La deroga che quasi nessuno può usare
L'articolo 30 del regolamento europeo prevede che l'obbligo di tenere il registro non si applichi alle organizzazioni con meno di 250 dipendenti. È la frase che circola, e si ferma lì. Il periodo continua però con tre eccezioni, e ne basta una per far tornare l'obbligo.
| Eccezione | Cosa significa in azienda | Quanto è frequente |
|---|---|---|
| Il trattamento può presentare un rischio per i diritti delle persone | Videosorveglianza, geolocalizzazione, profilazione dei clienti | Comune |
| Il trattamento non è occasionale | Gestire i dipendenti, i clienti, i fornitori: attività continuative | Praticamente sempre |
| Riguarda categorie particolari di dati o dati relativi a condanne penali | Certificati medici, dati sindacali, appartenenze, certificati del casellario | Frequente: basta un certificato di malattia archiviato |
La riga di mezzo è quella decisiva. Un'azienda con dei dipendenti tratta dati in modo continuativo per definizione: non c'è nulla di occasionale in una busta paga mensile. È il motivo per cui, nella pratica, la deroga non copre quasi nessuno.
Cosa deve contenere davvero
Molto meno di quanto facciano credere i modelli da quaranta pagine. Il contenuto minimo è definito e sta in una tabella: una riga per ogni attività, non per ogni dato.
- Chi siete: denominazione e contatti del titolare, e del responsabile della protezione dei dati se lo avete nominato.
- Perché trattate quei dati: la finalità, scritta in italiano corrente.
- Di chi sono e quali sono: categorie di interessati e categorie di dati.
- A chi li comunicate: consulenti, fornitori di servizi informatici, spedizionieri, enti.
- Se vanno fuori dall'Unione europea, e con quale garanzia.
- Per quanto li tenete: i termini di conservazione, o i criteri per determinarli.
- Quali misure di sicurezza applicate, in descrizione generale.
| Voce | Esempio |
|---|---|
| Attività | Gestione del rapporto di lavoro |
| Finalità | Adempimenti contrattuali, retributivi, previdenziali e fiscali |
| Interessati | Dipendenti e collaboratori |
| Categorie di dati | Anagrafici, contatto, retributivi, presenze; certificati di malattia |
| Destinatari | Consulente del lavoro, istituti previdenziali, banca per i bonifici |
| Conservazione | Durata del rapporto e successivamente secondo i termini di legge |
| Misure | Accesso limitato all'amministrazione, archivio cartaceo chiuso a chiave, backup cifrato |
Una piccola azienda ha tipicamente fra sei e dieci righe così: personale, clienti, fornitori, marketing, videosorveglianza se c'è, sito web, candidature. Non serve altro.
Come farlo in un pomeriggio
- 01
Elencate i software che usate
Gestionale, posta, CRM, strumento di newsletter, portale delle presenze, videosorveglianza, sito. Ogni sistema che contiene nomi di persone è una o più righe del registro. Partire dai sistemi invece che dalle teorie è il modo più rapido per non dimenticare niente.
- 02
Per ciascuno, rispondete a tre domande
Di chi sono questi dati, perché li abbiamo, chi altro li vede. Le risposte le sapete già: il lavoro è scriverle.
- 03
Decidete i tempi di conservazione
È la parte che richiede una decisione vera, e la più utile. Per la contabilità i termini li dà la legge; per un CV ricevuto e non selezionato, per uno storico di ticket, per una newsletter, la scelta è vostra e va motivata.
- 04
Aggiungete chi tocca i vostri dati dall'esterno
Il consulente del lavoro, il commercialista, chi vi gestisce il sito e i server. Ciascuno di questi dovrebbe avere una nomina scritta a responsabile del trattamento: il registro è il momento in cui si scopre quali mancano.