Il registro delle attività di trattamento, previsto dall'art. 30 del Regolamento (UE) 2016/679 (GDPR), è la mappa dei dati personali trattati dall'organizzazione. È uno dei primi documenti richiesti in caso di ispezione del Garante.
Chi è obbligato
L'obbligo riguarda le organizzazioni con almeno 250 dipendenti, ma vale anche per quelle più piccole quando il trattamento:
- può presentare un rischio per i diritti e le libertà degli interessati;
- non è occasionale (come la gestione di dipendenti e clienti, quindi nella pratica quasi sempre);
- include dati particolari (ad esempio dati sanitari) o relativi a condanne penali.
Per questo il Garante raccomanda a tutte le imprese di tenerlo.
Cosa deve contenere
- dati del titolare ed eventualmente del DPO;
- finalità del trattamento e categorie di interessati e di dati;
- categorie di destinatari e trasferimenti verso Paesi extra UE;
- termini di cancellazione previsti;
- descrizione delle misure di sicurezza tecniche e organizzative.
ITEC ProSafe H&S prepara e aggiorna il registro all'interno della consulenza per la gestione della sicurezza dei dati.
