Cosa deve contenere un registro dei trattamenti?

Cosa contiene il registro delle attività di trattamento

Un registro delle attività di trattamento descrive, per ogni trattamento che un'organizzazione effettua con dati personali, chi è responsabile di cosa e cosa accade ai dati. Concretamente, si tratta del nome e dei dati di contatto dell'organizzazione (e del responsabile della protezione dei dati, se esiste), dei fini per cui vengono trattati i dati, delle categorie di interessati e delle categorie di dati personali interessati, delle categorie di destinatari a cui vengono comunicati i dati, se i dati vengono trasferiti al di fuori dell'UE e, in caso affermativo, sotto quali garanzie, dei periodi di conservazione rispettati o del criterio utilizzato per determinarli, e una descrizione generale delle misure tecniche e organizzative di sicurezza.

Un'organizzazione che agisce essa stessa come responsabile del trattamento — cioè che tratta dati personali su incarico di un'altra parte — mantiene un registro comparabile ma leggermente più limitato, focalizzato sulle categorie di trattamenti eseguiti per ciascun titolare del trattamento. Per le organizzazioni più piccole, l'articolo 30 del RGPD prevede un'eccezione: chi ha meno di duecentocinquanta dipendenti non è tenuto a mantenere questo registro, a meno che il trattamento comporti un rischio per i diritti e le libertà degli interessati, non sia occasionale, o riguardi categorie particolari di dati o dati relativi a condanne penali. Nella pratica, questa eccezione riguarda meno imprese piccole e medie di quanto possa sembrare, perché il trattamento regolare di dati di clienti o dipendenti difficilmente può essere considerato occasionale.

Da dove deriva: articolo 30 RGPD

Questi elementi sono elencati nell'articolo 30, primo e secondo comma, del RGPD, con l'eccezione per le organizzazioni più piccole nel quinto comma dello stesso articolo; l'Autorità per la protezione dei dati illustra sul suo sito web come affronta questa questione nella pratica olandese.