Registro delle attività di trattamento, DPIA e conclusione del passaggio

Modulo 9: Persone e regole · Tempo di lettura: 12 minuti

Obiettivo della lezione: al termine di questa lezione sarà in grado di aggiornare il registro delle attività di trattamento e l'informativa sulla privacy dopo il passaggio, stabilire se è necessaria una DPIA, far cancellare correttamente il vecchio servizio e concludere formalmente il passaggio con una checklist finale.

Concetti chiave: registro delle attività di trattamento (art. 30), eccezione per le organizzazioni con meno di 250 dipendenti, DPIA (art. 35), elenco DPIA del Garante, informativa sulla privacy (artt. 13 e 14), destinatari, trasferimento, obbligo di notifica delle violazioni dei dati (art. 33), cancellazione presso il vecchio servizio, conferma di cancellazione, valutazione, checklist finale

Il passaggio è completo solo quando i documenti sono in ordine

La posta funziona, i file sono al loro posto, tutti lavorano nel nuovo ambiente. Dal punto di vista tecnico ha finito. Ma per il GDPR c'è ancora del lavoro da fare: la Sua documentazione descrive ancora la vecchia situazione. In caso di richiesta da parte di un cliente, di un controllo o di una violazione dei dati, Lei vorrà poter dimostrare come stanno davvero le cose. Questa lezione conclude il passaggio.

Questa è una spiegazione, non una consulenza legale.

Il registro delle attività di trattamento

L'articolo 30, paragrafo 1, del GDPR obbliga il titolare del trattamento a tenere un registro delle attività di trattamento. Per ogni trattamento (ad esempio "ordini dei clienti", "amministrazione del personale", "newsletter") deve indicare:

• nome e dati di contatto del titolare del trattamento (ed eventualmente del responsabile della protezione dei dati);
• le finalità del trattamento;
• le categorie di interessati e di dati personali;
• i destinatari, compresi i responsabili del trattamento;
• i trasferimenti verso paesi al di fuori del SEE, con le relative garanzie;
• i termini di conservazione, ove possibile;
• una descrizione generale delle misure di sicurezza, ove possibile.

Vale anche per una piccola organizzazione?

L'articolo 30, paragrafo 5, prevede un'eccezione per le organizzazioni con meno di 250 dipendenti. Ma questa eccezione non si applica se il trattamento può presentare un rischio, se non è occasionale, oppure se riguarda categorie particolari di dati personali (come i dati sulla salute) o dati relativi a condanne penali. L'autorità olandese per la protezione dei dati (Autoriteit Persoonsgegevens) spiega che nella pratica i trattamenti sono raramente occasionali: non appena ha dipendenti o clienti fissi, Lei effettua trattamenti in modo strutturale. Per Bakkerij De Korrel, con amministrazione delle buste paga, ordini dei clienti e notifiche di malattia, l'eccezione quindi non si applica.

È in discussione una proposta europea per alleggerire l'obbligo di registro per le organizzazioni più piccole (il cosiddetto pacchetto Omnibus IV; a giugno 2026 Consiglio e Parlamento hanno raggiunto un accordo provvisorio). Finché non entra in vigore, resta applicabile l'attuale articolo 30. E anche dopo, avere una panoramica resta utile: Le serve per poter rispettare il resto dei Suoi obblighi.

Cosa deve adattare dopo il passaggio?

Esamini ogni riga del Suo registro e la aggiorni:

Un passaggio è un ottimo momento per regolare finalmente sul serio i termini di conservazione. Per l'amministrazione fiscale, nei Paesi Bassi vige di norma un obbligo di conservazione di sette anni; per i dati delle candidature l'autorità olandese per la protezione dei dati consiglia in linea di principio quattro settimane dopo la procedura. Verifichi quali termini si applicano al Suo settore e al Suo paese (nel Suo paese possono valere termini diversi).

Deve fare una DPIA?

