Source: https://ecommerce.studiobma.com/news/194/registro-dei-trattamenti-per-le-pmi-i-chiarimenti-del-garante-per-la-protezione-dei-dati-personali
Timestamp: 2018-11-18 07:52:08+00:00
Document Index: 72431135

Matched Legal Cases: ['art. 30', 'art. 30', 'art. 30', 'art. 9', 'art. 10', 'art. 30', 'art. 30', 'art. 30', 'art. 30', 'art. 32', 'art. 30', 'arty 29', 'art. 9', 'art. 30']

Registro dei trattamenti per le PMI: i chiarimenti del Garante per la Protezione dei Dati Personali - BM&A e-commerce legal toolkit
Martedì, 09 Ottobre 2018 11:37
Registro dei trattamenti per le PMI: i chiarimenti del Garante per la Protezione dei Dati Personali
L’8 ottobre il Garante per la Protezione dei Dati Personali ha pubblicato i propri chiarimenti in merito all’obbligo di tenuta del registro delle attività di trattamento da parte di imprese ed organizzazioni con meno di 250 dipendenti.
In generale, ai sensi dell’art. 30 GDPR, “[o]gni titolare del trattamento e, ove applicabile, il suo rappresentante tengono un registro delle attività di trattamento svolte sotto la propria responsabilità”. Il registro contiene le principali informazioni relative alle operazioni di trattamento svolte, espressamente elencate all’art. 30, par. 1[1].
Il GDPR prevede una deroga, al suddetto obbligo, in favore delle imprese o organizzazioni con meno di 250 dipendenti. Ai sensi dell’art. 30, par. 5 GDPR, infatti, le imprese o organizzazioni con meno di 250 dipendenti sono esenti dall’obbligo di tenuta del registro, ad eccezione dei casi in cui esse effettuino trattamenti rientranti in una delle seguenti ipotesi alternative[2]:
il trattamento genera un rischio per i diritti e le libertà dell'interessato oppure
il trattamento non è occasionale (ossia viene svolto regolarmente nell’ambito dell’attività dell'ente)[3] oppure
il trattamento include categorie particolari di dati di cui all'art. 9, par. 1 GDPR[4], o i dati personali relativi a condanne penali e a reati di cui all'art. 10 GDPR[5].
In considerazione della novità prevista al riguardo dall’art. 30, il Gruppo di Lavoro Articolo 29 (WP29) incoraggia le Autorità nazionali a fornire alle PMI strumenti che ne agevolino gli adempimenti, quali ad esempio la predisposizione di modelli semplificati per la tenuta del registro[6].
Seguendo le raccomandazioni del WP29, il Garante per la protezione dei dati personali ha pubblicato il modello semplificato con le relative FAQ per la tenuta del registro da parte delle imprese o organizzazioni con meno di 250 dipendenti, per le ipotesi in cui esse risultino assoggettate all’obbligo ai sensi dell’art. 30, par. 5 GDPR.
Nelle FAQ il Garante chiarisce che “[r]ientrano nella categoria di ‘organizzazioni’ di cui all’art. 30, par. 5 anche le associazioni, le fondazioni e i comitati”. Alla luce dell’art. 30, par. 5 GDPR, sono obbligati a tenere il registro “ad esempio:
il condominio ove tratti “categorie particolari di dati” (es. delibere per interventi volti al superamento e all’abbattimento delle barriere architettoniche ai sensi della L. n. 13/1989; richieste di risarcimento danni comprensive di spese mediche relativi a sinistri avvenuti all’interno dei locali condominiali)”.
Il Garante ricorda altresì che in ogni caso, ove siano obbligate alla tenuta del registro, le imprese e organizzazioni con meno di 250 dipendenti beneficiano di misure di semplificazione, “potendo circoscrivere l’obbligo di redazione del registro alle sole specifiche attività di trattamento sopra individuate (es. ove il trattamento delle categorie particolari di dati si riferisca a quelli inerenti un solo lavoratore dipendente, il registro potrà essere predisposto e mantenuto esclusivamente con riferimento a tale limitata tipologia di trattamento)”.
[1] Nel registro devono essere indicati: il nome e i dati di contatto del titolare del trattamento; le finalità del trattamento; le categorie di interessati e di dati personali; le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, compresi i destinatari di paesi terzi od organizzazioni internazionali, ove applicabile, i trasferimenti di dati personali verso un paese terzo o un'organizzazione internazionale; ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati ed, infine, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all'art. 32, par. 1 GDPR (cfr. art. 30 par. 1).
[2] Si veda Working Party 29, Position paper on the derogations from the obligation to maintain records of processing activities pursuant to Article 30(5) GDPR.
[3] “For example, a small organisation is likely to regularly process data regarding its employees. As a result, such processing cannot be considered “occasional” and must therefore be included in the record of processing activities. Other processing activities which are in fact “occasional”, however, do not need to be included in the record of processing activities, provided they are unlikely to result in a risk to the right and freedoms of data subjects and do not involve special categories of data or personal data relating to criminal convictions and offences”. In tal senso, WP29, Position paper cit.
[4] L’art. 9, par. 1 GDPR prevede che “[è] vietato trattare dati personali che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l'appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all'orientamento sessuale della persona”.
[5] Si veda art. 30, par. 5 GDPR.
[6] Si veda in tal senso WP29, Position paper cit.
Privacy e telemarketing: l'outsourcing non esclude la responsabilità del titolare del trattamento
Web marketing: iscrizione alla newsletter e “libero” consenso all’invio di comunicazioni commerciali
Data Protection: il Garante presenta l’attività svolta nel 2017
Perchè è importante la "legge sulla privacy"
Altro in questa categoria: « Le comunicazioni nell’area personale di un sito web possono integrare la nozione di “supporto durevole” ai fini della disciplina dei contratti di consumo La responsabilità delle imprese colpite da attacchi informatici nel GDPR »
Mobile payments: la Corte di giustizia UE dice no ai monopoli nazionali
Coldiretti Veneto estende all'export la partnership con BM&A
BM&A agli Open Innovation Days, Padova 25-27 Ottobre 2018
BM&A - Studio Legale Associato
Viale Montegrappa, 45 Treviso C.F. 02339850261