TL;DR
L'art. 30, par. 5 esonera le imprese con meno di 250 dipendenti — salvo che il trattamento presenti un rischio, OPPURE non sia occasionale, OPPURE riguardi categorie particolari o dati su condanne e reati. Le tre condizioni sono alternative. Le buste paga non sono occasionali e contengono dati sulla salute: se ne avverano due insieme.
L'errore sta nella parola «oppure»
L'art. 30, par. 5 esonera dall'obbligo di registro le imprese con meno di 250 dipendenti «a meno che il trattamento che esse effettuano possa presentare un rischio per i diritti e le libertà dell'interessato, il trattamento non sia occasionale o includa il trattamento di categorie particolari di dati di cui all'articolo 9, paragrafo 1, o i dati personali relativi a condanne penali e a reati di cui all'articolo 10». Tre condizioni, legate da «o». Il Gruppo di lavoro Art. 29 lo ha chiarito espressamente nella sua posizione del 19 aprile 2018: sono alternative, e ne basta una sola perché l'esenzione cada.
«Non occasionale» chiude il discorso quasi sempre
È occasionale il trattamento che non avviene con regolarità, non fa parte dell'attività ordinaria e non ha carattere stabile. Le retribuzioni si elaborano ogni mese. La gestione dei clienti non si interrompe. Le candidature arrivano tutto l'anno. Nessuno di questi è occasionale, e l'esenzione è già caduta a prescindere dal numero di dipendenti. Se poi ci sono i certificati di malattia, si aggiunge anche la condizione sulle categorie particolari dell'art. 9, par. 1.
- L'esenzione non è mai totale: varrebbe al più per i trattamenti che non integrano nessuna delle tre condizioni. Per tutti gli altri il registro resta dovuto — quindi un'impresa ne tiene o uno parziale o uno completo.
- L'art. 30, par. 1 elenca il contenuto minimo: nome e dati di contatto, finalità, categorie di interessati e di dati, categorie di destinatari, trasferimenti verso paesi terzi con le relative garanzie, termini di cancellazione e descrizione generale delle misure dell'art. 32, par. 1.
- Anche il responsabile tiene un proprio registro (art. 30, par. 2), con contenuto diverso: lì compaiono i titolari per conto dei quali agisce, non le finalità.
- Art. 30, par. 4: il registro è messo a disposizione dell'autorità su richiesta. In pratica è il primo documento che viene chiesto.
Cosa un modello non fa
Un modello dà le colonne, non i contenuti. I due campi su cui i registri falliscono regolarmente non si copiano: il termine di conservazione, che cambia per categoria di dato e per ordinamento, e le misure dell'art. 32, che devono corrispondere alla tecnica realmente in uso. Un registro in cui ovunque c'è scritto «termini di legge» non risponde alla domanda: la evita.
Il consiglio pratico per la consulenza: non aprire nemmeno la discussione sui 250. Costa mezz'ora e finisce sempre allo stesso modo. È più utile la domanda su quali trattamenti esistano e per quanto restino i dati — perché è lì che la risposta manca, ed è esattamente quello che chiede l'autorità.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
