Registro dei trattamenti#
Il registro dei trattamenti costituisce elemento centrale attorno al quale orbitano molti degli adempimenti richiesti dal Regolamento EU 679/2016 (GDPR), quali: l’analisi d’impatto sulla protezione dei dati, la notifica di violazioni dei dati personali, la distribuzione delle responsabilità.
Il registro dei trattamenti è composto dall’insieme dei trattamenti per il quale l’ente è Titolare o Responsabile.
Per accedere al registro dei trattamenti in DPM è sufficiente fare clic sulla voce di menu Reg. Trattamenti:
Dall’interfaccia a cui si accede facendo clic sulla voce di menu REG. TRATTAMENTI è possibile:
inserire nuove attività di trattamento (facendo clic sul pulsante «Nuovo»);
modificare le attività di trattamento inserite (selezionando il trattamento e facendo clic su «Modifica»);
ricercare attività di trattamento inserite (utilizzando la funzione di ricerca posizionata sulla sommità di ogni colonna);
generare il registro di tutte le attività di trattamento, in formato .pdf e .docx (facendo clic sul pulsante «Genera registro» e selezionando il formato desiderato);
generare un registro relativo alle sole attività di trattamento previamente selezionate, in formato .pdf e .docx (facendo clic sui singoli trattamenti e successivamente sul pulsante «Genera registro» e selezionando il formato desiderato).
generare il registro delle attività di trattamento in formato .ods
generare le informative privacy
duplicare un’attività di trattamento
disattivare una o più attività di trattamento - selezionando uno o più elementi che si vuole disattivare e premendo «Disattiva»;
correlare le attività di trattamento alle unità organizzative;
visualizzare la cronistoria degli interventi effettuati su un singolo trattamento nonché generare un report in formato .ods afferente allo stato di un trattamento in un determinato momento storico.
Export dei trattamenti in un foglio di calcolo#
Per esportare le attività di trattamento in un foglio di calcolo (Excel, Calc) è sufficiente fare clic sull’icona “Esporta il registro dei trattamenti”.
Il menù a tendina proposto consente di scegliere se produrre:
Un’esportazione del registro completo (“Esporta tutti gli elementi”), indicando nelle modale di generazione se includere nel file di esportazione tutti i trattamenti oppure solo quelli attivi o disattivati.
Una selezione puntuale dei trattamenti (“Esporta gli elementi selezionati”), con la possibilità di editare dalla modale di generazione i trattamenti selezionati per l’esportazione.
In entrambi i casi, la modale consente di scegliere come ordinare i trattamenti all’interno dell’export, se per codice identificativo, nome del trattamento o data di creazione.
Tramite la spunta “Moltiplica i trattamenti se effettuati in più unità” è infine possibile esplodere le attività di trattamento se queste sono condivise su più strutture, così da facilitare la consultazione del file.
Titolarità e Responsabilità delle attività di trattamento#
Nella sezione dedicata al registro dei trattamenti è possibile filtrare il medesimo affinché siano visualizzati:
i trattamenti effettuati come titolare del trattamento;
i trattamenti effettuati come responsabile del trattamento;
il registro completo dei trattamenti.
Per filrare il registro è sufficiente utilizzare il menù a tendina che si prospetta in cima alla vista dei trattamenti (cfr immagine sottostante).
Status dei trattamenti#
DPM permette di gestire i trattamenti inseriti a registro in termini di «Pubblicato» e «Bozza». Al di là delle finalità organizzativo-gestorie, categorizzando i trattamenti, solo quelli indicati in stato «Pubblicato» compariranno nel registro dei trattamenti.
Percentuale di completamento#
Per ogni singola attività di trattamento viene indicata una c.d. «percentuale di completamento»: tale variabile intende indicare il livello di completezza delle informazioni fino a quel momento inserite. I campi considerati al fine del calcolo della suddetta percentuale sono esclusivamente quelli qualificati come «necessari»: sono esclusi pertanto i campi relativi al Responsabile del trattamento e quelli relatvi ad eventuali trasferimenti e comunicazioni.
Nello specifico, i campi presi in considerazione sono:
Finalità;
Basi giuridiche;
Categorie di dati;
Categorie di interessati;
Titolare;
RPD;
Misure di sicurezza;
Periodo di conservazione.
Caratteristiche ed elementi del registro dei trattamenti#
Le informazioni da inserire con riferimento a ciascun trattamento sono quelle definite dall’art. 30 del Regolamento UE 679/2016, con l’aggiunta di alcune informazioni necessarie per rendere l’attività del Titolare del trattamento conforme alle prescrizioni imposte dal GDPR.
