Registro dei trattamenti: da documento statico a strumento di lavoro

Il problema: un registro dei trattamenti compilato e poi dimenticato

Il registro dei trattamenti, o registro delle attività di trattamento, è il documento, in forma scritta anche elettronica, in cui il titolare descrive le attività di trattamento svolte sotto la sua responsabilità, con gli elementi dell'art. 30 GDPR.

Molti registri sono nati nel 2018 in un foglio di calcolo e da allora sono cambiati poco. Nel frattempo l'organizzazione ha adottato nuovi software, cambiato fornitori, introdotto strumenti di intelligenza artificiale, aperto sedi all'estero.

Il risultato è un registro dei trattamenti GDPR che il Garante può chiedere in qualsiasi momento (art. 30, par. 4) ma che non descrive più la realtà. I problemi tipici che il DPO trova in un audit:

• finalità scritte in modo così generico da non distinguere un trattamento dall'altro;
• destinatari che non coincidono con i fornitori nominati responsabili;
• trasferimenti verso Paesi terzi non indicati, pur essendo previsti nei contratti cloud;
• termini di cancellazione assenti o diversi da quelli scritti nelle informative;
• misure di sicurezza descritte con formule standard.

Il comunicato del Garante dell'8 ottobre 2018 lo definisce uno dei principali elementi di accountability del titolare, indispensabile per valutare il rischio.

Come aggiorni il registro dei trattamenti con Next-OS

Che tu lo chiami registro dei trattamenti o «registro trattamento dati», l'obiettivo non è rifarlo da zero, ma renderlo di nuovo affidabile e tenerlo allineato ai documenti che già esistono.

1. Carica il registro e i documenti collegati

Carica il registro, o un suo estratto, insieme agli accordi con i fornitori, alle informative e alle DPIA già fatte. Puoi tenerli in Next Drive, nel workspace del titolare, e richiamarli da ogni conversazione.

2. Confronta il registro dei trattamenti con l'art. 30 GDPR

Chiedi a Next-OS di verificare, voce per voce, la presenza degli elementi del par. 1 per il registro del titolare (lettere a-g) o del par. 2 per quello del responsabile (lettere a-d). Ricevi una tabella con i campi completi, vuoti o troppo generici.

3. Cerca le incoerenze tra documenti

È il controllo che richiede più tempo a mano. Chiedi: "I destinatari indicati nel registro coincidono con i fornitori dei DPA caricati? Le informative indicano gli stessi tempi di conservazione?". Next-OS indica dove i documenti divergono, citando i passaggi.

4. Redigi le nuove voci

Per un trattamento nuovo, descrivi in chat cosa succede ai dati e chiedi una bozza della scheda, con la stessa struttura delle altre. La revisione e la validazione restano tue.

Un esempio concreto: il chatbot del servizio clienti

Un'azienda di e-commerce introduce un chatbot basato su un modello di intelligenza artificiale per rispondere ai clienti. Il fornitore è statunitense, con hosting nell'Unione europea e supporto tecnico dagli Stati Uniti.

Il privacy officer carica il registro e il contratto del fornitore e chiede: "Come aggiorno il registro per questo trattamento?".

Cosa ottieni:

• la bozza di una nuova voce con finalità (assistenza clienti), categorie di interessati e di dati (contenuto delle conversazioni, dati di contatto, dati d'ordine), destinatari e trasferimenti;
• l'osservazione che l'accesso dagli Stati Uniti è un trasferimento da indicare con lo strumento utilizzato, con il rinvio alla guida sul trasferimento dati extra UE;
• la segnalazione che l'informativa del sito non menziona il chatbot e va aggiornata;
• la domanda da porre al fornitore sull'eventuale uso delle conversazioni per addestrare i modelli, che cambierebbe il ruolo del fornitore e la base giuridica.

Cosa verificare sempre nel registro dei trattamenti GDPR

• Obbligo del registro sotto i 250 dipendenti. L'esenzione dell'art. 30, par. 5, per chi ha meno di 250 dipendenti non si applica se il trattamento può presentare un rischio, non è occasionale o include categorie particolari di dati o dati su condanne penali e reati. In pratica, quasi ogni datore di lavoro tratta dati in modo non occasionale.
• Due registri distinti. Se l'organizzazione agisce anche come responsabile per conto di clienti, serve anche il registro del responsabile del trattamento (art. 30, par. 2).
• Le novità dell'AI Act. Dopo l'Omnibus digitale sull'IA, il nuovo art. 4 bis del Regolamento (UE) 2024/1689 consente in via eccezionale di trattare categorie particolari di dati per rilevare e correggere distorsioni dei sistemi di AI, a condizione, tra l'altro, che il registro riporti i motivi per cui il trattamento era strettamente necessario.
• Coerenza con la DPIA. Ogni trattamento sottoposto a valutazione d'impatto deve trovarsi nel registro con la stessa descrizione. Vedi la pagina sulla DPIA GDPR.

Il registro è il punto di partenza anche per gli altri compiti: lo trovi collegato in tutte le pagine sull'intelligenza artificiale per il DPO.