Articolo a cura di: Redazione - Studio Legale Calvello

Il registro delle attività di trattamento non è un documento da predisporre una volta e conservare invariato nel fascicolo privacy. Deve rappresentare i trattamenti di dati personali effettivamente svolti dall’azienda e, proprio per questo, richiede un aggiornamento quando cambiano processi, finalità, categorie di dati o interessati, destinatari, trasferimenti, tempi di conservazione o altri elementi rilevanti. Per un’impresa il problema nasce spesso quando il registro è stato predisposto durante l’adeguamento iniziale al GDPR, mentre nel frattempo sono stati introdotti nuovi software, servizi cloud, procedure HR, strumenti di marketing, fornitori o modalità di utilizzo dei dati.

L’aggiornamento del registro dei trattamenti non deve quindi essere affrontato come una scadenza burocratica annuale. Occorre verificare se ciò che è descritto nel documento corrisponde ancora alla realtà dell’organizzazione. Un registro non aggiornato può anche far emergere disallineamenti con informative, contratti con i responsabili del trattamento, tempi di conservazione, misure di sicurezza o valutazioni dei rischi. Quando le modifiche sono numerose o la documentazione privacy non viene revisionata da tempo, può essere opportuno esaminare il registro insieme agli altri documenti e ai processi aziendali interessati.

Quando il registro dei trattamenti deve essere aggiornato

L’art. 30 del Regolamento (UE) 2016/679 individua le informazioni che devono risultare dal registro del titolare: tra queste figurano le finalità dei trattamenti, le categorie di interessati e di dati personali, le categorie di destinatari, gli eventuali trasferimenti verso Paesi terzi o organizzazioni internazionali e, ove possibile, i termini previsti per la cancellazione e una descrizione generale delle misure tecniche e organizzative di sicurezza. Il Garante per la protezione dei dati personali chiarisce che il registro deve essere mantenuto costantemente aggiornato, perché il suo contenuto deve corrispondere all’effettività dei trattamenti svolti.

Questo significa che non esiste, come regola generale, un meccanismo per cui sia sufficiente aprire il registro una volta all’anno, controllare la data e considerare assolto l’adempimento. Se durante l’anno cambia un trattamento, la modifica rilevante deve essere recepita nel registro. Il Garante richiama espressamente i cambiamenti riguardanti modalità e finalità del trattamento, categorie di dati e categorie di interessati. In concreto, la necessità di aggiornamento può emergere anche quando una modifica incide su altre informazioni che il registro deve contenere.

Si pensi a un’azienda che introduca un nuovo CRM, trasferisca parte dell’infrastruttura informatica sul cloud, affidi dati personali a un nuovo fornitore, avvii un’attività di profilazione commerciale, installi un sistema di videosorveglianza o di controllo degli accessi, modifichi le procedure di selezione del personale oppure inizi a utilizzare strumenti di intelligenza artificiale all’interno di processi che comportano un trattamento di dati personali. Non è il semplice acquisto di una tecnologia a determinare automaticamente l’aggiornamento: occorre verificare se e come cambia il trattamento effettivamente svolto.

Lo stesso vale per modifiche meno evidenti. Un trattamento già censito può mantenere lo stesso nome ma cambiare concretamente perché vengono raccolti nuovi dati, ampliata la platea degli interessati, modificata la finalità, aggiunti destinatari, introdotto un trasferimento di dati fuori dallo Spazio economico europeo oppure rivisti i tempi di conservazione. Il controllo deve quindi riguardare la sostanza del processo, non soltanto l’elenco delle attività riportato nel documento.

Il Garante indica anche che il registro deve riportare in maniera verificabile la data della prima istituzione o creazione della singola scheda e quella dell’ultimo aggiornamento. Questa tracciabilità consente di comprendere quando il trattamento è stato censito e quando la relativa descrizione è stata revisionata. Per le aziende nelle quali processi, fornitori e applicativi cambiano frequentemente, è utile organizzare una procedura interna che faccia arrivare le informazioni necessarie a chi presidia la compliance privacy, evitando che il registro venga aggiornato soltanto quando si svolge un audit o arriva una richiesta esterna.