L’inserimento delle attività di trattamento si delinea come un percorso declinato in sei passaggi che accompagnano l’utente nella compilazione dei campi necessari.
Nel dettaglio, i passaggi che l’utente affronterà sono i seguenti:
Dati essenziali |
|
Soggetti |
|
Trasferimenti e comunicazioni |
|
Misure di sicurezza |
|
Altre informazioni |
|
Stima del rischio e Pre assessment |
|
Molte delle informazioni che possono essere inserite durante la compilazione del registro derivano da quanto inserito nelle voci dei sotto-menu a cui è possibile accedere dalle voci del menu, Asset e Soggetti.
Nel sotto menu Asset è possibile definire:
Asset |
|
Nel sotto menu Soggetti è possibile definire :
Soggetti |
|
Inserimento nuova attività di trattamento#
Per inserire una nuova attività di trattamento sarà sufficiente fare clic su “Nuovo”: comincerà così il percorso così come sopra delineato.
Dati essenziali#
Nella prima scheda denominata dati essenziali si trovano i seguenti campi:
- «Attivo»
Grazie a questa funzionalità è possibile inserire attività di trattamento non ancora in produzione o temporaneamente non attive. Tale funzionalità è utile per inserire in via preventiva attributi ed elementi del trattamento ed, eventualmente, al fine di effettuare un’analisi d’impatto in una fase precedente all’implementazione del trattamento nella realtà organizzativa dell’ente.
- Stato del trattamento
Questa funzionalità permette di indicare lo stato del trattamento: Pubblicato o Bozza. I trattamenti in stato «Bozza» non compariranno all’interno dei diversi registri documentali generati tramite applicativo (reg. del titolare, reg. del responsabile, reg. di struttura, reg. parziale).
- Identificativo
Questo è un numero inserito in maniera automatica e progressiva al momento di creazione di un trattamento. Esso può essere modificato solo a seguito dell’inserimento del trattamento, in modalità “modifica”, laddove nel menu configurazione sia acceso l’apposito interruttore di modifica dell’ID.
Nome e descrizione dell’attività di trattamento
Finalità del trattamento
- Base giuridica che legittima l’attività di trattamento
Le basi giuridiche riportate sono quelle definite nel Regolamento 2016/679 agli articoli 6 e 9. Tuttavia, è anche possibile inserire dei riferimenti normativi personalizzati nel caso in cui la base giuridica fosse “l’esecuzione di un compito di pubblico interesse o l’adempimento di un obbligo legale”.
- Origine dei dati
È questa l’occasione per indicare se i dati vengono forniti in prima persona dall’interessato o/e se sono comunicati da altri soggetti. Se i dati vengono comunicati da terzi è possibile identificare la terza parte che comunica i dati. I soggetti terzi sono definiti nel menù SOGGETTI → TERZE PARTI. Questo campo serve a definire quale tipologia di informativa generare, se ex articolo 13 o ex articolo 14 del Regolamento.
- Modalità del trattamento
Tale fattore indica la modalità di conservazione dei dati personali.
- Categorie di dati
Le categorie di dati possono essere personalizzate dall’apposito menu ASSET → CATEGORIE DI DATI. Questi, come si è visto, sono connotati da tre livelli di dettaglio.
Facendo clic su “salva e procedi” l’attività di trattamento viene salvata ed è possibile proseguire nella sezione Soggetti.
Soggetti#
In questa interfaccia si possono definire tutti i soggetti che potrebbero intervenire in un’attività di trattamento.
- Le categorie di interessati.
Le categorie di interessati sono definite nella scheda Asset → Categorie di interessati.
- Il titolare e gli eventuali contitolari.
I Titolari sono definiti nella scheda Soggetti → Titolari
- I responsabili del trattamento.
I responsabili del trattamento possono essere inseriti nella scheda Soggetti → Terze parti.
Eventuali sub-responsabili del trattamento.
- Nel campo RPD è possibile inserire il Responsabile della protezione dei dati, quando individuato dal titolare o dal responsabile del trattamento.
Il DPO/RPD può essere inserito nella scheda Soggetti → RPD.
Degli utenti c.d. «Informati» del trattamento (ovverosia dei soggetti che possono accedere alla voce di registro senza tuttavia poterla modificare, a prescindere dal ruolo applicativo che ricoprono).
