PR31.4 - Gestione registro dei trattamenti

Procedura di Gestione del Registro dei Trattamenti

Revisioni


Rev.	Data	Descrizione	Redatto	Approvato
0.0	24/04/2026	Prima emissione	RSGI	Amministratore Unico
0.1	09/07/2026	Revisione assistita da IA: chiarito lo status del DPO in assenza di designazione obbligatoria	RSGI	Amministratore Unico

Introduzione

L’articolo 30 del Regolamento Generale sulla protezione dei dati (GDPR) indica che ogni Titolare del Trattamento e, ove applicabile, il suo rappresentante tengano un registro delle attività di trattamento svolte sotto la propria responsabilità. Tale registro contiene le seguenti informazioni:

1) il nome e i dati di contatto del Titolare del Trattamento e, ove applicabile, del Contitolare del Trattamento, del rappresentante del Titolare del Trattamento e del Responsabile della Protezione dei Dati (RDP);

2) le finalità del trattamento;

3) una descrizione delle categorie di interessati e delle categorie di dati personali;

4) le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, compresi i destinatari di paesi terzi od organizzazioni internazionali;

5) ove applicabile, i trasferimenti di dati personali verso un paese terzo o un'organizzazione internazionale, compresa l'identificazione del paese terzo o dell'organizzazione internazionale e, per i trasferimenti di cui al secondo comma dell'articolo 49 del GDPR, la documentazione delle garanzie adeguate;

6) ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati;

7) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all'articolo 32, paragrafo 1 del GDPR.

Inoltre, ogni Responsabile del Trattamento e, ove applicabile, il suo rappresentante tengono un registro di tutte le categorie di attività relative al trattamento svolte per conto di un Titolare del Trattamento. Tale registro contiene le seguenti informazioni:

1) il nome e i dati di contatto del Responsabile o dei Responsabili del trattamento, di ogni Titolare del Trattamento per conto del quale agisce il Responsabile del Trattamento, del rappresentante del Titolare del Trattamento o del Responsabile del Trattamento e, ove applicabile, del Responsabile della Protezione dei Dati (RDP);

2) le categorie dei trattamenti effettuati per conto di ogni Titolare del trattamento;

3) ove applicabile, i trasferimenti di dati personali verso un paese terzo o un'organizzazione internazionale, compresa l'identificazione del paese terzo o dell'organizzazione internazionale e, per i trasferimenti di cui al secondo comma dell'articolo 49 del GDPR, la documentazione delle garanzie adeguate;

4) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all'articolo 32, paragrafo 1 del GDPR.

Infine, i registri indicati devono essere tenuti in forma scritta, anche in formato elettronico.

Vectorlab, quindi, sia quando opera come Titolare del Trattamento che quando opera come Responsabile del Trattamento, ha l’obbligo della tenuta dei registri in questione ed in questo documento ne definisce le modalità di gestione.

Riferimenti e Allegati

MDPR31.4.A - Registro Trattamenti del Titolare

MDPR31.4.B - Registro Trattamenti del Responsabile

REGOLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO E DEL CONSIGLIO del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento Generale sulla Protezione dei Dati).

Definizioni, Acronimi, Abbreviazioni

CEO - Chief Executive Officer

CISO - Chief Information Security Officer

DPO - Data Protection Officer

GDPR – General Data Protection Regulation

RPD – Responsabile per la Protezione dei Dati

SGI - Sistema di Gestione Integrato.

Registri del Trattamento

Scopo della presente procedura è quello di definire le modalità per la corretta gestione dei registri del trattamento presenti in azienda.

Registro del Titolare

Il Registro dei Trattamenti in qualità di Titolare “MDPR31.4.A - Registro Trattamenti del Titolare” è stato strutturato in modo da soddisfare i requisiti cogenti indicati nell’introduzione del documento e deve essere costantemente aggiornato in base ai trattamenti effettuati da Vectorlab.

Il registro presenta una cover iniziale con i dati di contatto del Titolare ed i dati di contatto del Responsabile per la Protezione dei Dati (RPD/DPO).

Al suo interno sono presenti i seguenti campi:

