Art. 30 — Registri delle attività di trattamento

Ogni titolare del trattamento e, ove applicabile, il suo rappresentante tengono un registro delle attività di trattamento svolte sotto la propria responsabilità. Tale registro contiene tutte le seguenti informazioni: a) il nome e i dati di contatto del titolare del trattamento e, ove applicabile, del contitolare del trattamento, del rappresentante del titolare del trattamento e del responsabile della protezione dei dati; b) le finalità del trattamento; c) una descrizione delle categorie di interessati e delle categorie di dati personali; d) le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, compresi i destinatari di paesi terzi od organizzazioni internazionali; e) ove applicabile, i trasferimenti di dati personali verso un paese terzo o un'organizzazione internazionale, compresa l'identificazione del paese terzo o dell'organizzazione internazionale e, per i trasferimenti di cui al secondo comma dell'articolo 49, la documentazione delle garanzie adeguate; f) ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati; g) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all'articolo 32, paragrafo 1.

Ogni responsabile del trattamento e, ove applicabile, il suo rappresentante tengono un registro di tutte le categorie di attività relative al trattamento svolte per conto di un titolare del trattamento, contenente: a) il nome e i dati di contatto del responsabile o dei responsabili del trattamento, di ogni titolare del trattamento per conto del quale agisce il responsabile del trattamento, del rappresentante del titolare del trattamento o del responsabile del trattamento e, ove applicabile, del responsabile della protezione dei dati; b) le categorie dei trattamenti effettuati per conto di ogni titolare del trattamento; c) ove applicabile, i trasferimenti di dati personali verso un paese terzo o un'organizzazione internazionale, compresa l'identificazione del paese terzo o dell'organizzazione internazionale e, per i trasferimenti di cui al secondo comma dell'articolo 49, la documentazione delle garanzie adeguate; d) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all'articolo 32, paragrafo 1.

I registri di cui ai paragrafi 1 e 2 sono tenuti in forma scritta, anche in formato elettronico.

Su richiesta, il titolare del trattamento o il responsabile del trattamento e, ove applicabile, il rappresentante del titolare del trattamento o del responsabile del trattamento mettono il registro a disposizione dell'autorità di controllo.

Gli obblighi di cui ai paragrafi 1 e 2 non si applicano alle imprese o organizzazioni con meno di 250 dipendenti, a meno che il trattamento che esse effettuano possa presentare un rischio per i diritti e le libertà dell'interessato, il trattamento non sia occasionale o includa il trattamento di categorie particolari di dati di cui all'articolo 9, paragrafo 1, o i dati personali relativi a condanne penali e a reati di cui all'articolo 10.

Testo vigente al 4 maggio 2016. Fonte: EUR-Lex, © Unione europea, dati aperti con licenza CC BY 4.0. Solo il testo pubblicato nella Gazzetta ufficiale dell’Unione europea ha carattere di ufficialità. Fonti e licenze →

Spiegazione

Chi decide come trattare i dati deve tenere un registro che descriva le attività svolte, le loro finalità, i dati e le persone coinvolte, i destinatari e, quando possibile, i tempi di cancellazione e le misure di sicurezza. Anche chi tratta dati per conto di altri deve tenere un registro, riferito alle attività svolte per ciascun cliente. Il registro può essere elettronico, ma deve essere messo a disposizione dell’autorità di controllo se richiesto. Le organizzazioni con meno di 250 dipendenti sono esentate solo se ricorrono le condizioni previste: l’obbligo resta, tra l’altro, per trattamenti non occasionali o che coinvolgono dati particolarmente delicati.

Perché esiste questa norma

La norma rende verificabile come vengono gestiti i dati personali e aiuta l’autorità di controllo a valutare il rispetto delle regole. La soglia per le organizzazioni più piccole alleggerisce gli adempimenti, senza escludere i trattamenti che possono comportare rischi o riguardano dati delicati.

Domande frequenti

Una piccola associazione con meno di 250 dipendenti deve tenere il registro?

Non sempre. L’esenzione non vale, tra gli altri casi, se il trattamento non è occasionale, può comportare rischi per le persone oppure riguarda categorie particolari di dati o dati relativi a condanne e reati.

Un’azienda che gestisce le buste paga per conto di un’altra deve avere un registro?

Sì. Chi tratta dati per conto di un titolare deve registrare le categorie di attività svolte per ciascun titolare, oltre alle informazioni richieste per il proprio ruolo.

Il registro deve indicare a chi vengono inviati i dati e quando saranno cancellati?

Deve indicare le categorie dei destinatari, anche esteri. I termini previsti per cancellare le diverse categorie di dati vanno riportati quando è possibile determinarli.

Posso chiedere all’azienda di mostrarmi il suo registro?

Questo articolo impone di mettere il registro a disposizione dell’autorità di controllo su richiesta, ma non prevede un diritto generale di accesso per ogni cittadino.

L’autorità di controllo può chiedere il registro anche se è conservato solo in formato elettronico?

Sì. Il registro può essere tenuto anche in formato elettronico e deve essere reso disponibile all’autorità di controllo quando questa lo richiede.

Richiamato da

Sezione 1 — Obblighi generali