Gestione delle relazioni tra i soggetti#
Al fine di agevolare l’utente nella compilazione del registro, è possibile individuare un Titolare ed un RPD predefiniti, che andranno a comparire in automatico negli appositi campi della scheda soggetti ogniqualvolta si crea una nuova attività di trattamento. Per poter indicare il Titolare e il RPD predefiniti sarà sufficiente fare clic sulla voce di menu Configurazione ed indicarli sotto al campo «Soggetti predefiniti».
Facendo clic su “Successivo” si accede alla scheda Trasferimenti e comunicazioni.
Trasferimenti e comunicazioni#
Qualora il Titolare effettuasse diffusione, trasferimento e/o comunicazione dei dati a soggetti terzi che non siano responsabili del trattamento, dovrà indicarlo nella scheda «Trasferimenti e comunicazione». La differenza fra diffusione e trasferimento/comunicazione risiede nel numero (indefinito o definito) dei soggetti destinatari dei dati.
Se vi è diffusione e/o comunicazione dei dati, l’utente dovrà accendere il rispettivo interruttore. Accendendo l’interruttore della diffusione si aprirà un campo di testo libero dove è possibile, tra l’altro, indicare il mezzo utilizzato per la diffusione dei dati.
Viceversa, spostando il cursore posto accanto alla voce «Si effettua il trasferimento o la comunicazione dei dati», si aprirà il pulsante “Aggiungi nuovo”. Cliccando sullo stesso si potrà inserire quale sia il destinatario della comunicazione.
Il campo nel quale inserire gli estremi identificativi del destinatario è un campo di testo libero, ma è anche disponibile un campo strutturato che attinge dai soggetti inseriti in Terze parti. Il campo di testo libero, qualora il soggetto destinatario venga inserito attingendo dall’elenco TERZE PARTI, può comunque essere utilizzato per tenere traccia di ulteriori informazioni quali, ad esempio, quelle afferenti alla finalità del trasferimento.
In questa scheda è anche possibile definire se il destinatario sia stabilito all’interno o all’esterno dell’Unione Europea: in quest’ultimo caso sarà opportuno indicare una base legale che legittima l’esportazione di dati.
Una volta salvato il destinatario, per aggiungerne altri è sufficiente fare clic su “Aggiungi nuovo”
Facendo clic su “Successivo” si accede alla scheda Misure di sicurezza
Misure di sicurezza#
In questa interfaccia è possibile indicare le misure di sicurezza specifiche per quel trattamento. Le misure di sicurezza sugli asset compariranno una volta associati gli asset all’attività di trattamento, nel passaggio successivo.
Sarà pertanto possibile: 1. consultare e modificare le misure di sicurezza specifiche per quell’attività di trattamento; 2. consultare le misure di sicurezza trasversali a tutte le attività di trattamento che recano come contesto di applicazione «Misure per trattamenti»; 3. consultare le misure di sicurezza, specifiche e trasversali, associati agli asset correlati all’attività di trattamento.
Facendo clic su “Successivo” si accede all’ultima scheda.
Altre informazioni#
In questa scheda è possibile definire:
Periodo di conservazione dei dati: nel caso diverse categorie di dati abbiano periodi di conservazione non omogenei, si possono inserire più periodi di conservazione specificando i dettagli nel campo di testo libero sottostante. I periodi di conservazione sono definiti nella scheda Asset → Conservazione.
Applicativi tramite i quali vengono trattati i dati; è un passaggio essenziale per un’adeguata compilazione del Registro in quanto agli applicativi sono correlate le misure di sicurezza, per l’appunto, sugli applicativi.
Luoghi Fisici ovverosia i contesti fisici spaziali non informatici nei quali vengono trattati i dati. La possibilità di associare luoghi fisici ed attività di trattamento deve essere previamente attivata da Configurazione.
Componenti IT ovverosia i contesti informatici nei quali o tramite i quali vengono trattati i dati. La possibilità di associare componenti IT ed attività di trattamento deve essere previamente attivata da Configurazione.
Note a completamento di quanto censito nei precedenti step del trattamento.
Al termine dell’inserimento dei dati è sufficiente fare clic su “Successivo” per procedere con il passaggio Stima del rischio e pre assessment.
