Art. 30 GDPR: compilazione del registro del titolare
In questo ultimo focus, ci concentreremo sulla compilazione del registro per il responsabile del trattamento secondo l’articolo 30 del GDPR, analizzando gli elementi minimi richiesti, il ruolo del sub-responsabile e le misure di sicurezza tecniche e organizzative da adottare per garantire la conformità. Questo articolo fa parte di una serie dedicata alla gestione del Registro delle attività di trattamento ai sensi del GDPR, uno strumento essenziale per garantire la conformità al regolamento europeo sulla protezione dei dati.
Obbligo di tenuta del registro per il responsabile del trattamento
L’art. 30, par. 2 del GDPR prevede l’obbligo per il Responsabile del trattamento di compilare un Registro delle attività di trattamento, distinto da quello del Titolare. Ogni Responsabile, e dove applicabile il suo rappresentante, è tenuto a mantenere un Registro per ciascun trattamento svolto per conto di ogni Titolare.
Elementi minimi del registro del titolare e del responsabile delle attività
Come per il Registro del Titolare, il GDPR specifica gli elementi minimi richiesti per il Registro del Responsabile:
- Estremi identificativi: Nome e dati di contatto del responsabile del trattamento, dei titolari per conto dei quali agisce, del rappresentante e, ove applicabile, del responsabile della protezione dei dati.
- Categorie di trattamenti: Descrizione delle categorie di trattamenti effettuati per conto di ogni titolare.
- Trasferimenti di dati personali: Informazioni sui trasferimenti verso paesi terzi o organizzazioni internazionali, compresa l’identificazione di questi e la documentazione delle garanzie adeguate.
- Misure di sicurezza: Una descrizione generale delle misure di sicurezza tecniche e organizzative adottate, come previsto dall’art. 32, paragrafo 1 del GDPR.
Principio di accountability per il responsabile
Il Responsabile, in omaggio al principio di accountability, deve mettere in atto misure tecniche e organizzative adeguate per garantire e dimostrare la conformità al GDPR. Tra le misure che possono essere adottate ci sono l’adesione a un codice di condotta approvato (art. 40 GDPR) o a un meccanismo di certificazione approvato (art. 42 GDPR), utili per dimostrare la conformità, ma non sufficienti a esonerare il Responsabile dalla responsabilità per eventuali violazioni.
Obblighi e responsabilità del sub-responsabile
L’art. 28, par. 4 del GDPR impone che, quando un responsabile del trattamento ricorre a un sub-responsabile per specifiche attività di trattamento, su quest’ultimo siano imposti gli stessi obblighi di protezione dei dati previsti per il responsabile principale. Se il sub-responsabile non adempie ai propri obblighi, il responsabile iniziale mantiene la piena responsabilità nei confronti del titolare del trattamento.
Sanzioni per la mancata compilazione del registro delle attività di trattamento
Il GDPR prevede sanzioni per la mancata compilazione del Registro del trattamento. Le sanzioni possono arrivare fino a 10.000.000 di euro, o fino al 2% del fatturato totale annuo dell’esercizio precedente, se superiore. L’Autorità di controllo ha il compito di sorvegliare l’applicazione del regolamento, avviare procedimenti di indagine e applicare misure correttive e sanzionatorie (art. 57 e 58 GDPR).
Il titolare del trattamento, il responsabile del trattamento e i loro rappresentanti devono cooperare con l’autorità di controllo su richiesta, mettendo a disposizione il Registro. La mancata cooperazione può comportare ulteriori sanzioni. Il grado di cooperazione è uno dei parametri che l’Autorità considera nella determinazione delle sanzioni (art. 83 GDPR).
Conclusione
Il Registro del trattamento è uno strumento essenziale per garantire la conformità al GDPR. La sua corretta compilazione e tenuta da parte del Responsabile del trattamento, così come la cooperazione con l’Autorità di controllo, sono fondamentali per evitare sanzioni e assicurare la protezione dei dati personali.
Se vuoi approfondire ulteriormente questi temi, ti invitiamo a scaricare il white paper “La compilazione del Registro dei trattamenti nel nuovo quadro normativo del Reg. UE 679/2016″. In questo documento troverai una guida completa e aggiornata sulla corretta gestione del Registro delle attività di trattamento per garantire la piena conformità al GDPR.
Tecnologo presso l’UAIG del CNR.
Abilitato all’esercizio della professione forense.