Come capire se il registro GDPR non corrisponde più alla realtà dell’azienda

Il punto di partenza non dovrebbe essere il registro stesso, ma ciò che accade realmente nell’organizzazione. Se ci limitiamo a rileggere un documento predisposto anni prima, possiamo verificare che sia formalmente compilato senza accorgerci che nel frattempo sono cambiati i flussi dei dati. Una revisione attendibile richiede quindi di confrontare le schede del registro con processi aziendali, sistemi informativi, fornitori e modalità concrete con cui i diversi uffici raccolgono, utilizzano, comunicano, conservano e cancellano dati personali.

Un segnale frequente di disallineamento è la presenza nel registro di software, fornitori o procedure non più utilizzati oppure, al contrario, l’assenza di strumenti ormai centrali nell’attività aziendale. Se l’impresa ha adottato un nuovo gestionale HR, un CRM, una piattaforma di marketing automation o un servizio SaaS che tratta dati personali, occorre verificare quali informazioni vengono trattate, per quali finalità, chi vi accede, dove sono conservate e quali soggetti esterni intervengono nel trattamento. La verifica può coinvolgere anche i rapporti disciplinati dall’art. 28 GDPR quando il fornitore opera quale responsabile del trattamento.

La stessa analisi riguarda l’organizzazione interna. L’apertura di una nuova sede, la creazione di un reparto, l’introduzione dello smart working, nuove procedure di gestione dei clienti o dei dipendenti, un diverso utilizzo della posta elettronica aziendale o l’esternalizzazione di una funzione possono modificare i flussi dei dati senza che nessuno abbia formalmente segnalato la necessità di intervenire sul registro. Per questo l’aggiornamento non dovrebbe essere affidato esclusivamente alla memoria di chi gestisce la privacy, ma collegato ai processi attraverso i quali l’impresa approva nuovi progetti, tecnologie e fornitori.

Il controllo del registro può inoltre far emergere incongruenze con il resto dell’impianto documentale. Se una scheda indica determinate finalità, destinatari o tempi di conservazione, occorre verificare che tali elementi siano coerenti, quando pertinente, con le informative rese agli interessati, con le designazioni dei responsabili esterni, con le istruzioni agli autorizzati e con le effettive configurazioni dei sistemi. È proprio questa esigenza di allineamento che rende utile inserire la revisione del registro in un più ampio processo di aggiornamento della documentazione privacy aziendale, soprattutto quando l’ultimo intervento risale a diversi anni prima.

Non tutte le modifiche richiedono lo stesso livello di intervento. Un cambiamento meramente organizzativo che non incide sulle informazioni rilevanti ai fini del registro può non richiedere la riscrittura della scheda; l’introduzione di una nuova finalità, di categorie ulteriori di dati, di nuovi destinatari o di un trasferimento internazionale può invece imporre una revisione sostanziale e, a seconda del caso, rendere necessarie ulteriori verifiche GDPR. Se il cambiamento presenta rischi elevati per i diritti e le libertà delle persone, la questione può estendersi alla necessità di valutare una DPIA; se intervengono nuovi fornitori, occorre esaminare ruoli privacy e rapporti contrattuali; se cambiano i tempi di conservazione, deve essere verificata la coerenza con la disciplina applicabile e con le effettive procedure di cancellazione.

Per questo un audit del registro dei trattamenti non consiste nel completare campi mancanti in un modello. Serve a verificare se la mappatura descrive realmente l’azienda e se i cambiamenti intervenuti richiedono di aggiornare anche altri elementi della compliance. Il registro, infatti, è uno degli strumenti attraverso i quali il titolare documenta la propria accountability e costituisce una base informativa per la valutazione dei rischi. Quando emerge un disallineamento rilevante, la priorità è ricostruire il trattamento effettivo e riportare la documentazione su dati verificati, anziché limitarsi a modificare formalmente il documento.

Obblighi, responsabilità e rischi quando il registro dei trattamenti non è aggiornato

Un registro non aggiornato non rappresenta soltanto un problema formale. Se descrive trattamenti diversi da quelli realmente effettuati, l’azienda può trovarsi nell’impossibilità di ricostruire con precisione quali dati personali utilizza, per quali finalità, verso quali destinatari li comunica, per quanto tempo li conserva e quali misure di sicurezza applica. Il disallineamento diventa particolarmente rilevante quando interessa trattamenti nuovi o modificati che avrebbero richiesto anche interventi ulteriori sulla compliance.

