GDPR: il Registro delle Attività di Trattamento e le indicazioni del Garante italiano

Come noto, il 25 maggio 2018 è diventato pienamente applicabile il Regolamento EU 2016/679 in materia di protezione dei dati personali (GDPR) che, tra le altre cose, istituisce l’obbligo – a certe condizioni – di tenere un registro delle attività di trattamento (in forma cartacea o in formato elettronico) a cura del titolare e del responsabile del trattamento ai sensi dell’art. 30.

Questo “adempimento” costituisce uno dei principali elementi di accountability, termine anglosassone che esprime il concetto di responsabilizzazione e che si concretizza nell’adozione di comportamenti proattivi in grado di dimostrare la concreta adozione di misure finalizzate ad assicurare la corretta applicazione del Regolamento. In questo modo i soggetti che determinano finalità e mezzi del trattamento sono spinti ad attuare tutte le misure necessarie per una protezione effettiva del dato personale.

Il Registro rappresenta uno strumento idoneo per fornire un quadro aggiornato dei trattamenti in essere all’interno di una organizzazione, indispensabile ai fini della valutazione o analisi del rischio e, dunque, preliminare rispetto a tale attività. Per la sua importanza, il Garante per la protezione dei dati personali ha recentemente messo a disposizione sul proprio sito internet specifiche istruzioni, che qui di seguito vengono sintetizzate.

Il Registro delle Attività di Trattamento

La norma non definisce un modello preciso di Registro, ma indica le informazioni essenziali che devono essere in esso contenute: nome e dati del titolare e del responsabile della protezione dei dati; finalità del trattamento; descrizione delle categorie di interessati e delle categorie di dati personali, categorie di destinatari a cui i dati personali sono stati o saranno comunicati; termini previsti per la cancellazione delle diverse categorie di dati; descrizione generale delle misure di sicurezza tecniche o organizzative.

Chi è tenuto a dotarsi di Registro

I titolari e i responsabili del trattamento sono tenuti a redigere il Registro delle attività di trattamento alle condizioni previste dall’art. 30 GDPR.

In ambito privatistico, i soggetti obbligati sono:

1. imprese e organizzazioni (associazioni, fondazioni e i comitati) con almeno 250 dipendenti;
2. qualunque titolare o responsabile (incluse imprese o organizzazioni con meno di 250 dipendenti) che effettui trattamenti che possono presentare un rischio – anche non levato – per i diritti e le libertà dell’interessato;
3. qualunque titolare o responsabile (incluse imprese o organizzazioni con meno di 250 dipendenti) che effettui trattamenti non occasionali;
4. qualunque titolare o responsabile (incluse imprese o organizzazioni con meno di 250 dipendenti) che effettui trattamenti delle categorie particolari di dati di cui all’art. 9, par.1 GDPR (ovvero: l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l’appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute e alla vita sessuale o all’orientamento sessuale della persona); o di dati personali relativi a condanne penali e a reati di cui all’art. 10 GDPR;

In termini concreti, sono tenuti all’obbligo di redazione del registro, a titolo esemplificativo:

1. gli esercizi commerciali, esercizi pubblici o artigiani con almeno un dipendente (bar, ristoranti, officine, negozi, piccola distribuzione) e/o che trattino dati sanitari dei clienti (parrucchieri, estetisti, ottici, odontotecnici, tatuatori);
2. associazioni, fondazioni e comitati ove trattino “categorie particolari di dati e/o dati relativi a condanne penali o reati (ad es: organizzazioni di tendenza, associazioni a tutela di soggetti c.d. vulnerabili come malati, persone con disabilità, detenuti; associazioni che perseguono finalità di prevenzione e contrasto delle discriminazioni di genere,, razziali, basate sull’orientamento sessuale, politico o religioso; associazioni sportive con riferimento ai dati sanitari trattati; partiti e movimenti politici; sindacati; associazioni e movimenti a carattere religioso;

• il condominio ove tratti categorie particolari di dati (ad es. delibere per interventi volti al superamento e all’abbattimento delle barriere architettoniche; richieste di risarcimento danni comprensive di spese mediche relativi a sinistri avvenuti all’interno dei locali condominiali).

