Il registro quasi tutte le organizzazioni ce l’hanno: è stato redatto al momento del primo adeguamento e da allora è rimasto dov’era. Aggiornare il registro dei trattamenti è però la parte del lavoro che conta davvero, perché quel documento è la fotografia di ciò che l’ente dichiara di fare con i dati personali ed è la prima cosa che il Garante chiede quando apre un’istruttoria. È il metro con cui ogni altra cosa — informative, tempi di conservazione, fornitori, misure di sicurezza — viene poi verificata.
Chi è obbligato a tenere il registro dei trattamenti
L’articolo 30 del GDPR impone il registro sia al titolare sia al responsabile del trattamento. La norma prevede una deroga per le imprese e le organizzazioni con meno di 250 dipendenti, ma le eccezioni alla deroga sono talmente ampie da renderla, nella pratica quotidiana, quasi teorica: l’obbligo resta infatti quando il trattamento può presentare un rischio per i diritti e le libertà degli interessati, quando non è occasionale, oppure quando riguarda categorie particolari di dati o dati relativi a condanne penali e reati.
Basta leggere quelle tre condizioni accanto all’attività reale di uno studio professionale, di una struttura sanitaria privata, di un’azienda con dipendenti o di un ente pubblico per capire che il registro serve. Trattare i dati del personale non è occasionale; trattare dati sanitari significa trattare categorie particolari.
Che cosa deve contenere
Il contenuto minimo è scritto nella norma: i dati del titolare (e, dove previsti, del contitolare, del rappresentante e del responsabile della protezione dei dati), le finalità del trattamento, la descrizione delle categorie di interessati e delle categorie di dati, le categorie di destinatari a cui i dati sono comunicati, gli eventuali trasferimenti verso paesi terzi con le relative garanzie, i termini previsti per la cancellazione e una descrizione generale delle misure di sicurezza tecniche e organizzative. Il registro va tenuto in forma scritta, anche elettronica, ed è messo a disposizione dell’autorità di controllo su richiesta.
Detta così sembra un elenco da compilare una volta. È proprio questo l’errore più diffuso.
Dove nascono le contestazioni
Il registro diventa un problema quando non corrisponde alla realtà. Le discrepanze che emergono più spesso in verifica sono sempre le stesse: trattamenti attivi che nel registro non compaiono (un nuovo gestionale, una piattaforma di videosorveglianza, un canale di segnalazione); fornitori che trattano dati per conto dell’ente senza essere censiti tra i destinatari né formalizzati con istruzioni scritte; tempi di conservazione indicati in modo generico o in contrasto con quanto scritto nelle informative; servizi in cloud che comportano un trasferimento extra UE mai dichiarato.
Quando una di queste incongruenze emerge, il registro smette di essere un presidio e diventa un elemento a carico: dimostra che l’organizzazione non ha una conoscenza aggiornata dei propri trattamenti, cioè esattamente il contrario di quanto il principio di responsabilizzazione richiede.
Quanto può costare
Le violazioni dell’articolo 30 rientrano nella fascia sanzionatoria dell’articolo 83, paragrafo 4, del GDPR: fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Nella pratica, però, la contestazione sul registro raramente viaggia da sola: accompagna quasi sempre rilievi su informative, basi giuridiche, misure di sicurezza o rapporti con i fornitori, e concorre a definire la gravità complessiva della condotta.
Aggiornare il registro dei trattamenti conviene anche in difesa
C’è un rovescio della medaglia che conviene evidenziare. Un registro tenuto bene è anche lo strumento difensivo più efficace di cui un’organizzazione dispone: permette di rispondere rapidamente a una richiesta dell’Autorità, di ricostruire la catena dei fornitori dopo una violazione, di stabilire se un trattamento richieda una valutazione d’impatto, di evadere in modo documentato le richieste degli interessati.
Chi lo tratta come un adempimento da archiviare lo scopre solo quando è tardi. Lo studio assiste aziende, studi professionali ed enti pubblici in tutta Italia, con sede a Napoli, attraverso il servizio di consulenza privacy; per le questioni che sfociano in contenzioso amministrativo è disponibile anche il sito dello studio legale.
Una verifica prima che la chieda l’Autorità
Se il vostro registro risale al primo adeguamento e da allora sono cambiati fornitori, software o servizi, la distanza fra documento e realtà è probabilmente già significativa. Lo studio esamina in via preliminare il registro esistente e la documentazione collegata per individuare dove quella distanza si è creata. Si può scrivere dalla pagina dei contatti o consultare i pacchetti di consulenza.
Avv. Elio Errichiello