Stima del rischio e pre-assessment#
In questo passaggio è possibile effettuare delle considerazioni preliminari alla valutazione d’impatto:
Stima del rischio: consente di verificare la ricorrenza dei nove criteri di stima del rischio per i diritti e le libertà dell’interessato definiti dal Gruppo di lavoro Art. 29;
Pre assessment: indicazione dell’appartenenza del trattamento ad uno dei dodici di cui all’elenco pubblicato dal Garante ai sensi dell’art. 35 par 4 del Regolamento.
Le risposte ai questionari vengono confermate cliccando sui bottoni SI/NO. È possibile annullare una risposta (tornando ad una stato di selezione nulla) cliccando nuovamente sul bottone SI/NO.
L’obbligatorietà della valutazione insorge se: il trattamento appartiene a uno dei dodici trattamenti e/o se il trattamento può presentare un rischio elevato per i diritti e le libertà degli interessati (evenienza che si avvera al ricorrere di almeno due dei criteri WP29).
Stima del rischio#
In questo passaggio è possibile indicare la ricorrenza dei criteri del WP 29 nel trattamento censito cliccando sui bottoni SI/NO. In base alle risposte fornite nel questionario, il sistema suggerisce un livello di rischio potenziale per i diritti e le libertà degli interessati. Al ricorrere di uno dei criteri il livello di rischio suggerito sarà MEDIO, al ricorrere di due criteri il livello di rischio suggerito sarà invece ALTO.
In calce al questionario è presente una tabella di riepilogo dei criteri ricorrenti, la stima del rischio calcolata dal sistema, la stima del rischio libera che l’utente può fissare in deroga di quella suggerita e un campo note per riportare specifiche considerazioni sulla stima del rischio.
Pre-assessment#
In questo passaggio è possibile compilare il c.d. questionario di pre-assessment. Il questionario include le «Attività di trattamento soggette a valutazione d’impatto obbligatoria», pubblicate con provvedimento del Garante del 2018 ai sensi dell’art. 35 comma quarto del Reg. UE 2016/679. Qui è opportuno indicare tramite il pulsante SI/NO le circostanze specifiche che afferiscono all’attività di trattamento per cui eventualmente si andrà a redigere una valutazione d’impatto. Anche in questo caso, in calce al questionario è presente una tabella di riepilogo dei criteri ricorrenti, oltre all’indicazione sulla necessità di sottoporre il trattamento a Valutazione d’Impatto.
Al termine della compilazione dei questionari viene proposta una tabella di riepilogo, con indicato l’esito definitivo:
DPIA OBBLIGATORIA COME DEFINITO NEL PROVVEDIMENTO DELL’AUTORITÀ GARANTE PER LA PROTEZIONE DEI DATI PERSONALI DEL 2018
oppure
DPIA NON OBBLIGATORIA COME DEFINITO NEL PROVVEDIMENTO DELL’AUTORITÀ GARANTE PER LA PROTEZIONE DEI DATI PERSONALI DEL 2018
Una volta terminata la compilazione dei questionari, una tabella riassuntiva ripropone l’esito di ciascuno. L’area di testo “Considerazioni finali” consente di riportare ulteriori commenti e considerazioni.
Nel caso di DPIA obbligatoria, è possibile procedere con la creazione della relativa Valutazione d’Impatto cliccando su “Nuova Valutazione d’impatto”: in questo modo sarà aperto un nuovo progetto di Valutazione nella sezione Valutazione d’impatto
Qualora dovesse esservi già a corredo del trattamento oggetto di analisi un progetto di Valutazione d’Impatto, ne verrà data evidenza tramite un link in calce alla pagina.
Al termine del completamento dei questionari è sufficiente fare clic su Fine per salvare l’attività di trattamento e tornare al Registro delle attività di trattamento.
Duplicare un trattamento#
Per duplicare un’attività di trattamento, è sufficiente selezionare il trattamento dall’interfaccia del Registro e fare clic sul tasto «duplica» posto nella finestra di dettaglio del trattamento.
Sarà poi necessario confermare la propria intenzione di copiare il trattamento facendo clic su «Conferma» nella finestra di dialogo che compare. Il nuovo trattamento verrà inserito con il nome di «Copia di [NOME_TRATTAMENTO]»: tutte le altre informazioni ad essa correlate, incluse le unità saranno identiche.
Correlazione Trattamento-Unità#
La correlazione dei trattamenti con le unità consiste in uno snodo essenziale al fine di effettuare una gestione dei trattamenti in maniera decentrata, raccogliendo quindi le informazioni afferenti ai singoli trattamenti dal contributo dei soggetti posti in posizione apicale nelle diverse unità organizzative.