Una DPIA (valutazione d'impatto sulla protezione dei dati) è un'analisi strutturata dei rischi effettuata in anticipo. L'articolo 35 impone una DPIA quando un trattamento può presentare un rischio elevato per gli interessati, in particolare in caso di nuove tecnologie.

Come fa a sapere se è il Suo caso?

1. L'elenco dell'AP. Nel 2019 l'autorità olandese per la protezione dei dati (Autoriteit Persoonsgegevens) ha pubblicato un elenco di diciassette tipologie di trattamento per le quali la DPIA è sempre obbligatoria. Vi compaiono, tra l'altro, il trattamento su larga scala di dati sulla salute, la videosorveglianza, il monitoraggio dei dipendenti, i dati di comunicazione, i dati di localizzazione, la profilazione e la biometria. Si tratta di un elenco dell'autorità olandese per la protezione dei dati: ogni autorità di controllo nazionale dell'UE pubblica un proprio elenco DPIA (art. 35, par. 4).
2. I criteri europei. Le autorità di controllo europee hanno stabilito nove criteri (come dati sensibili, grande scala, interessati vulnerabili, monitoraggio sistematico, nuove tecnologie). Se un trattamento soddisfa due o più criteri, di norma è necessaria una DPIA.

Per una panetteria che trasferisce posta e file, una DPIA di solito non è obbligatoria. Per uno studio medico che trasferisce la comunicazione con i pazienti verso un nuovo servizio, o per una scuola con dati degli studenti, la situazione è diversa. Anche quando non è obbligatoria, una breve analisi dei rischi può essere utile. La valutazione della lezione 1.5 è un buon punto di partenza. Se ha già una DPIA per il vecchio servizio, la aggiorni.

L'informativa sulla privacy

Nella Sua informativa sulla privacy Lei comunica agli interessati (clienti, candidati, visitatori del sito web) come tratta i loro dati (artt. 13 e 14). Vi compaiono, tra l'altro, i destinatari o le categorie di destinatari ed eventuali trasferimenti fuori dal SEE. Se era scritto "utilizziamo servizi di aziende statunitensi sulla base del Data Privacy Framework", lo aggiorni. Non modifichi nulla che non sia esatto: indichi solo ciò che sa con certezza grazie al DPA e all'elenco dei subresponsabili.

Violazioni dei dati: sappia chi chiamare

Dopo il passaggio il Suo fornitore è cambiato, e con esso anche la procedura in caso di violazione dei dati. Inserisca nella Sua procedura:

• l'indirizzo di contatto del nuovo fornitore per gli incidenti di sicurezza;
• il termine entro cui il fornitore La informa secondo il DPA;
• chi, nella Sua organizzazione, decide se effettuare la notifica, poiché la notifica all'autorità di controllo deve avvenire entro 72 ore dalla scoperta (art. 33);
• dove tiene il registro delle violazioni dei dati: anche le violazioni che non è tenuto a notificare devono essere registrate internamente (art. 33, par. 5).

Concludere con il vecchio servizio

Disdica il vecchio servizio solo dopo che tutto ha funzionato bene per qualche settimana (lezione 3.3). Successivamente:

1. Controllo finale: tutto è stato trasferito? Ci sono cartelle condivise, moduli o collegamenti che puntano ancora al vecchio servizio?
2. Esporti un ultimo archivio per la Sua amministrazione, se desidera conservarlo (ad esempio la posta soggetta all'obbligo di conservazione). Lo conservi cifrato.
3. Elimini account e dati presso il vecchio servizio, oppure li faccia eliminare. L'articolo 28, paragrafo 3, lettera g, obbliga il vecchio responsabile del trattamento a cancellare o restituire i dati al termine del servizio, a Sua scelta. Richieda una conferma di cancellazione e la conservi insieme al Suo registro.
4. Rimuova i collegamenti: i collegamenti "accedi con" presso altri servizi, le app con accesso autorizzato e i record di verifica nel Suo DNS (lezione 4.3).
5. Aggiorni il Suo registro, la Sua informativa sulla privacy e la Sua procedura per le violazioni dei dati (vedere sopra).

