La risposta in breve
L'errore più comune in un registro delle attività di trattamento non è che manchi, ma che venga compilato una sola volta e non venga più aggiornato. Un registro deve essere una panoramica viva di ciò che accade con i dati personali nella vostra azienda. Non appena acquistate uno strumento nuovo, cambiate il fornitore di elaborazione delle buste paga o installate una telecamera all'ingresso, quella panoramica dovrebbe cambiare di conseguenza — ma nella pratica spesso non accade.
Inoltre, vediamo tre altri errori che si ripetono costantemente: vengono inclusi solo i sistemi ovvi, l'obiettivo e il periodo di conservazione sono formulati troppo vagamente, e il registro viene confuso con un accordo tra titolare e responsabile del trattamento, mentre è qualcosa di diverso. Di seguito illustriamo ogni errore e mostriamo come evitarlo nella pratica.
Errore 1: il registro diventa un'istantanea invece di un documento vivo
Molte aziende compilano il registro nel momento in cui cominciano — spesso in seguito a una richiesta di un cliente o di un commercialista — e lo considerano completo da quel momento. Ma un trattamento di oggi spesso avrà un aspetto diverso tra un anno: arriva un nuovo pacchetto contabile, lo strumento HR viene sostituito, o si inizia una newsletter tramite un'altra piattaforma. Se il registro non si aggiorna di conseguenza, sorge una discrepanza tra ciò che è scritto sulla carta e ciò che realmente accade. Questa discrepanza di solito viene notata solo quando il registro è necessario: in risposta a una richiesta di un interessato, in una gara d'appalto, o dopo una violazione dei dati.
Il nocciolo di questo errore è che un registro è spesso trattato come un progetto, mentre è un processo. Non c'è un momento fisso per controllarlo, e nessuno è strutturalmente responsabile di esso. scopri come un siffatto registro rimane automaticamente aggiornato quando è collegato agli strumenti che già utilizzate, invece di essere gestito separatamente in un documento Word.
Errore 2: nel registro finiscono solo i sistemi evidenti
Un secondo errore ricorrente è che vengono inclusi solo i trattamenti "grandi": il sistema CRM, l'amministrazione delle buste paga, forse il negozio online. I trattamenti più piccoli o meno visibili vengono tralasciati, anche se rientrano ugualmente nel RGPD. Pensate a un elenco Excel con dati dei clienti conservato insieme al CRM, un gruppo WhatsApp in cui figurano anche i numeri di telefono dei clienti, o un sistema di prenotazione separato per una sala espositiva. Anche i servizi SaaS molto utilizzati come un'app di pianificazione, un servizio di firma elettronica o uno strumento per la registrazione dei tempi appartengono al registro, anche se sono stati introdotti "al volo".
Questo errore di solito non nasce da negligenza, ma da mancanza di consapevolezza: molti imprenditori non sanno precisamente quali strumenti all'interno della loro organizzazione trattano dati personali. Una panoramica degli strumenti SaaS noti aiuta a ridurre questo punto cieco; nella banca di conoscenze troverete spiegato per ogni argomento quando uno strumento rientra nel RGPD.
Errore 3: l'obiettivo e il periodo di conservazione sono formulati troppo vagamente
Il terzo errore frequente riguarda il contenuto del registro stesso. Per ogni trattamento deve figurare un obiettivo concreto, una base giuridica e un'indicazione di quanto a lungo i dati verranno conservati. Nella pratica, questo viene spesso compilato con formulazioni come "gestione aziendale" o "finché necessario". Non è un errore nel senso che il registro diventi invalido, ma rende il registro meno utilizzabile: non risponde alla domanda del perché i dati vengono conservati e quando dovrebbero essere eliminati.
Il RGPD stesso si basa sul principio della limitazione della finalità e della limitazione della conservazione, senza prescrivere termini fissi — questi termini variano a seconda del tipo di dato e del settore. Un registro che lo rende concreto per ogni trattamento è quindi più utile di un registro che utilizza la stessa formulazione generale ovunque.
Come evitarlo nella pratica
Il filo rosso dietro questi errori è che un registro viene considerato come un compito una tantum invece che come parte della gestione aziendale. Una buona pratica è collegare il registro a momenti che già si verificano: l'acquisto di un nuovo strumento, il cambio di un fornitore, o la conversazione annuale con il commercialista. In quei momenti è logico controllare anche se il registro è ancora accurato.
È utile anche stabilire in anticipo chi all'interno della vostra organizzazione è responsabile della sua gestione, anche se si tratta di una persona con altri compiti. Senza un proprietario, l'aggiornamento rimane casuale. Se rimane bloccato su una situazione specifica, ad esempio se uno strumento particolare deve o meno essere incluso nel registro, spesso troverete domande frequenti una risposta breve e concreta, con il riferimento nel testo ufficiale.
Volete vedere come il vostro registro personale apparirebbe in base agli strumenti che già utilizzate, senza dover prima cercare tutto manualmente? Fate la scansione rapida gratuita o crei un account aziendale per vedere cosa entrerebbe nel registro per la vostra situazione.