Passa ai contenuti principali

GDPR compliance: il registro delle attività di trattamento



Uno dei compiti più importanti nel percorso di compliance al nuovo regolamento europeo sui dati personali è la redazione e l'aggiornamento di un registro delle attività oggetto del trattamento. Ogni governance del dato personale non può prescindere da un sistematico censimento delle banche dati che contengono dati personali presenti in azienda. Come si può mettere in sicurezza i dati personali se non sappiamo neanche quali dati trattiamo? Il registro dei trattamenti svolge un ruolo essenziale in questo contesto e deve fornire tutta una serie di informazioni sulle banche dati che contengono dati personali che andiamo a trattare, quali categorie di interessati comprendono, quali sono le finalità del trattamento, che tipologia di dati personali sono, su quale base legale vengono trattati, quale deve essere la durata del trattamento massima in base agli obblighi di legge. Ecco quindi che il registro delle attività di trattamento diventa lo strumento fondamentale attorno al quale ruota tutta la governance dei dati personali in azienda o in un ente pubblico.

Chi deve tenere questi registri? Anche qui il regolamento è molto chiaro: l'obbligo è in capo al titolare ed al responsabile del trattamento. Vi è una certa semplificazione burocratica riguardo a questo punto: le aziende con meno di 250 dipendenti sono esonerate dalla tenuta di questi registri ove i trattamenti effettuati non presentino rischi per i diritti di libertà degli interessati e ove non vengano fatti trattamenti sistematici di particolari categorie di dati personali come ad esempio dati genetici, dati biometrici, dati relativi allo stato di salute fisica o mentale degli interessati ma anche dati personali relativi a condanne penali e reati.

La violazione degli obblighi di legge previsti dall'art. 30 EU 2016/679 da parte del titolare del trattamento o dal responsabile del trattamento, se è stato nominato, comporta sanzioni pecuniarie fino ad Euro 10.000.000 o fino al 2% del fatturato globale delle imprese riferito all'anno precedente se superiore.

Che cosa deve contenere il registro del titolare del trattamento? Il registro dei trattamenti può essere redatto in forma cartacea o meglio elettronica per un suo più agevole aggiornamento e deve contenere le seguenti informazioni:
  1. Il nome del titolare del trattamento ed i suoi contatti, il nome del responsabile della protezione dei dati (RPD aka DPO);
  2. le finalità del trattamento;
  3. la descrizione della categoria degli interessati al trattamento e la descrizione delle tipologie di dati personali trattati;
  4. le categorie di destinatari ai quali i dati personali saranno comunicati, paesi terzi e organizzazioni internazionali;
  5. nel caso della comunicazione ad un paese terzo o organizzazione internazionale, i dati identificativi di questi. Nel caso di trasferimenti in base al legittimo interesse, la presenza di adeguate garanzie;
  6. il limite di tempo di conservazione massimo sulla base legale; 
  7. una descrizione generale delle misure di sicurezze tecniche e organizzative, nel caso di un ente pubblico è qui possibile fare riferimento alle misure minime del framework nazionale di cybersecurity;
Il registro dei trattamenti potrà essere richiesto dall'Autorità Garante per eventuali controlli.

Il registro del responsabile del trattamento è più limitato nei contenuti rispetto a quello del titolare del trattamento, non comprende le informazioni relative alle finalità del trattamento, la descrizione della categoria di interessati, la descrizione delle tipologie di dati personali trattati e le categorie di destinatari ai quali questi dati personali saranno comunicati. Comprende invece le categorie dei trattamenti effettuati per conto del titolare del trattamento.

Vista la centralità di questo documento nella governance del dato personale sarebbe opportuno che il documento prodotto fosse gestito mediante un software di gestione documentale che tenga traccia delle modifiche effettuate e dei profili autorizzativi coinvolti, un comune foglio elettronico infatti potrebbe essere soggetto a delle criticità di varia natura.

