Cos’è il registro dei trattamenti e chi deve compilarlo
Il registro dei trattamenti è il documento che mappa tutte le operazioni sui dati personali svolte dal titolare e dall’eventuale responsabile del trattamento.
- Il titolare del sito web (sia vetrina che ecommerce) agisce come titolare del trattamento.
- La web agency che gestisce i dati dei clienti agisce come responsabile del trattamento. In alcuni casi può essere anche titolare, ad esempio per i dati dei propri dipendenti.
Il registro deve essere redatto in forma scritta, anche elettronica, ed essere disponibile su richiesta del Garante. Molto spesso viene conservato in formato Excel.
Sono obbligati a possederlo titolari e web agency che:
- hanno almeno 250 dipendenti;
- effettuano trattamenti che presentano rischi per i diritti e le libertà degli utenti;
- svolgono trattamenti non occasionali.
Un sito online o una web agency attiva trattano dati in modo continuativo e devono quindi avere sempre un registro aggiornato.
Cosa inserire nel registro dei trattamenti
Il registro deve contenere almeno:
- Finalità del trattamento: esecuzione del contratto, adempimenti fiscali e amministrativi, assistenza clienti, difesa in giudizio;
- Base giuridica: consenso (es. iscrizione a newsletter), contratto (ordine online), obbligo di legge (fatturazione), legittimo interesse (gestione richieste utenti);
- Categorie di interessati e dati personali: utenti, clienti, dati anagrafici, indirizzi, email, codice fiscale;
- Categorie di destinatari: spedizionieri, commercialisti, web agency, autorità pubbliche;
- Trasferimenti verso paesi terzi: per esempio server di newsletter negli USA;
- Misure di sicurezza: descritte sinteticamente o con rinvio a policy e procedure interne.
Quanti registri deve avere una web agency
La web agency, in qualità di responsabile del trattamento, deve predisporre sezioni specifiche per ogni cliente titolare. Se i clienti sono numerosi, è possibile rinviare a schede o banche dati anagrafiche, a condizione che siano complete e costantemente aggiornate.
Quando usare modelli semplificati e come aggiornare
Il Garante Privacy mette a disposizione modelli semplificati di registro, distinti per titolare e responsabile del trattamento.
Questi modelli possono essere usati come traccia, ma vanno sempre adattati al caso concreto, preferibilmente con il supporto di un professionista.
Il registro va aggiornato ogni volta che cambiano i trattamenti.
È consigliabile:
- conservare le versioni precedenti;
- verificare il documento almeno una volta all’anno, meglio se con l’assistenza di un consulente esperto.