chiamaci 0694546258