Scenario illustrativo: persone e organizzazioni sono ipotetiche. Non è un incarico o un risultato attribuito allo studio.
LA RISPOSTA IN BREVE
Il numero dei dipendenti, da solo, non risolve la questione. L’esenzione prevista dall’articolo 30 ha condizioni ed eccezioni: i trattamenti non occasionali, quelli rischiosi e quelli che comprendono determinate categorie di dati richiedono una valutazione specifica.
La situazione.
Scenario illustrativo inventato. Un laboratorio artigianale con otto lavoratori gestisce paghe ogni mese, ordini dei clienti, contatti dei fornitori e un piccolo sito. La titolare ha letto che sotto i 250 dipendenti il registro non serve. Conserva soltanto le informative firmate e non dispone di un quadro dei servizi cloud utilizzati. Quando cambia il programma delle presenze, nessuno sa quali documenti aggiornare.
PRIMA DI DECIDERE
Tre fatti da mettere a fuoco.
- 01
Paghe e gestione dei clienti sono attività ricorrenti, non un utilizzo isolato di dati.
- 02
Le assenze possono comportare informazioni sulla salute, da distinguere dai dati amministrativi ordinari.
- 03
Alcuni archivi sono presso fornitori esterni: conoscerne il funzionamento serve anche per rispondere alle richieste degli interessati.
Valuta insieme questi elementi prima di scegliere le azioni.
Come impostare la valutazione.
L’articolo 30, paragrafo 5, del GDPR non crea una franchigia generale per tutte le organizzazioni piccole. Occorre leggere le eccezioni e individuare le attività effettivamente interessate. Le indicazioni del Garante permettono alle organizzazioni sotto soglia, nei casi previsti, di circoscrivere il registro alle specifiche attività che fanno sorgere l’obbligo. Nel laboratorio descritto, considerare occasionali processi svolti regolarmente sarebbe una ricostruzione poco credibile.
Il registro descrive i trattamenti, senza diventare una copia di ogni documento conservato. Deve contenere gli elementi richiesti dalla norma, come finalità, categorie di interessati e dati, destinatari, eventuali trasferimenti e, quando possibile, termini di cancellazione e misure generali di sicurezza. Aggiungere base giuridica, responsabile interno e collegamenti ai contratti può renderlo più utile. Una casella compilata con formule generiche non dimostra che il processo sia stato esaminato.
Cosa fare, in pratica.
- 01
Partire dai processi reali. Intervistare chi segue personale, ordini e contabilità, osservando dove entrano i dati e chi li consulta.
- 02
Valutare l’esenzione per attività. Annotare frequenza, categorie di dati e rischi, motivando il perimetro del registro invece di affidarsi al numero dei dipendenti.
- 03
Descrivere separatamente i processi diversi. Paghe, selezione e newsletter hanno finalità, accessi e conservazioni che non coincidono.
- 04
Collegare i fornitori agli archivi. Verificare ruoli, contratti, localizzazione e accessi dei servizi utilizzati, senza riportare password nel registro.
- 05
Assegnare l’aggiornamento a una persona. Cambi di software, nuove finalità e cessazioni di servizi devono far riesaminare le voci coinvolte.
L’errore da evitare.
Scaricare un modello già compilato per un’altra azienda e cambiare soltanto il nome: restano sistemi inesistenti e mancano quelli realmente utilizzati.
Tre verifiche da portare con te.
- Il perimetro dell’eventuale esenzione è motivato per attività?
- Fornitori e tempi descritti corrispondono ai sistemi in uso?
- È chiaro chi aggiorna il registro quando cambia un processo?
Un registro proporzionato permette alla piccola impresa di prendere decisioni sugli archivi. La sua utilità dipende dalla corrispondenza con il lavoro quotidiano.
Fonti e riferimenti.
Collegamenti alle fonti istituzionali utilizzate per il quadro di riferimento. Controlla versione, ambito e regole complementari applicabili.