Il registro dei trattamenti "fatto una volta e mai più aggiornato"

Molte aziende italiane hanno un ricordo preciso del momento in cui hanno "fatto il GDPR": era il 2018, o forse il 2021, c'era stato un consulente, una riunione, qualche firma. Tra i documenti prodotti in quell'occasione c'era anche il registro delle attività di trattamento.

Redatto, archiviato, dimenticato.

Quel registro, oggi, potrebbe essere un problema più serio dell'assenza totale di documentazione.

Cos'è il registro e perché deve essere "vivo"

L'art. 30 del Regolamento (UE) 2016/679 (GDPR) impone al titolare del trattamento di tenere un registro che fotografa, in modo aggiornato, tutte le attività attraverso cui l'azienda tratta dati personali. Deve indicare: quali dati, di chi, per quale finalità, per quanto tempo, con quali misure di sicurezza, a chi vengono comunicati.

La parola chiave è "aggiornato". Il Garante per la protezione dei dati personali è esplicito sul punto: il registro non è un adempimento da spuntare una volta, ma uno strumento fondamentale per disporre di un quadro aggiornato dei trattamenti in essere, indispensabile per ogni valutazione e analisi del rischio.

Caso tipico: innumerevoli cambiamenti, zero aggiornamenti

Immaginiamo un'azienda che ha provveduto alla compilazione del registro nel 2021. Nel frattempo:

• ha cambiato gestionale, migrando i dati di clienti e fornitori su una nuova piattaforma cloud, con un nuovo fornitore estero nominato responsabile del trattamento,
• ha aperto un e-commerce, raccogliendo dati di acquisto, preferenze, cronologie di navigazione, con cookie di profilazione e integrazioni con piattaforme di marketing,
• ha installato telecamere in azienda e predisposto un sistema di videosorveglianza gestito da un fornitore esterno.

Nessuno di questi tre eventi è stato riportato nel registro.

In caso di ispezione del Garante - che ha il diritto di richiedere l'accesso al registro in qualsiasi momento - o di data breach, quel registro descrive un'azienda che, di fatto, non esiste più, ed è quindi un segnale immediato di scarsa governance privacy.

Il registro trattato come un adempimento "una tantum"

Il problema, quasi sempre, non è la qualità del lavoro fatto inizialmente, ma la percezione che tale documento vada prodotto una volta e archiviato.

Nella maggior parte delle PMI manca un soggetto con la responsabilità esplicita di aggiornarlo, e soprattutto non esiste un collegamento tra gli eventi che cambiano l'azienda (nuovo software, nuovo fornitore, nuovo trattamento) e la revisione del registro. Le due cose vivono su binari separati: chi decide di aprire un e-commerce non pensa "devo aggiornare il registro privacy", perché semplicemente non gli viene in mente che sia collegato o ignora di doverlo fare.

Il risultato è un documento che fotografa un'azienda sempre più lontana dalla realtà.

Un registro sbagliato è peggio dell'assenza di un registro

Un registro inesatto o incompleto produce due rischi concreti.

Il primo è sanzionatorio: il Garante, in sede di ispezione o a seguito di un reclamo, verificherà la corrispondenza tra quanto dichiarato nel registro e i trattamenti effettivamente in corso. Discrepanze significative - come confermato dalla prassi sanzionatoria dell'Autorità – generano una sanzione.

Il secondo rischio è gestionale: senza un registro aggiornato, l'azienda non sa esattamente quali dati tratta, non può individuare i trattamenti ad alto rischio che richiederebbero una valutazione d'impatto (DPIA) ai sensi dell'art. 35 del GDPR e non è in grado di rispondere tempestivamente in caso di violazione dei dati.

Come riconoscere un registro obsoleto

• Avete adottato nuovi software, piattaforme o gestionali
• Avete aperto un sito con form di contatto o funzionalità di e-commerce
• Avete assunto, cambiato o esternalizzato personale
• Avete installato sistemi di videosorveglianza o controllo degli accessi
• Avete cambiato fornitore di servizi cloud o IT
• Avete modificato i tempi di conservazione dei dati o le politiche di cancellazione

Cosa fare

Un aggiornamento efficace del registro non richiede mesi di lavoro, ma richiede metodo.

È necessario mappare i processi aziendali attuali, identificare tutti i flussi di dati personali - inclusi quelli gestiti da fornitori esterni - e verificare che le misure di sicurezza dichiarate corrispondano a quelle effettivamente implementate.

Si tratta di fare in modo che la "privacy" smetta di essere un documento del passato e diventi uno strumento operativo del presente.