TL;DR
Nel registro dei trattamenti: catalogo di 35 misure dell’art. 32 da spuntare e integrare, 26 tipologie di dato sotto le sei categorie giuridiche, e il paese di destinazione scelto da un elenco che dichiara lo stato rispetto al Capo V. Nessuna delle tre decide al posto tuo.
Il problema: la stessa frase, su ogni trattamento
Chi tiene un registro dell’art. 30 per più titolari conosce la scena: il campo delle misure di sicurezza è una casella vuota, e dentro ci si riscrive ogni volta la stessa cosa. Controllo accessi, backup, antivirus. Poi il trattamento successivo, e daccapo. Non è un problema di tempo soltanto: è che una misura scritta di fretta si scrive male, e in sede di verifica un elenco disomogeneo fra trattamenti dello stesso titolare è la prima cosa che salta all’occhio.
Un catalogo che propone, non che chiude
Le 35 misure sono divise in nove gruppi ancorati all’articolo che le nomina: controllo degli accessi, cifratura e pseudonimizzazione, copie di sicurezza, continuità, protezione di rete, dispositivi, misure organizzative, registrazione, verifica e cancellazione. Si spuntano, diventano etichette sulla scheda, e il campo di testo resta accanto per quello che nel caso concreto è diverso. Nessun registro già compilato perde una riga.
- Le proposte in cima nascono dal trattamento: categorie particolari fanno emergere cifratura a riposo, tracciamento degli accessi e autenticazione forte; un trasferimento extra-UE richiama le misure supplementari discusse dopo Schrems II.
- Fra le voci c’è anche la verifica periodica dell’efficacia, che l’art. 32, par. 1, lett. d) impone e che quasi nessun registro riporta.
- L’esportazione CSV unisce le misure scelte e il testo libero: chi apre il file vede quello che si vede a schermo.
Categorie di dati: le sei giuridiche restano, sotto arriva il dettaglio
Le sei caselle — dati comuni, categorie particolari, condanne, minori, biometrici, genetici — dicono a che titolo si trattano i dati, e servono per agganciare la base dell’art. 6 e la condizione dell’art. 9, par. 2. Non dicono quali dati. Ora sotto ciascuna ci sono 26 tipologie descrittive, più un campo per le proprie. Serve a compilare più in fretta, ma soprattutto a rispondere a un interessato che chiede quali dati lo riguardano, come vuole l’art. 15, par. 1, lett. b).
«Stati Uniti adeguati» è la frase che fa più danni
Nella scheda del trasferimento — e in quella del responsabile — il paese non è più una casella di testo. Si sceglie da un elenco raggruppato per stato, e sotto compare cosa comporta. Il caso che conta è l’adeguatezza parziale: la decisione sugli Stati Uniti copre le sole organizzazioni certificate nel Data Privacy Framework, per i trattamenti dichiarati nella certificazione; quella sul Canada le sole organizzazioni commerciali soggette alla PIPEDA. Fuori da lì serve uno strumento dell’art. 46 con la valutazione d’impatto del trasferimento.
Quello che il programma non fa
Non stabilisce se le misure siano adeguate: l’adeguatezza dipende dal rischio, dallo stato dell’arte e dai costi (art. 32, par. 1), ed è una valutazione di chi firma. Non deduce la qualificazione giuridica dei dati: se indichi dati sanitari senza aver spuntato «categorie particolari», il modulo lo segnala e si ferma lì. E non sostituisce l’elenco della Commissione sulle decisioni di adeguatezza, che resta la fonte da consultare: i casi in movimento — Regno Unito e Stati Uniti — portano un contrassegno che lo ricorda.
Le tre modifiche nascono da un riscontro ricevuto durante una prova gratuita. Se usi la piattaforma e qualcosa ti rallenta, scriverlo serve: è così che si muovono le cose.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
