Per una piccola azienda con un numero gestibile di trattamenti — amministrazione del personale, contabilità, una base clienti, un paio di strumenti SaaS — una panoramica iniziale approssimativa può spesso essere redatta in poche ore. Il tempo effettivo fino a un registro davvero completo e utilizzabile è nella pratica più lungo: contiamo su alcuni giorni di lavoro, distribuiti su due o quattro settimane. Questa distribuzione non avviene perché il compilamento stesso richiede molto tempo, ma perché nel frattempo si attende risposta da altri.
La legge stessa non specifica un termine per la redazione di un registro. Ciò che il GDPR richiede è che un titolare del trattamento mantenga una documentazione delle attività di trattamento soggette alla sua responsabilità, contenente fra l'altro lo scopo, le categorie di dati e i destinatari, e i periodi di conservazione. Il tempo necessario per arrivarvi non dipende quindi da una scadenza stabilita per legge, ma da quanto bene la vostra organizzazione conosce tutte le operazioni che avvengono con i dati.
Dove vanno le prime giornate
La prima fase riguarda l'inventario: quali sistemi utilizzate, chi ha accesso e quali dati contengono. Per un lavoratore autonomo o un'azienda con pochi dipendenti questo è spesso chiaro in una sola mattinata. In un'organizzazione con più reparti il tempo aumenta rapidamente, semplicemente perché nessuno da solo ha il quadro completo: le Risorse Umane sanno quali strumenti utilizzano per il reclutamento e l'assenza per malattia, l'amministrazione sa quale pacchetto contabile è in uso, e la direzione spesso non sa che il reparto marketing ha sottoscritto un abbonamento CRM separato. Questa frammentazione è la prima e più grande fonte di ritardo, non il lavoro di compilamento vero e proprio.
Un approccio pratico è iniziare dalle fatture: ogni abbonamento addebitato mensilmente è un buon indicatore di un trattamento che dovrebbe rientrare nel registro. Una libreria di strumenti SaaS conosciuti può accelerare questa parte, poiché il software più comune è già fornito dei relativi scopi e periodi di conservazione usuali, così non dovete cercarli voi stessi. In la knowledge base troverete per ogni argomento una breve risposta con il riferimento nel testo ufficiale, il che è utile per stabilire cosa deve e cosa non deve rientrare nel registro.
Dove si crea un collo di bottiglia: contratti di trattamento dei dati
Il secondo ritardo nasce quando collegate i contratti di trattamento dei dati ai trattamenti nel registro. Per ogni fornitore SaaS che elabora dati personali per vostro conto, deve esserci un contratto. Nella pratica spesso non c'è, oppure nessuno è più sicuro dell'ultima versione. Questo significa che dovete contattare i fornitori, il che può richiedere giorni o settimane di attesa — non perché la redazione del contratto richieda molto tempo, ma perché dipendete dalla velocità di risposta di un'altra azienda.
Per questo è più prudente non considerare il registro e il monitoraggio dei contratti di trattamento dei dati come due progetti separati, ma come un unico processo continuo: non appena viene acquisito un nuovo strumento, il contratto deve esserne parte integrante, invece di doverlo ricostruire in seguito da ciò che è stato concordato in passato.
Tempo di elaborazione in caso di crescita e cambiamento
Un registro non è mai finito nel senso che dopo non cambia più. Nuovi strumenti, nuovi dipendenti, nuovi processi clienti — ognuno di questi incide di nuovo sul registro. Il tempo di elaborazione di un inventario una tantum dice quindi poco sulla manutenzione successiva. Le aziende che compilano il registro solo alla costituzione e poi lo lasciano stare corrono il rischio che dopo un anno non corrisponda più alla realtà. Chi lascia crescere il registro insieme alla libreria di strumenti e lo fa segnalare automaticamente quando manca qualcosa, si risparmia l'inventario ripetuto che altrimenti è necessario di nuovo ad ogni verifica o gara d'appalto.
Per chi deve dimostrare che le basi sono a posto — ad esempio verso un assicuratore o in una gara d'appalto — non conta solo che esista un registro, ma anche quanto è aggiornato. Una panoramica di sei mesi fa, mentre nel frattempo tre nuovi strumenti sono stati aggiunti, dà un'immagine diversa da un registro che viene aggiornato settimanalmente.
Farlo da soli o lasciarlo progredire
Che manteniate voi stessi il registro in un foglio di calcolo o lo facciate compilare da un sistema, il tempo di elaborazione in entrambi i casi si trova principalmente nella raccolta delle informazioni, non nell'inserimento di esse. La differenza è nella manutenzione: un foglio di calcolo richiede che vi ricordiate voi stessi quando qualcosa deve essere aggiornato, mentre un sistema collegato alla libreria di strumenti e ai vostri contratti di responsabili del trattamento ve lo segnala. Ulteriori informazioni su come funziona esattamente questo collegamento si leggono su la pagina sul funzionamento del sistema.
Se volete sapere quanto tempo e risorse vi richiederebbe un registro completo e aggiornato per la vostra situazione, lo potete vedere la panoramica dei prezzi un'indicazione di ciò che si adatta alle dimensioni della vostra azienda. E se siete incerti se la vostra situazione attuale sia sufficiente, troverete in le domande più frequenti risposta ad alcuni casi pratici dubbi.
La valutazione finale del fatto che il vostro registro soddisfi i requisiti legali spetta a voi stessi o a un giurista, e in caso di dubbio all'Autorità Garante per la protezione dei dati personali. Se desiderate prima farvi un'idea della vostra situazione, effettuate la scansione rapida gratuita o sfogliate gli argomenti nella banca delle conoscenze.