Con particolare riguardo alle imprese e alle organizzazioni con meno di 250 dipendenti, il Garante ha precisato come le stesse potranno comunque beneficiare di alcune misure di semplificazioni (si pensi agli esercizi commerciali con un solo dipendente, il registro potrà essere predisposto e mantenuto esclusivamente con riferimento a tale limitata tipologia di trattamento.

Il Garante raccomanda a tutti i titolari e responsabili del trattamento la tenuta del registro anche fuori dai casi in cui ne è previsto l’obbligo in quanto è lo strumento che consente di attuare al meglio il principio della accountability e al contempo agevola in maniera dialogante e collaborativa l’attività di controllo del Garante stesso.

Quali informazioni deve contenere

La principale difficoltà riscontrata per i titolari e i responsabili del trattamento è quella di individuare le attività di business che presuppongono la raccolta ed elaborazione di dati personali e, successivamente, di distinguerli in base alle finalità perseguite, alla base giuridica che ne legittimano il trattamento ed alle categorie di interessati coinvolti.

Pertanto, anche con riferimento ai contenuti, il Garante ha fornito le seguenti indicazioni:

1. con riguardo alle “finalità del trattamento”, oltre alla precisa indicazione delle stesse distinte per tipologie di trattamento (una cosa è, infatti, il trattamento dei dati dei dipendenti per la gestione del rapporto di lavoro, un’altra è il trattamento dei dati di contatto dei fornitori per la gestione degli ordini) sarebbe opportuno anche indicare la base giuridica dello stesso. Posto che il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle condizioni di cui all’art. 6 GDPR, sarebbe opportuno indicare la specifica norma che ne autorizza il trattamento;
2. in relazione alla “descrizione delle categorie di interessati e delle categorie di dati personali” andranno specificate sia le tipologie di interessati (come ad es. dipendenti, fornitori, clienti), sia quelle dei dati personali oggetto di trattamento (dati anagrafici, sanitari, biometrici genetici, dati relativi a condanne penali, e così via);
3. in relazione alle “categorie di destinatari a cui i dati sono stati o saranno comunicati” andranno riportati, anche semplicemente per categoria di appartenenza, gli altri titolari cui siano comunicati i dati stessi. A titolo esemplificativo: gli enti previdenziali cui debbano essere trasmessi i dati dei dipendenti per adempiere agli obblighi contributivi; il soggetto esterno al quale sia stato affidato del titolare il servizio di elaborazione delle buste paga, ecc.;
4. nel caso di “trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale” andrà riportata l’informazione relativa ai suddetti trasferimenti unitamente all’indicazione relativa al Paese terzo cui i dati sono trasferiti e alle garanzie adottate ai sensi del capo V del GDPR;
5. con riguardo ai “termini ultimi previsti per la cancellazione delle diverse categorie di dati” dovranno essere individuati i tempi di cancellazione per tipologia e finalità del trattamento. Per esempio, in caso di rapporto contrattuale, i dati saranno conservati per 10 anni dall’ultima registrazione, in caso di contenzioso i dati saranno cancellati al termine dello stesso;
6. in relazione alla “descrizione generale delle misure di sicurezza” andranno indicate le misure tecnico organizzative adottate dal titolare ai sensi dell’art. 32 GDPR. Si ricorda, che l’elenco ivi riportato è puramente indicativo, nel senso che la valutazione dell’adeguatezza del livello di sicurezza viene rimessa al titolare (in linea col principio di accountability) che potrà, a seconda delle specifiche necessità, ampliare e prevedere ulteriori misure di sicurezza, anche in relazione al progresso tecnologico.

Ultime precisazioni

Il Registro può contenere ulteriori informazioni rispetto a quelle previste dall’art. 30 GDPR. Anzi, dovrebbe contenere tutte quelle informazioni necessarie e indispensabili per individuare e valutare gli obblighi previsti dal quadro normativo di riferimento e i rischi a cui possono essere esposti i dati personali in funzione degli strumenti utilizzati per il loro trattamento, e che possono causare potenziali danni, sia materiali che immateriali, agli interessati.

Con riguardo alle modalità di conservazione e aggiornamento del Registro, il Garante ha precisato che lo stesso deve essere mantenuto costantemente aggiornato: qualsiasi cambiamento deve essere immediatamente inserito nel Registro.  Il Registro può essere compilato sia in formato cartaceo che elettronico, e deve in ogni caso recare la data della sua prima istituzione e la data dell’ultimo aggiornamento.

30/10/2018