Il GDPR chiede a titolari e responsabili del trattamento di tenere un registro delle attività di trattamento. Esiste un’esenzione per le organizzazioni con meno di 250 dipendenti, ma con condizioni che la rendono poco applicabile: non vale se il trattamento non è occasionale, se può presentare un rischio o se riguarda categorie particolari di dati. Poiché quasi tutte le aziende trattano in modo continuativo dati di clienti e dipendenti, nella pratica molte PMI devono tenerlo. Anche in Svizzera la legge sulla protezione dei dati prevede un registro delle attività di trattamento, con alleggerimenti per le imprese più piccole a determinate condizioni.
Cosa contiene
Per ogni attività di trattamento il registro indica:
- Nome e contatti del titolare.
- Finalità del trattamento.
- Categorie di persone interessate e di dati personali.
- Categorie di destinatari, compresi i fornitori.
- Eventuali trasferimenti verso Paesi esteri e garanzie.
- Termini di cancellazione previsti.
- Descrizione generale delle misure di sicurezza.
Le attività tipiche di una PMI
- Gestione dei clienti e della fatturazione.
- Gestione del personale e delle buste paga.
- Gestione dei fornitori.
- Richieste di contatto dal sito.
- Newsletter e comunicazioni commerciali.
- Statistiche e pubblicità online.
- Videosorveglianza, se presente.
Ognuna diventa una riga o una scheda del registro.
Il registro deve descrivere ciò che l’azienda fa davvero. Un modello copiato con trattamenti inesistenti o incompleti non serve a nulla e non protegge in caso di controlli.
Come prepararlo in pratica
Un foglio di calcolo ben strutturato è sufficiente per molte PMI. Si parte da un incontro con i responsabili dei vari reparti per elencare le attività, poi si compila una riga per ciascuna. Per le informazioni tecniche, come fornitori e misure di sicurezza, conviene coinvolgere chi gestisce sistemi e sito.
Mantenerlo aggiornato
Il registro va aggiornato quando si introduce un nuovo strumento, un nuovo fornitore o una nuova attività: un nuovo CRM, un sistema di prenotazione, un pixel pubblicitario sul sito. Un controllo annuale aiuta a non dimenticare nulla.
Il collegamento con il sito
Molti trattamenti nascono dal sito: moduli, newsletter, analisi, pubblicità. L’elenco degli strumenti presenti sul sito, con i rispettivi fornitori, è una parte importante del registro e serve anche per mantenere coerenti informativa privacy e cookie policy.
Un esempio
Un’impresa artigiana con dodici dipendenti prepara il registro in un pomeriggio con il proprio consulente. Emergono otto attività di trattamento, tra cui una che nessuno aveva considerato: le foto dei cantieri con i clienti, pubblicate sui social. Il registro diventa l’occasione per raccogliere i consensi mancanti e aggiornare l’informativa.
Domande frequenti
Il registro va inviato all’autorità?
No, va conservato e messo a disposizione dell’autorità di controllo se richiesto.
Serve un software dedicato?
Non è necessario. Un foglio di calcolo ordinato è sufficiente per molte piccole imprese.
Chi deve compilarlo?
Il titolare, eventualmente con il supporto di un consulente privacy e dei responsabili interni.
Quando progettiamo automazioni e integrazioni con CMXD SmartFlow documentiamo quali dati vengono trattati e dove, informazioni utili anche per il registro. Per un confronto, contattaci.
