24 Maggio 2018

---

---

Tra gli strumenti che da domani 26 maggio ci si dovrà dotare c’è il registro del trattamento dei dati, disciplinato dall’articolo 30 GDPR, il quale deve essere conservato da ogni Titolare Un documento sul quale vengono elencate ricorda Roberta Pegoraro (Business Coach e Data Protection Officer)“qualunque operazione o complesso di operazioni, effettuate anche senza l’ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l’organizzazione, la conservazione, la consultazione, l’elaborazione, la modificazione, la selezione, l’estrazione, il raffronto, l’utilizzo, l’interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di Dati personali, anche se non registrati in una banca di Dati”.  

Il registro, spiega l’esperta, deve essere redatto in forma scritta e può essere tenuto anche in formato elettronico dal Titolare del trattamento dei dati, tale registro dovrà essere messo a disposizione dell’Autorità Garante se richiesto. Tutti i titolari e i responsabili di trattamento, devono tenere un registro delle operazioni di trattamento tranne gli organismi con meno di 250 dipendenti che non effettuano trattamenti a rischio, ma i dati sanitari sono indubbiamente dati a rischio. 

Lo stesso Garante per la protezione dei dati personali, nella sua Guida all’applicazione del Regolamento europeo in materia di protezione dei dati personali invita tutti, a prescindere dalle dimensioni dell’organizzazione, a compiere i passi necessari per dotarsi di tale registro ritenendo che “il registro dei trattamenti non costituisce un adempimento formale bensì parte integrante di un sistema di corretta gestione dei dati personali”. 

Il registro deve contenere: 

• il nome e i dati di contatto del titolare del trattamento/contitolare del trattamento, del rappresentante del titolare del trattamento e del responsabile della protezione dei dati;

• le finalità del trattamento;

• una descrizione delle categorie di interessati e delle categorie di dati personali le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, compresi i destinatari di paesi terzi od organizzazioni internazionali;

• ove applicabile, i trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale, compresa l’identificazione del paese terzo o dell’organizzazione internazionale e, per i trasferimenti di cui al secondo comma dell’articolo 49, la documentazione delle garanzie adeguate;

• ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati;- ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all’articolo 32, paragrafo 1.