Modello di registro delle attività di trattamento ISO 27701

Che cosa richiede la norma

---

Che cosa impone la norma ISO 27701 e che cosa lascia alla sua discrezione

La norma chiede al titolare e al responsabile di mantenere un registro dei trattamenti che svolgono, con un dettaglio sufficiente per gestirli e dimostrarlo. Non fissa il modello: richiede che il registro sia completo, aggiornato e conosciuto da chi decide su ogni trattamento.

Il GDPR precisa il contenuto minimo: l’articolo 30.1 per il titolare e il 30.2 per il responsabile, che registra le categorie di trattamenti svolti per conto di ciascun cliente. Deve essere tenuto in forma scritta, anche elettronica, e messo a disposizione dell’autorità di controllo su richiesta.

L’articolo 30.5 esenta le organizzazioni con meno di 250 dipendenti, a meno che il trattamento presenti un rischio, non sia occasionale o includa categorie particolari di dati. In pratica quasi nessuna azienda con personale proprio resta esente, perché le buste paga non sono occasionali.

Struttura

---

Campi che il modello deve contenere

• Nome e contatti del titolare e, se presente, del responsabile della protezione dei dati
• Ruolo dell’organizzazione: titolare, contitolare o responsabile
• Finalità del trattamento e base giuridica
• Categorie di interessati e di dati personali
• Categorie di destinatari, compresi i responsabili
• Trasferimenti internazionali e garanzie applicate
• Termini previsti per la cancellazione
• Descrizione generale delle misure di sicurezza
• Sistemi o applicazioni che supportano il trattamento
• Data dell’ultima revisione e chi l’ha eseguita

In audit

---

Errori che gli auditor rilevano più spesso

• Il registro è stato fatto una volta e non contiene gli strumenti introdotti dopo.
• La base giuridica è indicata come «consenso» in trattamenti del personale che si fondano sul contratto o sulla legge.
• Il responsabile copia il registro del titolare e non distingue i trattamenti svolti per conto di ciascun cliente.
• I termini di cancellazione dicono «quelli previsti dalla legge» senza indicarne nessuno.
• I responsabili che compaiono nel registro non hanno un contratto in vigore.

In Kimobox

---

Come si gestisce questa registrazione in Kimobox

1. 1Ogni trattamento è una scheda del registro delle attività con il suo responsabile e la sua data di revisione.
2. 2L’introduzione di un nuovo strumento o di un nuovo fornitore avvia un flusso che obbliga a rivedere i trattamenti coinvolti.
3. 3I destinatari sono collegati ai fornitori e al loro contratto di responsabile del trattamento.
4. 4Lo storico delle versioni permette di mostrare com’era il registro a qualsiasi data.

Domande frequenti

---

Cosa ci chiedono prima di iniziare