Ai sensi dell’art. 30 del Regolamento (UE) 2016/679 (GDPR), il Registro delle attività di trattamento costituisce uno strumento fondamentale per documentare e descrivere i trattamenti di dati personali effettivamente svolti da un’impresa o da un’organizzazione.
L’obbligo di tenuta del Registro è applicabile dal 25 maggio 2018, data di piena applicazione del GDPR. Può essere redatto in formato cartaceo o elettronico e rappresenta un documento da mantenere costantemente aggiornato, da mettere a disposizione del Garante per la protezione dei dati personali in caso di richiesta.
A chi si applica l’obbligo?
L’obbligo di tenuta del Registro si applica, in linea generale, alle imprese e alle organizzazioni con almeno 250 dipendenti.
Per le aziende e i professionisti con meno di 250 dipendenti, l’obbligo sussiste qualora ricorra anche una sola delle seguenti condizioni:
- i trattamenti non siano occasionali;
- i trattamenti possano presentare un rischio per i diritti e le libertà degli interessati;
- i trattamenti comprendano categorie particolari di dati personali (ad es. dati relativi alla salute);
- vengano trattati dati personali relativi a condanne penali e reati.
Quali informazioni deve contenere?
Per ciascuna attività di trattamento devono essere riportate:
- finalità e base giuridica del trattamento;
- categorie di interessati e dati personali trattati;
- destinatari dei dati e responsabili esterni, compresi gli eventuali trasferimenti verso paesi terzi;
- tempi o criteri di conservazione dei dati;
- misure tecniche e organizzative generali di sicurezza;
- data di creazione e data dell’ultimo aggiornamento.
Gli obblighi dell’impresa
La corretta gestione del Registro richiede che il documento sia coerente con i trattamenti effettivamente svolti dall’organizzazione, con informative, nomine dei responsabili del trattamento, sito web e procedure aziendali.
Particolare attenzione deve essere prestata in occasione di modifiche organizzative o tecnologiche, quali: software e applicativi; servizi cloud; sistemi di Intelligenza Artificiale; fornitori e responsabili esterni; finalità del trattamento; categorie di dati personali trattati; trasferimenti di dati verso l’estero; tempi e criteri di conservazione.
Il Registro non deve quindi essere considerato un documento statico, ma uno strumento da mantenere costantemente allineato all’effettiva operatività dell’organizzazione.
Le imprese che trattano dati personali per conto dei propri clienti, operando in qualità di Responsabili del trattamento, sono inoltre tenute a predisporre e conservare il Registro delle categorie di attività di trattamento svolte per conto dei Titolari.
Sanzioni
La mancata, incompleta o non aggiornata tenuta del Registro, così come la mancata esibizione dello stesso al Garante per la protezione dei dati personali, può comportare sanzioni amministrative pecuniarie fino a 10 milioni di euro oppure, per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore.
L’importo della sanzione viene determinato tenendo conto, tra gli altri elementi, della gravità della violazione e delle circostanze del caso concreto.
L’importanza di un Registro aggiornato
È opportuno verificare periodicamente la completezza, coerenza e attualità del Registro, assicurandosi che il documento rifletta fedelmente i trattamenti effettivamente svolti dall’organizzazione e che venga tempestivamente aggiornato in presenza di modifiche tecnologiche, organizzative o contrattuali.