Registro dei trattamenti fermo alla prima stesura
Il registro dei trattamenti che vedo durante gli audit porta spesso la stessa data del primo adeguamento al GDPR. Da allora l'organizzazione è cambiata, il registro no.
Il caso tipico è questo. Il documento è stato redatto con cura quando il Reg. UE 2016/679 è diventato applicabile, e da quel momento nessuno l'ha più riaperto. Nel frattempo sono arrivati il gestionale delle presenze in cloud, le telecamere nel parcheggio, la piattaforma per i colloqui a distanza e, negli ultimi mesi, un assistente di intelligenza artificiale a cui il personale passa testi e documenti. Ognuno è un trattamento nuovo, con finalità, dati e destinatari propri. Nel registro però non compare.
L'articolo 30, paragrafo 1, del GDPR chiede al titolare di indicare per ogni trattamento le finalità, le categorie di interessati e di dati, i destinatari, gli eventuali trasferimenti verso paesi terzi e, ove possibile, i termini di cancellazione e le misure di sicurezza. Un registro che descrive l'organizzazione di qualche anno fa esiste sulla carta, ma non soddisfa questo requisito.
Il punto pesa per una ragione pratica. L'articolo 30, paragrafo 4, prevede che il registro sia messo a disposizione dell'autorità di controllo su richiesta, e nelle verifiche è il primo documento che si apre, perché da lì si ricostruisce il resto: informative, basi giuridiche, nomine dei responsabili, valutazioni d'impatto. Se la mappa è sbagliata, ogni controllo successivo parte dal punto sbagliato.
C'è poi un equivoco frequente sull'esenzione per chi ha meno di 250 dipendenti, prevista al paragrafo 5. Non si applica se il trattamento non è occasionale, se presenta un rischio per i diritti degli interessati o se riguarda categorie particolari di dati. Un'organizzazione che gestisce buste paga o dati sanitari, quindi, difficilmente può invocarla.
Il registro serve se segue i cambiamenti. Un nuovo software, un nuovo fornitore o un nuovo servizio sono il momento naturale per riaprirlo.
Nella vostra organizzazione, l'ultimo trattamento introdotto è già nel registro?