Registro dei trattamenti: cos’è e come si fa

In sintesi

• Cos’è: il documento che mappa tutti i trattamenti di dati personali svolti dall’impresa (art. 30 GDPR).
• Chi è obbligato: di fatto quasi tutte le imprese, salvo limitate eccezioni per le piccole realtà.
• Contenuto: finalità, categorie di dati e interessati, destinatari, tempi di conservazione, misure di sicurezza.
• A cosa serve: è la base dell’accountability e va esibito al Garante su richiesta.

Cos’è il registro dei trattamenti

Il registro delle attività di trattamento (art. 30 GDPR) è il documento che descrive in modo sistematico tutti i trattamenti di dati personali effettuati dall’impresa. È, in concreto, la “mappa” di quali dati si trattano, per quali scopi, come e per quanto tempo. È il punto di partenza di ogni adempimento privacy.

Chi è obbligato a tenerlo

L’art. 30 esonera, in linea teorica, le organizzazioni con meno di 250 dipendenti, ma con eccezioni così ampie (trattamenti non occasionali, dati particolari, rischi per gli interessati) che di fatto quasi tutte le imprese rientrano nell’obbligo. Il Garante ne raccomanda la tenuta a chiunque: è comunque lo strumento principale per dimostrare la conformità.

Cosa deve contenere

Il registro del titolare indica: i dati di contatto del titolare (ed eventuale DPO); le finalità del trattamento; le categorie di interessati e di dati personali; le categorie di destinatari; eventuali trasferimenti verso Paesi terzi; i termini previsti per la cancellazione; una descrizione generale delle misure di sicurezza. Chi tratta dati per conto altrui (responsabile) tiene un registro con contenuti adattati.

Perché è importante

Il registro è la spina dorsale dell’accountability: tenendolo aggiornato, l’impresa ha sotto controllo tutti i flussi di dati e può rispondere rapidamente alle richieste degli interessati, gestire i data breach e dimostrare la propria diligenza in caso di ispezione. Va aggiornato ogni volta che cambia un trattamento (nuovo software, nuovo servizio, nuovo fornitore).

Come si costruisce

In pratica si parte da una ricognizione: quali dati raccoglie l’impresa (clienti, dipendenti, fornitori, sito, videosorveglianza, marketing), con quali strumenti e fornitori, dove sono conservati. Ogni trattamento diventa una “scheda” del registro. Esistono modelli, ma il registro va calato sulla realtà concreta dell’impresa, non copiato.

Esempio pratico

Una SRL mappa i suoi trattamenti: gestione clienti e fatturazione, gestione dipendenti e buste paga, newsletter, sito e cookie, videosorveglianza del magazzino. Per ciascuno indica finalità, base giuridica, dati trattati, fornitori coinvolti e tempi di conservazione. Il registro così composto diventa la base per informative, nomine e misure di sicurezza.

Vedi anche: Registro delle Imprese, Chiudere l’impresa, Sistema del prezzo-valore, Imposta di registro e ipocatastali sulla donazione, Imposta di registro sulla divisione di eredità e immobili e Imposta di registro su decreti ingiuntivi e sentenze.