La responsabilità di assicurare la corretta tenuta del registro ricade sul titolare del trattamento per il registro previsto dall’art. 30, paragrafo 1, GDPR. Il responsabile del trattamento è invece tenuto al registro delle categorie di attività svolte per conto dei titolari ai sensi del paragrafo 2 dello stesso articolo. La presenza di un DPO, di un consulente privacy o di un soggetto interno incaricato di curare operativamente la documentazione non trasferisce su questi soggetti la responsabilità propria del titolare. Il DPO può svolgere attività di informazione, consulenza e sorveglianza sull’osservanza del Regolamento, ma non diventa per questo il soggetto che assume le decisioni spettanti al titolare sui trattamenti aziendali.

Per mantenere il registro realmente aggiornato è quindi necessario che le modifiche rilevanti arrivino tempestivamente a chi gestisce il presidio privacy. Se l’ufficio IT attiva un nuovo servizio cloud, l’HR introduce una piattaforma per la selezione del personale o il marketing avvia un nuovo sistema di profilazione senza che queste informazioni vengano considerate sotto il profilo privacy, il problema organizzativo nasce prima ancora della compilazione del registro. La mappatura dei trattamenti deve seguire l’evoluzione dei processi aziendali e non essere ricostruita soltanto a posteriori quando si decide di revisionare la documentazione.

Una procedura efficace può prevedere che nuovi software, fornitori, progetti o modifiche rilevanti dei processi vengano sottoposti anche a una verifica privacy. In quella sede si può stabilire se occorra aggiornare il registro e se il cambiamento produca conseguenze ulteriori: revisione dell’informativa, disciplina del rapporto con un responsabile del trattamento, modifica dei tempi di conservazione, verifica dei trasferimenti internazionali o valutazione della necessità di una DPIA. È questa integrazione tra registro e processi reali che consente di evitare una documentazione formalmente ordinata ma sostanzialmente superata.

Il registro assume rilievo anche nei rapporti con l’Autorità di controllo. L’art. 30 GDPR prevede che, su richiesta, il titolare o il responsabile del trattamento e, ove applicabile, i rispettivi rappresentanti mettano il registro a disposizione dell’autorità. Per questa ragione non è prudente considerarlo un documento da ricostruire soltanto in vista di un controllo. Se viene richiesto dal Garante, ciò che conta è che rappresenti correttamente i trattamenti svolti e che sia coerente con il sistema di accountability dell’impresa.

Il mancato rispetto degli obblighi previsti dall’art. 30 rientra nel sistema sanzionatorio del GDPR. Questo non significa che ogni inesattezza del registro determini automaticamente una sanzione: natura, gravità e circostanze della violazione devono essere valutate nel caso concreto secondo i criteri previsti dal Regolamento. Per l’azienda è però importante non considerare l’aggiornamento come una formalità isolata, perché un registro obsoleto può essere anche il sintomo di una gestione non aggiornata di altri adempimenti. Quando la documentazione è ferma da anni o sono intervenuti numerosi cambiamenti, può quindi essere opportuno procedere a un controllo complessivo dell’adeguamento GDPR aziendale anziché correggere soltanto singole schede.

Un caso pratico: il registro era rimasto fermo mentre l’azienda aveva cambiato processi e software

Consideriamo il caso realistico e anonimizzato di un’impresa che aveva predisposto il registro delle attività di trattamento alcuni anni prima e continuava a conservarlo nella propria documentazione privacy senza aver effettuato una revisione organica. Nel frattempo l’organizzazione aveva cambiato diversi applicativi, introdotto servizi cloud, modificato alcuni processi relativi al personale e affidato determinate attività a nuovi fornitori esterni. Il registro esisteva, ma alcune schede descrivevano ormai una struttura diversa da quella effettivamente utilizzata.

L’intervento non consiste, in una situazione di questo tipo, nel sostituire semplicemente i nomi dei vecchi fornitori con quelli nuovi. Occorre ricostruire i trattamenti interessati dalle modifiche, verificando finalità, categorie di dati e interessati, destinatari, conservazione, sistemi utilizzati e rapporti con i soggetti esterni. Il passaggio che richiede maggiore attenzione è normalmente il confronto tra la documentazione e i flussi reali: soltanto dopo questa ricognizione è possibile stabilire quali schede aggiornare e quali ulteriori documenti o adempimenti debbano essere riesaminati.

