Nel contesto del principio di responsabilizzazione, ogni titolare del trattamento deve tenere un registro delle attivita' di trattamento svolte sotto la propria responsabilita' che includa, tra l'altro, le finalita' del trattamento, una descrizione delle categorie di dati e di destinatari dei dati e "ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all'articolo 32, paragrafo 1" (articolo 30, paragrafo 1 del regolamento); inoltre, deve valutare la probabilita' di un rischio elevato, anche qualora decida in ultima analisi di non realizzare una valutazione d'impatto sulla protezione dei dati.

Guida all'applicazione del Regolamento europeo in materia di protezione dei dati personali

Tutti i titolari e i responsabili di trattamento, eccettuati gli organismi con meno di 250 dipendenti ma solo se non e ettuano trattamenti a rischio
(si veda art. 30, paragrafo 5), devono tenere un registro delle operazioni di trattamento i cui contenuti sono indicati all’art. 30 del regolamento. Si tratta di uno strumento fondamentale non soltanto ai fini dell’eventuale supervisione da parte del Garante, ma anche allo scopo di disporre di un quadro aggiornato dei trattamenti in essere all’interno di un’azienda o di un soggetto pubblico, indispensabile per ogni valutazione e analisi del rischio. Il registro deve avere forma scritta, anche elettronica, e deve essere esibito su richiesta al Garante.

Ai sensi del citato art. 30, comma 1, il registro detenuto dal titolare del trattamento contiene le seguenti informazioni:

1. il nome e i dati di contatto del titolare del trattamento e, ove applicabile, del contito- lare del trattamento, del rappresentante del titolare del trattamento e del responsabile della protezione dei dati;

2. le finalita' del trattamento;

3. una descrizione delle categorie di interessati e delle categorie di dati personali;

4. le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, compresi i destinatari di paesi terzi od organizzazioni internazionali;

5. ove applicabile, i trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale, compresa l’identificazione del paese terzo o dell’organizzazione internazionale e, per i trasferimenti di cui al secondo comma dell’articolo 49, la documentazione delle garanzie adeguate;

6. ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati;

7. ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all’articolo 32, paragrafo 1.

Ai sensi del citato art. 30, comma 2, il registro detenuto dal responsabile del trattamento contiene le seguenti informazioni:

1. il nome e i dati di contatto del responsabile o dei responsabili del trattamento, di ogni titolare del trattamento per conto del quale agisce il responsabile del trattamento, del rappresentante del titolare del trattamento o del responsabile del trattamento e, ove applicabile, del responsabile della protezione dei dati;

2. le categorie dei trattamenti effettuati per conto di ogni titolare del trattamento;

3. ove applicabile, i trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale, compresa l’identificazione del paese terzo o dell’organizzazione internazionale e, per i trasferimenti di cui al secondo comma dell’articolo 49, la documentazione delle garanzie adeguate;

4. ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all’articolo 32, paragrafo 1.

Fonte: Autorità Garante - GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI - Linee guida in materia di valutazione d'impatto sulla protezione dei dati e determinazione della possibilita' che il trattamento "possa presentare un rischio elevato" ai fini del regolamento (UE) 2016/679