Il Regolamento generale UE sulla protezione dei dati personali (GDPR n. 679/2016) è già in vigore, sebbene concretamente non sia ancora applicabile. Tuttavia, il 25 maggio 2018 (data entro la quale occorrerà adeguarvisi) non è poi così lontano se si pensa alla mole di adempimenti, verifiche e nuove attività a cui saranno chiamate le aziende e le pubbliche amministrazioni per raggiungere, entro quel termine, un sufficiente grado di conformità ed evitare così le pesanti sanzioni previste.
Per tale motivo, in questo articolo prenderemo in esame proprio uno di questi nuovi adempimenti, ovvero l’obbligo di tenuta del Registro delle attività di trattamento.
A ben vedere, non si tratta poi di un adempimento totalmente nuovo: in effetti, i suoi contenuti rievocano adempimenti precedenti – alcuni obsoleti, altri ancora attuali – come quelli del Documento Programmatico sulla Sicurezza (per la forma e i contenuti) o la Notificazione del trattamento ex art. 37 del Codice privacy (per i contenuti). Rispetto ad essi, però il Registro delle attività di trattamento ha il pregio di riportare a una visione più dinamica e completa dei trattamenti e delle misure organizzative e tecniche adottate i soggetti che saranno obbligati alla sua adozione, ovvero il Titolare e del Responsabile del trattamento.
L’articolo 30, paragrafo 1, del GDPR, infatti, dispone che ogni titolare del trattamento debba tenere un “Registro delle attività di trattamento” svolte sotto la propria responsabilità.
Tale registro deve contenere, tassativamente, una serie di informazioni indicate[1]:
a) il nome e i dati di contatto del titolare del trattamento e, ove applicabile, del contitolare del trattamento, del rappresentante del titolare del trattamento e del responsabile della protezione dei dati;
b) le finalità del trattamento;
c) una descrizione delle categorie di interessati e delle categorie di dati personali;
d) le categorie di destinatari a cui i dati personali sono stati o saranno comunicati (compresi i destinatari di paesi terzi od organizzazioni internazionali);
e) i trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale, compresa l’identificazione del paese terzo o dell’organizzazione internazionale (ove ciò sia applicabile e, quindi, qualora di fatto si realizzi un trasferimento in paesi extra UE), compresa la documentazione delle garanzie adeguate adottate;
f) ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati;
g) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative (di cui all’articolo 32, paragrafo 1, del GDPR).
Come anticipato, essendo questo un obbligo posto in capo anche ai Responsabili del trattamento, il paragrafo 2 del medesimo articolo 30 dispone che ogni responsabile del trattamento debba tenere un registro di tutte le categorie di attività, relative al trattamento, svolte per conto di un titolare del trattamento, il cui contenuto anche qui è tassativamente definito (sebbene leggermente ridotto):
a) il nome e i dati di contatto del responsabile o dei responsabili del trattamento, di ogni titolare del trattamento per conto del quale agisce il responsabile del trattamento, del rappresentante del titolare del trattamento o del responsabile del trattamento e, ove applicabile, del responsabile della protezione dei dati;
b) le categorie dei trattamenti effettuati per conto di ogni titolare del trattamento;
c) i trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale, compresa l’identificazione del paese terzo o dell’organizzazione internazionale (ove ciò sia applicabile e, quindi, se di fatto si realizzi un trasferimento in paesi extra UE), compresa la documentazione delle garanzie adeguate;
d) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative (articolo 32, paragrafo 1, del GDPR).
Rispetto a questi ultimi obblighi, possiamo pertanto notare come il Responsabile del trattamento non dovrà preoccuparsi di stabilire i termini ultimi per la cancellazione dei dati, in quanto si tratta di dati personali non di sua titolarità e tale decisione spetterà, invece, a ogni titolare del trattamento per conto del quale il Responsabile agisce ed è stato designato[2]. Rimane di dubbia interpretazione, invece, la locuzione riportata al punto b) laddove si indicano le “categorie dei trattamenti” non essendo chiaro se ci si riferisca all’indicazione delle sole operazioni di trattamento che saranno effettuate sui dati (come da definizione contenuta nel GDPR) oppure all’indicazione delle categorie di interessati, categorie di dati personali e categorie di destinatari a cui i dati personali sono stati o saranno comunicati (come invece specificato per gli obblighi di cui al paragrafo 1 dell’art. 30 relativi ai Titolari del trattamento).
A entrambi i soggetti (Titolare e Responsabile) viene lasciata inoltre la possibilità di scegliere liberamente di mantenere tali registri in forma scritta o in forma elettronica, optando per la forma organizzativa preferita[3].
L’articolo conclude con una deroga, specificando che tali obblighi non si applicano alle imprese o organizzazioni con meno di 250 dipendenti, “a meno che il trattamento che esse effettuano possa presentare un rischio per i diritti e le libertà dell’interessato, il trattamento non sia occasionale o includa il trattamento di categorie particolari di dati (articolo 9 DGPR) o il trattamento di dati relativi a condanne penali e a reati (articolo 10 GDPR)”.
Per tali motivi, un trattamento di dati che presenti un rischio più elevato, che non sia occasionale o (da intendersi quale congiunzione alternativa) che riguardi l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l’appartenenza sindacale, i dati genetici, dati biometrici o dati relativi alla salute o alla vita sessuale e all’orientamento sessuale, così come i dati personali relativi alle condanne penali e ai reati (ovvero per i c.d. detti dati sensibili e giudiziari) non ricade nelle deroga suindicata e, pertanto, deve ritenersi assoggettato all’obbligo di adozione di tale documentazione.
Nessun dubbio, pertanto, che la tenuta del registro delle attività di trattamento rientri a pieno titolo tra i nuovi obblighi di compliance a cui sono tenuti i titolari e i responsabili del trattamento (quale misura organizzativa adeguata ed efficace) e che, di fatto, l’adozione di tale documento aiuti anche tali soggetti a realizzare quel nuovo principio dell’accountability (responsabilizzazione) di cui è permeato il Regolamento europeo.
Sicuramente chi ha dato continuità alla gestione della privacy mantenendo un DPS o un Manuale privacy interno sarà agevolato, ma non bisogna sottovalutare che l’analisi organizzativa da effettuare sarà dispendiosa – anche in termini di tempo – e i contenuti da inserire sono tanti; per tale motivo le aziende e le pubbliche amministrazioni dovrebbero iniziare da subito a pianificare un percorso, definendo gli step necessari per la realizzazione del registro.
[1] Come del resto avveniva già in passato con la tenuta del Documento Programmatico sulla Sicurezza, i cui contenuti obbligatori erano stabili dall’Allegato B al Codice privacy in otto distinte sezioni.
[2] Il responsabile, infatti, agisce per conto del titolare che lo ha nominato, perché l’esecuzione dei trattamenti su commissione è disciplinata da un contratto o altro atto giuridico e le relative indicazioni circa la retention dei dati affidati dovranno essere stabiliti nel relativo atto di designazione.
[3] Molti Titolari e Responsabili del trattamento potranno scegliere anche di adottare forme di tenuta e conservazione a norma di tali documenti, per fornire una garanzia ulteriore circa la loro affidabilità e opponibilità verso terzi, oltre che per adempiere in maniera più forte all’onere probatorio innanzi all’Autorità di controllo (che in qualunque momento ne può ordinare l’esibizione in sede di ispezione o di qualunque attività istruttoria preliminare).