Il registro viene così riportato alla situazione effettiva dell’impresa e inserito in un meccanismo di revisione collegato ai futuri cambiamenti organizzativi. Questo approccio permette di affrontare il problema alla sua origine: non soltanto aggiornare il documento esistente, ma fare in modo che l’introduzione di nuovi trattamenti o la modifica di quelli già censiti venga intercettata prima che si crei nuovamente una distanza tra attività aziendale e documentazione privacy.

FAQ sull’aggiornamento del registro dei trattamenti

Il registro dei trattamenti deve essere aggiornato ogni anno?

Il GDPR non stabilisce una scadenza annuale generalizzata per l’aggiornamento. Il registro deve essere mantenuto aggiornato rispetto ai trattamenti effettivamente svolti. Una revisione periodica può essere una buona misura organizzativa, ma non sostituisce l’aggiornamento necessario quando intervengono modifiche rilevanti. Se, ad esempio, l’azienda introduce durante l’anno un nuovo trattamento o modifica finalità, categorie di dati, destinatari o altri elementi che devono risultare dal registro, non è corretto attendere automaticamente la successiva revisione annuale.

Bisogna aggiornare il registro quando cambia un software aziendale?

Non necessariamente per il solo fatto che cambia il software. Occorre verificare quali conseguenze produce il cambiamento sul trattamento dei dati personali. Se il nuovo applicativo comporta nuove categorie di dati, diversi destinatari, differenti modalità di conservazione, un nuovo responsabile del trattamento, trasferimenti internazionali o comunque modifica elementi descritti nel registro, la relativa scheda deve essere riesaminata. Lo stesso criterio vale per nuovi CRM, gestionali HR, piattaforme cloud e altri servizi digitali.

Chi deve occuparsi dell’aggiornamento del registro in azienda?

L’obbligo previsto dall’art. 30 GDPR riguarda il titolare del trattamento e, per le attività svolte per conto dei titolari, il responsabile del trattamento secondo le rispettive previsioni della norma. Operativamente l’impresa può organizzare il processo coinvolgendo funzioni interne, consulenti e, quando presente, il DPO. È però necessario che chi presidia l’aggiornamento riceva informazioni tempestive dai reparti che introducono o modificano trattamenti, perché un registro non può essere mantenuto correttamente senza conoscere ciò che avviene concretamente nell’organizzazione.

Cosa fare se il registro dei trattamenti non viene aggiornato da anni?

È preferibile non limitarsi a cambiare la data del documento. Occorre confrontare il registro esistente con l’attuale organizzazione aziendale e ricostruire le modifiche intervenute nei trattamenti, nei sistemi informatici, nei fornitori e nei flussi dei dati. Se il disallineamento riguarda anche informative, nomine, contratti ex art. 28 GDPR, conservazione o altri adempimenti, questi elementi devono essere esaminati insieme. In presenza di documentazione risalente può essere utile partire da una vera mappatura dei trattamenti e da un check-up della conformità GDPR.

Un registro non aggiornato comporta automaticamente una sanzione?

No. Non è corretto affermare che qualsiasi inesattezza o mancato aggiornamento produca automaticamente una sanzione. Gli obblighi relativi al registro rientrano però nella disciplina sanzionatoria del GDPR e l’Autorità valuta la violazione tenendo conto delle circostanze del caso concreto. Il registro può inoltre essere richiesto dal Garante e la sua incompletezza può assumere rilievo nel quadro più ampio della verifica sulla gestione dei trattamenti e sull’accountability dell’azienda.

Registro dei trattamenti non aggiornato: richiedi una valutazione della situazione aziendale

Se il registro dei trattamenti della vostra azienda è stato predisposto anni fa, non viene aggiornato regolarmente oppure nel frattempo sono cambiati software, fornitori, processi, modalità di gestione dei dipendenti, servizi cloud o altri trattamenti di dati personali, possiamo verificare se la documentazione descrive ancora correttamente la situazione effettiva.

La revisione deve essere calibrata sull’organizzazione concreta: in alcuni casi è sufficiente intervenire su specifiche schede, mentre in altri il disallineamento del registro rende opportuno controllare anche informative, rapporti con i responsabili del trattamento, conservazione dei dati, misure organizzative o ulteriori adempimenti GDPR.

Lo Studio Legale Calvello assiste imprese e società nella verifica e nell’aggiornamento della compliance privacy. Per sottoporci la situazione della vostra azienda potete richiedere una valutazione in materia di GDPR e privacy aziendale attraverso il modulo dedicato.