Il registro del trattamento del Titolare o del Responsabile è un adempimento fondamentale per essere conformi al GDPR.
Si parla di doppia funzione del registro delle attività di trattamento in quanto lo stesso è:
- Strumento operativo che consente di:
- censire le banche dati e i trattamenti in essere;
- rappresentare l’organizzazione sotto il profilo delle attività di trattamento a fini di informazione, consapevolezza e condivisione interna;
- costituire lo strumento di pianificazione e controllo delle attività di trattamento dei dati personali in modo da garantire la loro integrità, riservatezza e disponibilità;
- ridurre gli sprechi in termini di tempo, risorse, duplicazione delle informazioni;
- ridurre i rischi di eventuali trattamenti illeciti
- Strumento per conservare in maniera ordinata e verificabile da terzi le informazioni relative all’adozione delle misure tecniche ed organizzative adeguate ed efficaci finalizzate ad attuare il principio di responsabilizzazione.
L’art. 30.3 prevede che i registri del titolare e del responsabile del trattamento siano tenuti in forma scritta – anche in formato elettronico – in modo non solo di poter dimostrare la rispondenza dei trattamenti alla normativa vigente, ma anche poter adempiere all’onere della prova nei casi in cui debba essere valutata la responsabilità del titolare e del responsabile;
L’art. 30.4, infatti, stabilisce che, su richiesta dell’autorità di controllo, tale registro debba essere messo a sua disposizione.
Con l’avvento della pandemia, il trattamento dei dati personali in gioco richiesti per svolgere i dovuti controlli diventa molto delicato.
Ed invero, oltre ai dati di natura comune, la rilevazione della temperatura corporea per l’accesso ai luoghi pubblici e di lavoro, sono trattatati agli interessati al trattamento anche i dati di natura sanitaria, che rientrano nella delicata categoria dei dati di natura particolare ex art 9 GDPR.
Tale trattamento, naturalmente, deve essere riportato anche nel registro del trattamento, ed in particolare si dovrà indicare:
Come finalità, la verifica Certificazione Verde COVID-19 (Green Pass), in formato digitale oppure cartaceo, tra gli interessati al trattamento dovranno menzionarsi Dipendenti e collaboratori, Fornitori, visitatori, come base giuridica: la necessità di adempiere a un obbligo legale con riferimento al DPCM 17 giugno 2021 e Decreto-legge 21 settembre 2021, n. 127 , convertito, con modificazioni dalla legge n. 165 del 19/11/ 2021.
I dati oggetto del trattamento sono: dati anagrafici e categorie particolari di dati ex art 9 GDPR.
Aspetto molto delicato è poi la sezione dedicata alla conservazione del trattamento.
Se per la verifica del Green Pass sarà necessario specificare che i dati personali relativi alla temperatura e al Green Pass non saranno in alcun modo raccolti, archiviati e/o registrati ma soltanto verificati, al momento dell’accesso eccetto quanto prescritto dall’art comma 5 dell’art. 9-quinquies, D.L. n. 52 del 22 aprile del 2021, in caso di richiesta da parte del lavoratore, la certificazione , come da ultima modifica legislativa, sarà conservata, ex comma 5 dell’art. 9-quinquies, D.L. n. 52 del 22 aprile del 2021 come modificato da Decreto-legge 21 settembre 2021, n. 127 , convertito, con modificazioni dalla legge n. 165 del 19/11/ 2021 e nello specifico: fino alla scadenza del certificato, fino al termine dell’emergenza o fino al termine del rapporto lavorativo.
Anche dal punto di vista della documentazione, si dovrà dare atto della predisposizione di idonee autorizzazioni fra cui: Nomina autorizzati al trattamento ex art 29 GDPR; informativa specifica ex art 13 GDPR; lettera di richiesta consegna certificazione da parte del lavoratore, le modalità operative; l’attestazione della procedura organizzativa per la verifica del possesso della certificazione.
Tra le misure di sicurezza, il Titolare del trattamento dovrà segnalare nel registro di aver adottato adeguata segnalazione nonché la strumentazione per la rilevazione temperatura e specificare di utilizzo APP VerificaC19.
Mentre per il luogo di conservazione si dovrà menzionare sia ‘archivio cartaceo sia quello informatico, indiando con precisione che l’accesso riservato presso la sede del Titolare.
Infine, per conferire data certa al registro, sarà necessario proceder con l’auto-invio tramite PEC per dare prova dell’aggiornamento del registro del trattamento a seguito di questi delicati trattamenti dati personali imposti dall’emergenza sanitaria tutt’ora in corso.
