Registro dei trattamenti GDPR

Quasi sempre sì. L’art. 30 del GDPR prevede un’esenzione sotto i 250 dipendenti, ma cade in tre casi che nella pratica coprono quasi tutti: se il trattamento può presentare un rischio per i diritti delle persone, se non è occasionale, se riguarda dati particolari o giudiziari. Un’azienda con dei dipendenti elabora buste paga tutti i mesi, e questo non è occasionale. Il registro serve.

Il registro è la prima cosa che viene chiesta in un controllo, perché da lì si capisce in dieci minuti se il resto esiste. Non averlo è una violazione a sé, e apre la strada a una verifica più larga su informative, nomine e misure di sicurezza. Ricostruirlo mentre l’istruttoria è già in corso è la condizione peggiore in cui farlo.

Per una PMI con una sede, dalle due alle quattro settimane. La parte lunga non è la compilazione: sono le interviste alle persone che i trattamenti li fanno davvero, perché il registro deve descrivere quello che succede e non quello che dovrebbe succedere. Il nostro riferimento di prezzo per questa attività è 1.400-2.800 euro.

A ogni cambiamento che conta: un gestionale nuovo, un fornitore nuovo, una sede nuova, un servizio nuovo ai clienti. Fuori da questi casi basta una revisione annuale. Un registro fermo a due anni fa dice all’autorità che il sistema non è vivo, ed è un giudizio peggiore di qualche imprecisione nelle voci.

Come traccia sì, come registro no. I modelli generici elencano trattamenti che non hai e ne dimenticano di tuoi. Soprattutto, non contengono le due colonne su cui si gioca tutto: i tempi di conservazione e le misure di sicurezza effettive. Sono anche le due che in un controllo vengono guardate per prime.