In linea di principio potete gestire completamente da soli il vostro registro delle attività di trattamento. Il RGPD non prescrive un programma o un formato specifico: un documento o un foglio di calcolo ben mantenuti sono sufficienti, purché siano completi, corretti e aggiornati. Ciò che conta non è lo strumento, ma il contenuto: quali dati personali trattate, per quale scopo, chi vi ha accesso, per quanto tempo li conservate e quali altre parti ne vengono a conoscenza.
La domanda pratica quindi non è se sia permesso, ma se rimanga gestibile nella vostra azienda. Con un numero limitato di trattamenti fissi — un pacchetto contabile, un'amministrazione del personale, un CRM — un prospetto auto-realizzato è spesso facile da mantenere. Non appena il numero di strumenti cresce, i responsabili del trattamento cambiano o i dipendenti acquistano autonomamente software, la manutenzione diventa un compito ricorrente che si tende facilmente a rinviare.
Cosa deve assolutamente essere presente
Un registro descrive per ogni trattamento lo scopo, le categorie di dati e gli interessati, il periodo di conservazione o un'indicazione di esso, e le parti con cui i dati vengono condivisi. Per i trattamenti che avvengono tramite una terza parte, deve anche risultare se sottostà un contratto di responsabile del trattamento. I requisiti precisi e le eccezioni sono stabiliti nel RGPD stesso e sono sviluppati nelle linee guida dell'Autorità garante per la protezione dei dati personali e dell'EDPB. Se desiderate che per ogni situazione sia chiarito, lo trovate nella banca dati dove per ogni situazione è chiarito.
Perché su carta diventa difficile
Il problema di solito non è la creazione, ma la manutenzione. Nel corso di un anno, un'azienda medio-piccola sottoscrive nuovi abbonamenti SaaS, ne interrompe altri, e il contratto di responsabile del trattamento associato talvolta cambia senza che nessuno se ne accorga. Un foglio di calcolo che era corretto all'inizio, dopo pochi mesi spesso è solo una fotografia del momento. Questo diventa evidente solo quando conta: quando c'è una richiesta di un interessato, in una procedura di appalto, o quando un'autorità di controllo lo chiede.
Qui sta la vera differenza tra il fai-da-te e il ricorso a supporto esterno. Gestire da soli un registro non è un problema finché qualcuno dedica strutturalmente il tempo a controllarlo e aggiornarlo. In molte piccole aziende il tempo c'è all'inizio, e scompare non appena la frenesia quotidiana prende il sopravvento.
Fai-da-te, usare uno strumento, o affidare a terzi
Tra il fai-da-te completo e l'affidamento totale a terzi c'è una via di mezzo: un sistema che popola il registro da una biblioteca di strumenti noti e vi avverte se manca qualcosa o se qualcosa è cambiato. Questo non risparmia il lavoro di riflessione su cosa deve essere incluso — questo rimane a voi — ma riduce il rischio che un cambiamento passi inosservato. Se questo valga la pena per la vostra azienda dipende dal numero di trattamenti e da quanto spesso cambia. Una rassegna di cosa questo comporta e quanto costa si trova in pagina con i prezzi del sistema.
Chi preferisce prima provare da solo, può farlo tranquillamente. Il RGPD non obbliga a un sistema pagato. Ciò che la legge richiede è che il registro sia in ogni momento una rappresentazione corretta della realtà — non solo il giorno in cui è stato creato.
Cosa non potete mai affidare a terzi
Che gestiate il registro in un foglio di calcolo o lo lasciate popolare da un sistema: la responsabilità della correttezza rimane nell'organizzazione, non nello strumento. Uno strumento può segnalare che un contratto di responsabile del trattamento è scaduto o che un nuovo strumento SaaS non è ancora stato incluso, ma la decisione su cosa farvi e se un trattamento è effettivamente necessario rimane a voi. Per l'applicazione alla vostra situazione specifica, è qualcosa da discutere con un legale o, in caso di dubbio sulla legge stessa, con l'Autorità garante per la protezione dei dati personali.
Desiderate prima vedere come funziona un simile sistema nella pratica prima di scegliere tra fare da soli e ricevere assistenza? In tal caso potete leggere le domande frequenti sul registro oppure tramite la pagina di registrazione creare un account aziendale e vedere voi stessi la differenza.
Se desiderate sapere dove si trova attualmente la vostra azienda, la valutazione rapida gratuita è un buon punto di partenza: nessun obbligo, solo un'indicazione di ciò che è rilevante per la vostra situazione.