ID: identificativo univoco del trattamento;
Titolare del trattamento*: indicazione del Titolare del trattamento;
Trattamento: nome del trattamento;
Data inizio trattamento: data in cui è stato avviato il trattamento;
Descrizione trattamento: breve descrizione del trattamento;
Area/Processo: identificazione dell’area o processo che ha in carico la gestione del trattamento;
Referente interno: persona identificata quale referente per il trattamento;
Finalità del trattamento*: elenco delle finalità legate al trattamento;
Base legale: elenco delle basi legali legate al trattamento;
Tipologia dati*: indicazione delle tipologie di dati trattati e suddivisi per comuni e particolari;
Categoria interessati*: identificazione di quali sono le categorie degli interessati legate al trattamento;
Destinatari*: individuazione dei destinatari dei dati trattati e suddivisi per interni ed esterni all’azienda;
Trasferimento verso paese terzo o organizzazione internazionale*: indicazione se i dati trattati vengono o meno trasferiti all’interno o all’esterno dell’Unione Europea;
Asset trattamento: indicazione su dove sono gestiti ed archiviati i dati trattati;
Tempo max cancellazione*: indicazione della data retention dei dati trattati;
Indice criticità per la DPIA: indicazione se l’analisi dei rischi ha determinato la necessità o meno di effettuare una DPIA per il trattamento;
Misure di sicurezza*: indicazione delle misure di sicurezza applicate al trattamento;
Note: campo per eventuali note/commenti;
Data ultimo aggiornamento: data di ultima revisione del trattamento;

I campi individuati con “*” sono quelli espressamente indicati dal GDPR, mentre gli altri sono campi individuati dall’azienda con la finalità di rendere il più complete possibile le informazioni legate ai singoli trattamenti.

Registro del Responsabile

Il Registro dei Trattamenti in qualità di Responsabile “MDPR31.4.B - Registro Trattamenti del Responsabile” è stato strutturato in modo da soddisfare i requisiti cogenti indicati nell’introduzione del documento e deve essere costantemente aggiornato in base ai trattamenti effettuati da Vectorlab in qualità di Responsabile nominato dal Titolare del trattamento.

Il registro presenta una cover iniziale con i dati di contatto del Responsabile ed i dati di contatto del Responsabile per la Protezione dei Dati (RPD/DPO).

Al suo interno sono presenti i seguenti campi:

ID: identificativo univoco del trattamento;
Titolare del trattamento*: indicazione del Titolare del trattamento;
Dati di contatto del Titolare*: i dati anagrafici del Titolare;
Responsabile del trattamento*: identificazione del Responsabile per il trattamento;
Sub-Responsabile del trattamento*: identificazione dell’eventuale presenza di un Sub-Responsabile del trattamento;
Trattamento: nome del trattamento;
Data inizio trattamento: data in cui è stato avviato il trattamento;
Descrizione trattamento: breve descrizione del trattamento;
Area/Processo: identificazione dell’area o processo che ha in carico la gestione del trattamento;
Referente interno: persona identificata quale referente per il trattamento;
Finalità del trattamento: elenco delle finalità legate al trattamento;
Base legale: elenco delle basi legali legate al trattamento;
Tipologia dati*: indicazione delle tipologie di dati trattati e suddivisi per comuni e particolari;
Categoria interessati*: identificazione di quali sono le categorie degli interessati legate al trattamento;
Trasferimento verso paese terzo o organizzazione internazionale*: indicazione se i dati trattati vengono o meno trasferiti all’interno o all’esterno dell’Unione Europea;
Asset trattamento: indicazione su dove sono gestiti ed archiviati i dati trattati;
Tempo max cancellazione: indicazione della data retention dei dati trattati;
Misure di sicurezza*: indicazione delle misure di sicurezza applicate al trattamento;
Note: campo per eventuali note/commenti;
Data ultimo aggiornamento: data di ultima revisione del trattamento;

I campi individuati con “*” sono quelli espressamente indicati dal GDPR, mentre gli altri sono campi individuati dall’azienda con la finalità di rendere il più complete possibile le informazioni legate ai singoli trattamenti.

Aggiornamento

Nel momento in cui Vectorlab avesse la necessità di aggiungere un nuovo trattamento in qualità di Titolare o nel caso in cui fosse nominata come Responsabile per un trattamento da un suo cliente, il Referente Privacy si occuperà di precedere con l’aggiornamento del registro pertinente al trattamento compilando tutti i campi presenti. Le stesse attività saranno svolte dal Referente Privacy per qualsiasi variazione a trattamenti già in essere in azienda.

A supporto delle attività di aggiornamento e manutenzione dei registri del trattamento, qualora Vectorlab si avvalga di un DPO (vedi "PO31 - Misure di sicurezza protezione dati personali", non obbligatorio allo stato attuale), tale figura viene coinvolta a supporto del Referente Privacy.

Tracciabilità

Al fine di garantire una completa tracciabilità relativamente ai registri del trattamento presenti in Vectorlab, il Referente Privacy, con l’eventuale supporto del DPO, provvederà a identificare, tracciare ed archiviare le varie versioni dei registri in modo da garantire la validità di ogni versione del registro nel periodo di competenza corretto. A tal fine verrà quindi creata, a partire dalla prima, una nuova versione ad ogni cambiamento del registro in questione e si provvederà ad inserire nel nome del file la data di modifica. Tale data dovrà corrispondere alla data di ultimo aggiornamento del trattamento modificato/introdotto, che verrà indicata anche all’interno del registro.