Parte oggi l'obbligo di adeguamento al Regolamento Europeo sulla Privacy. Il Regolamento entra in vigore anche in assenza delle norme di coordinamento del legislatore italiano che non ha pubblicato in tempo il decreto legislativo già approvato in via preliminare dal Consiglio dei Ministri il 21 marzo.
Oggi prendiamo in esame il registro dei trattamenti che pur non essendo sempre obbligatorio è sempre consigliato perchè rappresenta il documento che comprova tutte le misure che si sono prese per la protezione dei dati personali gestiti.
Il registro delle attività di trattamento è previsto dall'art. 30 del Regolamento Europeo che lo rende obbligatorio per le imprese o organizzazioni con piu' di 250 dipendenti e in tutti i casi in cui il trattamento dei dati personali presenta un rischio per i diritti e le libertà dell’interessato, o includa il trattamento di categorie particolari di dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché vengono trattati dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona (art. 9 c.1) o dati personali relativi a condanne penali e a reati di cui all’articolo 10.
Il registro dei trattamenti deve essere tenuto dal ogni titolare del trattamento o dal suo rappresentanteper registrare tutte le attività di trattamento svolte sotto la propria responsabilità.
Il registro deve contenere tutte le seguenti informazioni:
a) il nome e i dati di contatto del titolare del trattamento e, ove applicabile, del contitolare del trattamento, del rappresentante del titolare del trattamento e del responsabile della protezione dei dati;
b) le finalità del trattamento;
c) una descrizione delle categorie di interessati e delle categorie di dati personali;
d) le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, compresi i destinatari di paesi terzi od organizzazioni internazionali;
e) ove applicabile, i trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale, compresa l’identificazione del paese terzo o dell’organizzazione internazionale e, per i trasferimenti di cui al secondo comma dell’articolo 49, la documentazione delle garanzie adeguate;
f ) ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati;
g) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative
Ogni responsabile del trattamento e, ove applicabile, il suo rappresentante tengono un registro di tutte le categorie di attività relative al trattamento svolte per conto di un titolare del trattamento, contenente:
a) il nome e i dati di contatto del responsabile o dei responsabili del trattamento, di ogni titolare del trattamento per conto del quale agisce il responsabile del trattamento, del rappresentante del titolare del trattamento o del responsabile del trattamento e, ove applicabile, del responsabile della protezione dei dati;
b) le categorie dei trattamenti effettuati per conto di ogni titolare del trattamento;
c) ove applicabile, i trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale, compresa l’identificazione del paese terzo o dell’organizzazione internazionale e, per i trasferimenti di cui al secondo comma dell’articolo 49, la documentazione delle garanzie adeguate;
d) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative.
I registri dei trattamenti sono tenuti in forma scritta, anche in formato elettronico e devono essere messi a disposizione delle autorità di controllo.
