La norma (art. 30, par. 2-3-4, GDPR)

Nel testo del GDPR (par. 2) viene indicato che "ogni responsabile del trattamento o rappresentante in caso di responsabile stabilito al di fuori dai confini dell'Unione Europea, debba redigere e tenere un registro delle attività di trattamento svolte per conto di un titolare del trattamento".

Nello stesso paragrafo vengono anche elencati i dati minimi che il registro deve riportare: 

1. il nome e i dati di contatto del responsabile del trattamento, di ogni titolare del trattamento per conto del quale agisce il responsabile del trattamento e, dove presenti, del rappresentante del titolare del trattamento o del responsabile e del responsabile della protezione dei dati (DPO o RPD);
2. le categorie dei trattamenti effettuati per conto di ogni titolare;
3. i trasferimenti di dati verso un paese extra UE e la documentazione delle garanzie adeguate; 
4. una descrizione generale delle misure di sicurezza tecniche e organizzative adottate, ove possibile. 

"Il registro dovrà essere redatto in forma scritta, anche in formato elettronico" (art. 30, par. 3, GDPR) ed "esibito alle autorità di controllo in caso di verifica ispettiva" (art. 30, par. 4, GDPR). 


    In pratica ...

Ogni responsabile dovrà produrre un registro, cartaceo od elettronico, che descriva le caratteristiche fondamentali di ogni trattamento effettuato per conto di un titolare del trattamento. 
In sintesi, per ciascun trattamento, sarà necessario indicare:

1. come poter contattare il responsabile e le altre figure che hanno la responsabilità del trattamento e l'elenco dei titolari per cui viene effettuato questo trattamento;
2. che tipi di trattamenti vengono effettuati (a che scopo tratto i dati?);
3. i paesi extra UE verso cui trasfertisco i dati e com'è garantita la sicurezza in questi casi (quali sono le garanzie a cui mi affido per questi trasferimenti?)
4. quali accorgimenti adotto per far sì che il trattamento sia sicuro (come proteggo i dati durante il trattamento?)

 

ESEMPIO
Lo STUDIO BIANCHI è responsabile del trattamento "Gestione rapporto di lavoro: elaborazione cedolini" per conto del titolare ROSSI S.r.l. 
In questo caso, in sintesi, nel registro troveremo almeno queste informazioni:

1. dati di contatto:
   • Responsabile: STUDIO BIANCHI (stbianchi@aaa.aa);
   • Titolare: ROSSI S.r.l (info.ross@aaa.aa);
2. finalità:
   • elaborazione cedolini dipendenti;
3. trasferimenti extra UE e garanzie:
   • non vengono effettuati trasferimenti al di fuori del territorio UE;
4. misure di sicurezza adottate:
   • controllo accessi;
   • firewall;
   • antivirus;
   • VPN;
   • criptazione dati;
   • comportamenti che il personale deve adottare per garantire la siciurezza dei dati (condivisione di procedure aziendali);