Valutazione

Pianifichi una breve valutazione un mese dopo il passaggio, insieme agli ambasciatori (lezione 9.1). Cosa è andato bene, cosa no, cosa farà diversamente la prossima volta? Annoti anche il Suo piano di uscita per il nuovo servizio (lezione 8.2) e fissi in agenda una data per testarlo ogni anno.

Nella pratica: ecco come funziona presso un fornitore

Molti fornitori dispongono di una funzione per scaricare i Suoi dati o far eliminare il Suo account. Presso WebOké, la guida di WebOké spiega come scaricare i Suoi dati o farli eliminare. Presso i grandi servizi americani questo viene solitamente chiamato "esportazione dei dati" e "eliminazione dell'account", e l'amministratore di un account organizzativo dispone di proprie funzioni di esportazione. Legga in anticipo per quanto tempo il servizio conserva i dati nei backup dopo la cancellazione; questa informazione si trova spesso nell'informativa sulla privacy o nel DPA.

Checklist finale

• [ ] Tutti gli elementi dell'inventario (lezione 3.1) sono presenti nel nuovo ambiente e sono stati verificati
• [ ] Accordo/i sul trattamento dei dati con il/i nuovo/i fornitore/i stipulato/i e conservato/i (lezione 9.2)
• [ ] Registro delle attività di trattamento aggiornato: destinatari, trasferimenti, sicurezza, termini di conservazione
• [ ] DPIA valutata (necessaria o meno, con motivazione documentata)
• [ ] Informativa sulla privacy aggiornata
• [ ] Procedura per le violazioni dei dati con i nuovi dati di contatto
• [ ] Vecchio servizio disdetto, dati eliminati, conferma conservata
• [ ] Collegamenti e vecchi record DNS rimossi
• [ ] Backup del nuovo ambiente configurato e testato (lezione 8.1)
• [ ] Piano di uscita per il nuovo servizio documentato (lezione 8.2)
• [ ] Valutazione effettuata

Riepilogo

• Dopo il passaggio, aggiorni il registro delle attività di trattamento: destinatari, trasferimenti, sicurezza e termini di conservazione.
• L'eccezione per le organizzazioni con meno di 250 dipendenti nella pratica si applica raramente; una proposta per alleggerirla non è ancora in vigore (dati di novembre 2026).
• Una DPIA è obbligatoria in caso di rischio elevato (elenco del Garante, criteri europei); per i normali dati d'ufficio di solito non lo è.
• Aggiorni la Sua informativa sulla privacy e la Sua procedura per le violazioni dei dati.
• Faccia eliminare i Suoi dati dal vecchio servizio e richieda una conferma.

Quiz

Esercizio

Esercizio E9.3: Concluda il Suo passaggio. Per tre trattamenti della Sua organizzazione, aggiorni le righe del registro delle attività di trattamento (destinatari, trasferimento, sicurezza, termine di conservazione), valuti con l'elenco del Garante e i criteri europei se è necessaria una DPIA, e compili la checklist finale.

Per approfondire

I passaggi descritti in questi articoli valgono per i servizi di WebOké; presso altri fornitori il funzionamento è simile.

• Guida WebOké 11.7: Privacy: scaricare o far eliminare i propri dati
• Guida a Nextcloud 16.7: Un collega lascia l'azienda: come trasferire in sicurezza file, agenda e cartelle condivise
• Guida a Nextcloud 15.13: Domande frequenti su sicurezza e privacy
• Regolamento (UE) 2016/679 (GDPR), articoli 13, 14, 28, 30, 33 e 35, su EUR-Lex
• Decreto relativo all'elenco dei trattamenti di dati personali per i quali è obbligatoria una DPIA (autorità olandese per la protezione dei dati, Stcrt. 2019), su wetten.overheid.nl (BWBR0042812)
• autorità olandese per la protezione dei dati (Autoriteit Persoonsgegevens), sezioni "Register van verwerkingsactiviteiten" e "DPIA": https://www.autoriteitpersoonsgegevens.nl