L’art. 30 del Regolamento Europeo 679/2016 (meglio conosciuto come GDPR) prevede tra gli adempimenti principali del Titolare e del Responsabile del trattamento la tenuta del Registro delle attività dei trattamento.
E’ un documento contenente le principali informazioni relative alle operazioni di trattamento svolte da lTitolare e, se nominato, dal Responsabile del trattamento.
Costituisce uno dei principali elementi di accountability (rendicontazione) in mano al Ttitolare (Responsabile), in quanto strumento idoneo a fornire un quadro aggiornato dei trattamenti in essere all’interno della propria organizzazione, indispensabile per ogni attività di valutazione o analisi del rischio e dunque preliminare rispetto a tali attività.
Il Registro deve avere forma scritta, anche elettronica, e deve essere esibito su richiesta del Garante o delle Autorità preposte ad effettuare ispezioni (Nucleo Speciale Privacy , Guardia di Finanza, ecc).
Chi è tenuto a redigerlo?
Tutti i Titolari e i Responsabili del trattamento sono tenuti a redigere il Registro delle attività di trattamento (v. art. 30, par. 1 e 2 del RGPD) tra cui le “organizzazioni” di cui all’art. 30, par. 5 anche le Associazioni, Fondazioni e i Comitati.
Alla luce di quanto detto sopra, sono tenuti all’obbligo di redazione del registro, ad esempio:
– Esercizi commerciali, esercizi pubblici o artigiani con almeno un dipendente (bar, ristoranti, officine, negozi, piccola distribuzione, ecc.) e/o che trattino dati sanitari dei clienti (es. parrucchieri, estetisti, ottici, odontotecnici, tatuatori ecc.);
– Liberi professionisti con almeno un dipendente e/o che trattino dati sanitari e/o dati relativi a condanne penali o reati (es. commercialisti, notai, avvocati, osteopati, fisioterapisti, farmacisti, medici in generale);
– Associazioni, fondazioni e comitati ove trattino “categorie particolari di dati” e/o dati relativi a condanne penali o reati (i.e. organizzazioni di tendenza; associazioni a tutela di soggetti c.d. “vulnerabili” quali ad esempio malati, persone con disabilità, ex detenuti ecc.; associazioni che perseguono finalità di prevenzione e contrasto delle discriminazioni di genere, razziali, basate sull’orientamento sessuale, politico o religioso ecc.; associazioni sportive con riferimento ai dati sanitari trattati; partiti e movimenti politici; sindacati; associazioni e movimenti a carattere religioso);
– Il Condominio ove tratti “categorie particolari di dati” (es. delibere per interventi volti al superamento e all’abbattimento delle barriere architettoniche ai sensi della L. n. 13/1989; richieste di risarcimento danni comprensive di spese mediche relativi a sinistri avvenuti all’interno dei locali condominiali).
Infine, si precisa che le imprese e organizzazioni con meno di 250 dipendenti obbligate alla tenuta del registro potranno comunque beneficiare di alcune misure di semplificazione, potendo circoscrivere l’obbligo di redazione del registro alle sole specifiche attività di trattamento sopra individuate (es. ove il trattamento delle categorie particolari di dati si riferisca a quelli inerenti un solo lavoratore dipendente, il registro potrà essere predisposto e mantenuto esclusivamente con riferimento a tale limitata tipologia di trattamento).
Al di fuori dei casi di tenuta obbligatoria del Registro, anche alla luce del considerando 82 del GDPR, il Garante ne raccomanda la redazione a tutti i Titolari e Responsabili del trattamento, in quanto strumento che, fornendo piena contezza del tipo di trattamenti svolti, contribuisce a meglio attuare, con modalità semplici e accessibili a tutti, il principio di accountability e, al contempo, ad agevolare in maniera dialogante e collaborativa l’attività di controllo del Garante stesso.
Per saperne di più :
FAQ pubblicate dal Garante della Privacy
Come l’Autorità verifica il Registro dei Trattamenti (Articolo di PrivacyLab Blog)
