È il documento da cui parte qualunque verifica, perché è la fotografia di cosa fa davvero l’organizzazione con i dati. Senza, ogni altra affermazione sulla conformità è indimostrabile.
Il valore non è formale. Compilarlo obbliga a porsi domande che nessuno si pone: perché conserviamo ancora questi dati, chi può vederli, dove finiscono quando li mandiamo a un fornitore. Nella maggior parte dei casi emergono trattamenti dimenticati e conservazioni senza motivo.
Chi deve tenerlo, davvero
Circola l’idea che sotto i duecentocinquanta dipendenti il registro non serva. È una lettura imprecisa dell’esenzione, e nella pratica quasi nessuna azienda vi rientra.
L’esenzione non si applica quando il trattamento non è occasionale, quando riguarda categorie particolari di dati — la salute, per esempio — o quando può presentare un rischio per i diritti delle persone. Un’azienda che gestisce buste paga, dati di clienti e videosorveglianza tratta dati in modo sistematico e non occasionale: il registro serve.
Vale poi un argomento pratico che conta più di quello formale: senza il registro non si sa dove stanno i dati, e senza saperlo non si può rispondere a una richiesta di accesso, né valutare un incidente, né decidere che cosa proteggere per primo.
Come si tiene senza che diventi carta morta
Il rischio principale non è non averlo: è averlo compilato una volta da un consulente e non averlo più aggiornato, il che è quasi peggio perché documenta una situazione che non esiste più.
Va agganciato ai sistemi reali
Ogni trattamento vive dentro un applicativo, una cartella, un servizio in cloud. Se il registro nomina i trattamenti senza dire su quali sistemi si svolgono, non serve a nessuna decisione operativa.
Si aggiorna quando cambia qualcosa, non a scadenza
Un nuovo gestionale, un fornitore che cambia, una telecamera aggiunta: sono i momenti in cui il registro va toccato. Una revisione annuale slegata dagli eventi arriva sempre in ritardo.
Deve dire per quanto si conservano i dati
È la colonna più spesso lasciata vuota e la più utile: senza un tempo di conservazione dichiarato non si può cancellare nulla, e gli archivi crescono per sempre portandosi dietro un rischio che non serve a niente.
Perché conta per un’azienda
È anche il punto di partenza per rispondere ai questionari dei clienti sulla sicurezza, che chiedono in sostanza le stesse informazioni con parole diverse.
L’errore che vediamo più spesso
Va mantenuto allineato quando cambiano fornitori, applicativi o modi di lavorare. È esattamente il lavoro che si smette di fare dopo il primo anno, ed è la ragione per cui abbiamo sviluppato uno strumento che lo tiene aggiornato.