Registro dei trattamenti: partire dal Comune tipo, non da zero

Trattamenti tipici, basi giuridiche, misure e tempi di conservazione: come costruire e tenere vivo il registro previsto dall'articolo 30 del GDPR in un ente.

Il registro delle attività di trattamento, previsto dall'articolo 30 del GDPR, è la spina dorsale documentale della protezione dei dati: l'inventario ragionato di tutto ciò che l'ente fa con le informazioni delle persone. Ed è anche l'adempimento che più spaventa chi deve cominciare, per una ragione psicologica prima che giuridica: il terrore del foglio bianco davanti a un ente che tratta dati in ogni ufficio.

La buona notizia è che il foglio bianco non serve: i trattamenti di un Comune sono in larghissima parte tipici, comuni a ogni ente della stessa natura. Il lavoro vero non è inventare l'inventario: è adattarlo e tenerlo vivo.

Partire dal Comune tipo

Anagrafe e stato civile, elettorale, tributi, servizi sociali, servizi scolastici, polizia locale, personale, protocollo e archivio, videosorveglianza: l'ossatura dei trattamenti comunali è nota e stabile, e per ciascuna voce sono note anche le basi giuridiche tipiche — quasi sempre l'obbligo legale o l'esecuzione di compiti di interesse pubblico — e le categorie di dati coinvolte. Partire da uno schema di questo tipo e adattarlo alla realtà locale trasforma mesi di censimento in settimane di verifica.

L'adattamento è comunque indispensabile: ogni ente ha i suoi servizi particolari, i suoi applicativi, i suoi fornitori. La regola pratica è intervistare ogni ufficio con una domanda semplice — quali informazioni sulle persone usate, per fare cosa, con quali strumenti — e riportare le risposte nello schema.

Le interviste hanno un valore che va oltre il registro: fanno emergere i trattamenti che nessuno aveva dichiarato — il foglio di calcolo con i dati dei richiedenti tenuto da un ufficio, il gruppo di messaggistica usato per le emergenze, l'archivio storico mai censito. Sono proprio i trattamenti invisibili, non quelli ufficiali, a generare gli incidenti: meglio scoprirli in un colloquio tra colleghi che nella cronologia di una violazione da notificare.

Cosa registrare per ogni trattamento

Per ciascun trattamento, il registro deve raccontare l'essenziale con precisione. Le voci decisive sono poche.

• Finalità e base giuridica: perché si trattano i dati e quale norma o compito pubblico lo fonda
• Categorie di interessati e di dati, con evidenza di quelli che richiedono protezioni rafforzate
• Tempi di conservazione, o almeno i criteri con cui verranno determinati
• Misure di sicurezza e soggetti coinvolti: applicativi, responsabili esterni, eventuali flussi verso altri enti

Tenerlo vivo: la parte che conta

Un registro perfetto e fermo perde valore ogni mese: la regola che lo tiene vivo è collegarlo ai cambiamenti. Ogni nuovo servizio, applicativo o fornitore dovrebbe passare da una domanda obbligata — cosa cambia nei trattamenti? — e, quando il rischio è elevato, dalla valutazione d'impatto che l'articolo 35 prevede. È qui che uno strumento dedicato fa la differenza rispetto al documento di testo: piattaforme come comuni.ai propongono i trattamenti tipici di un ente e legano registro, nomine e scadenze in un cruscotto unico, con il DPO come supervisore.

Il criterio di successo è concreto: se il registro descrive l'ente com'è oggi — non com'era alla prima stesura — la gran parte degli altri adempimenti ne discende con naturalezza. L'inventario giusto è la mappa di tutto il resto — e come ogni mappa, vale finché somiglia al territorio.