l'Autorità Garante della protezione dei dati viene a controllare cosa devo poter mostrare

Il registro delle attività di trattamento è centrale durante un controllo

Durante un controllo dell'Autorità per la protezione dei dati, nella maggior parte dei casi tutto ruota attorno a un documento come punto di partenza: il registro delle attività di trattamento. In esso sono indicate quali dati personali vengono trattati, per quale scopo, chi vi ha accesso, per quanto tempo vengono conservati e se vengono condivisi con altri. Questo registro non è facoltativo — l'articolo 30 del GDPR descrive cosa deve contenere e a chi si applica l'obbligo. Oltre al registro, un'autorità di controllo generalmente chiede anche i contratti di incarico per i fornitori che trattano dati per conto dell'azienda, e come è stata organizzata la sicurezza di tali dati.

Cosa emerge da un controllo dipende dall'ambito su cui l'azienda si concentra. Ad esempio, si può chiedere della dichiarazione sulla privacy inviata ai clienti o ai visitatori del sito web, della prova che una violazione di dati è stata valutata tempestivamente, o della valutazione effettuata per un trattamento rischioso. Per chi deve stabilire esattamente cosa deve figurare nel registro, cosa deve contenere un registro delle attività di trattamento? fornisce una panoramica dei componenti. E poiché un controllo si estende anche agli accordi con i fornitori SaaS o altre parti che trattano dati, la risposta a cosa deve contenere un contratto di incarico? è rilevante per ciò che deve poter essere mostrato.

Da dove derivano: articoli 30 e 32 GDPR

L'obbligo di mantenere un registro è stabilito nell'articolo 30 del GDPR, e in pratica questo registro è il primo documento che compare durante un controllo. L'articolo 32 del GDPR descrive l'obbligo di adottare misure tecniche e organizzative appropriate per proteggere i dati, e un'autorità di controllo può chiedere come tali misure sono state implementate. Questi due articoli si applicano direttamente in tutta l'Unione europea, quindi l'essenza di ciò che deve poter essere mostrato è la stessa ovunque. Chi conduce il controllo e dove viene richiesto o gestito varia però da paese a paese: nei Paesi Bassi è l'Autorità per la protezione dei dati, in altri Stati membri un'altra autorità nazionale di controllo con le proprie procedure. Maggiori informazioni sul ruolo dell'autorità olandese di controllo si trovano nel sito web dell'Autorità per la protezione dei dati.