La compliance aziendale in materia di dati personali prevista dal nuovo Regolamento trova uno dei suoi principali strumenti nel Registro delle attività di trattamento di dati personali, previsto dall'art. 30 del GDPR.

Tale Registro, tenuto a cura del Titolare e del Responsabile del trattamento, dovrà essere messo a disposizione dell’Autorità Garante qualora lo richieda, e dovrà contenere:

• il nome e i dati di contatto del titolare del trattamento e, ove applicabile, del contitolare del trattamento, del rappresentante del titolare del trattamento e del responsabile della protezione dei dati;
• le finalità del trattamento;
• una descrizione delle categorie di interessati e delle categorie di dati personali;
• le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, compresi i destinatari di paesi terzi;
• ove applicabile, i trasferimenti di dati personali verso paesi terzi e la loro identificazione; in taluni casi deve essere allegata la documentazione delle garanzie adeguate;
• i termini ultimi previsti per la cancellazione delle diverse categorie di dati;
• una descrizione generale delle misure di sicurezza tecniche e organizzative.

I Registri, che possono essere tenuti anche in formato elettronico, non sono obbligatori per i Titolari con meno di 250 dipendenti, salvo che il trattamento non comprenda dati sensibili, o non sia presente un rischio per i diritti e le libertà dell’interessato.

Il Garante della privacy ha comunque indicato tale adempimento fortemente consigliabile per tutti i titolari, indipendentemente dalla dimensione:

«La tenuta del registro dei trattamenti non costituisce un adempimento formale bensì parte integrante di un sistema di corretta gestione dei dati personali. Per tale motivo, si invitano tutti i titolari di trattamento e i responsabili, a prescindere dalle dimensioni dell'organizzazione, a compiere i passi necessari per dotarsi di tale registro e, in ogni caso, a compiere un'accurata ricognizione dei trattamenti svolti e delle rispettive caratteristiche – ove già non condotta.»