Se è vero che il regolamento europeo sui dati personali si basa sul principio di accountability allora è anche vero che il registro dei trattamenti può essere lo strumento fondamentale per il titolare  e per il responsabile del trattamento per dimostrare l'adeguatezza delle misure tecniche ed organizzative adottate.

Addendum del 25/05/2018: In diverse occasioni ed in particolare nell'incontro con i responsabili della protezione dei dati tenutosi il 24/05/2018 a Bologna, l'Autorità di controllo, Garante per la protezione dei dati personali (intervento De Paoli) ha tenuto a precisare un'interpretazione restrittiva riguardo all'esenzione dalla tenuta del registro dei trattamenti di cui all'art. 30 par 5. Questo avrà un impatto sulle PMI che dovranno provvedere a redigere il registro.






Commenti

Post popolari in questo blog

Cancellazione sicura: la sanificazione dei dati informatici

La sanificazione è un punto importante del ciclo di vita del dato: quando il dato giunge al termine del suo ciclo vitale ovvero quando è diventato inutile, obsoleto o ridondante è essenziale poterlo dismettere in modo sicuro facendo in modo che non sia possibile per nessuno poterlo ricostruire in alcun modo. Formattare i dischi da smaltire non basta, è come buttare nel cassonetto un libro strappando solo la pagina dell'indice, il primo che passa potrebbe recuperarlo e leggerlo. I vostri dati sono tutti al loro posto pronti per essere ripristinati. Secondo un'indagine condotta da uno dei maggiori produttori mondiali di HD sulla vendita online di supporti di memorizzazione usati è stato possibile recuperare integralmente il contenuto di questi hard disk ben 7 volte su 10. Molti dati personali vengono recuperati da supporti digitali smaltiti in modo superficiale. In cosa consiste la sanificazione dei dati? Si definisce sanificazione dei dati quel processo attraverso il qua

Chiamate vocali a prova di intercettazione con Signal

Di tanto in tanto mi capita di scorrere la lista di coloro tra  miei contatti che sono iscritti a Signal, l'applicazione voip gratuita e open source basata sulla crittografia end-to-end lanciata nel 2014 dall'organizzazione no profit Open Whisper Systems, e mi dolgo davvero di quanto pochi essi siano soprattutto se paragonati con quelli iscritti alla più popolare app di messagistica di Meta, ovvero la maggior parte di loro. Anarchico, hacker, crittografo, maestro d'ascia, skipper, Moxie Marlinspike, il fondatore del servizio Signal, è convinto che il progresso tecnologico debba andare di pari passo con la sicurezza degli utenti. Così intorno alla sua "creatura" è nata una community di persone che mettono la privacy al primo posto. Tra questi anche Edward Snowden il whistleblower ex consulente dell'NSA, l'agenzia per la sicurezza nazionale degli Stati Uniti, che nella primavera del 2013 divulgò una serie di informazioni classificate sui piani di sorveglian

L'arte del camuffamento: come ingannare gli algoritmi di riconoscimento facciale

La società nella quale viviamo è purtroppo diventata anche una società del controllo e della sorveglianza. Per proteggere la nostra privacy è opportuno adottare un modello di autodifesa digitale (privacy threat model) adeguato al nostro profilo di rischio. Se sei arrivato su questa pagina e stai leggendo questo blog allora hai già fatto il primo passo: puoi far parte anche tu del nostro gruppo di #gentesicura . Per sviluppare un modello di autodifesa digitale occorre farsi alcune domande: che tipo di informazioni voglio proteggere? Da chi le voglio nascondere? Quale sarebbe l'impatto sulla mia vita se queste informazioni venissero scoperte? Oggi una delle minacce più gravi è certamente rappresentata dai sistemi di videosorveglianza e dai loro algoritmi di riconoscimento facciale. Probabilmente in qualche banca dati digitale è già presente una vostra foto collegata al vostro nome e cognome. Anche se non è detto che questo database sia pubblico, è sempre buona norma fare una ricerca