Un trattamento può essere pertanto correlato ad una o più unità. Per correlare un trattamento a delle unità occorre selezionare il Registro dei trattamenti dal Menu principale, selezionare un trattamento, espandere la quartultima voce della sezione Dettagli del trattamento denominata Unità associate posta sul lato destro dell’interfaccia e fare clic su «modifica»:
Un profilo rilevante afferente alla distribuzione del trattamento su più unità (leggi gestione dei trattamenti condivisi) è quello riguardante la possibilità di indicare una o più strutture c.d. Owner. Per attivare questa funzionalità, si faccia previo riferimento a Configurazione.
Qualora fosse preclusa la possibilità di modificare i trattamenti condivisi in Configurazione. è pertanto possibile definire talune unità organizzative nel contesto delle quali quel trattamento può invece essere modificato. Per potere eleggere una o più unità owner, è sufficiente cliccare sul quadratino a fianco all’elenco delle unità, una volta cliccato su di un trattamento inserito a registro.
N.B. È possibile definire le unità owner solo con riferimento a quelle di appartenenza (l’utente amministratore potrà sempre aggiungere o togliere unità owner). Il procedimento di rimozione dell’ownership della propria unità è irreversibile nel senso che, a seguito di tale operazione, si perdono contestualmente i poteri di modificare quel trattamento.
Informativa#
È possibile creare delle informative su un trattamento selezionato cliccando sul bottone «Crea» all’interno della relativa finestra di dettaglio. Ogni informativa così generata, oltre a qualsiasi altra informativa collegata al trattamento selezionato, sarà mostrata in questa sezione, con inoltre la possibilità di scaricare il relativo documento generato, oltre che di accedere in modifica al rispettivo elemento direttamente dal bottone «Modifica» a fianco di ogni informativa prospettata.
Valutazione d’Impatto#
Da questa finestra di dettaglio è possibile visualizzare un breve riassunto delle valutazioni d’impatto create per il trattamento del caso. Per ciascuna viene dato conto dello stato, del rischio residuo globale e dei report generati. Questi ultimi possono essere scaricati direttamente dalla relativa card. È infine possibile cliccare sul bottone «Modifica» per essere rimandati direttamente al progetto di DPIA per editarne le sezioni.
Timeline#
La funzionalità Timeline permette di verificare la cronologia delle modifiche effettuate ad una attività di trattamento.
Per ogni modifica viene illustrato:
data ed ora della modifica;
nome e cognome dell’utente che ha effettuato la modifica;
sezione del registro specificamente modificata.
Export del singolo trattamento in foglio di calcolo o PDF#
Per ciascun evento registrato nella Timeline è inoltre possibile effettuare un export in PDF o foglio di calcolo contenente le informazioni relative all’attività di trattamento nonché le relative modifiche.
Export del singolo trattamento e generazione del registro parziale dei trattamenti#
Un singolo trattamento (o anche più d’uno) può essere altresì esportato in formato pdf o docx, tramite la funzionalità di generazione del registro parziale dei trattamenti. A tal fine sarà sufficiente cliccare sul singolo trattamento e successivamente su «Genera Registro». Nell’interfaccia che vi si prospetterà compariranno tutti i trattamenti che sono stati selezionati.
Generazione del registro di unità#
È possibile esportare il registro di untià in formato pdf o docx di una o più strutture organizzative contemporaneamente.
Attraverso la modale si possono specificare le unità per cui generare il registro scegliendole dall’apposito menù a tendina. Navigando l’elenco sarà sufficiente cliccare in corrispondenza dell’unità di interesse per aggiungerla. Nel caso di unità annidate, la freccia posta a destra della struttura gerarchicamente superiore consente di esplodere l’elenco di quelle da essa dipendenti. Il registro prodotto includerà tutti i trattamenti associati alle unità spuntate.
Ricerca avanzata#
È possibile effettuare delle ricerche avanzate all’interno dei registri dei trattamenti, tramite apposito pulsante presente nella parte sommitale di interfaccia, denominato per l’appunto «Ricerca avanzata».
Nella finestra di ricerca è possibile filtrare la tabella sulla scorta di alcuni parametri tra cui:
una finalità;
un Responsabile del trattamento;
un Titolare (o contitolare) del trattamento;
delle categorie di dati;
l’accadimento di episodi di violazioni di dati (data breach);
la presenza di Valutazione d’impatto;
lo stato di completamento del trattamento;
il livello di rischio;
la tipologia di dati coinvolti;
termini inseriti nel campo note;
