L'impresa tiene un registro delle attività di trattamento?

Registro delle attività di trattamento: spesso richiesto, diversamente documentato

Se l'impresa tiene un registro delle attività di trattamento varia da azienda a azienda e dipende dalla situazione effettiva nel fascicolo della catena: a volte questa è già stabilita come risposta da un precedente questionario, a volte manca ancora il documento probante. Si tratta di una domanda standard che ricorre nei questionari sulla privacy e sulla protezione dei dati, solitamente nello stesso blocco delle domande sui contratti di trattamento dei dati e sulle violazioni di dati. Il cliente che pone questa domanda vuole solitamente sapere se esiste un documento — non quanto sia completo.

Se la risposta è "sì", deve essere accompagnata da un documento probante concreto: il registro stesso, o un estratto dello stesso con i trattamenti rilevanti per il rapporto con quel cliente. Se manca quel documento, allora "no" o "sconosciuto" è la risposta onesta — rivendicare un registro senza che il sistema ne trovi uno comporta più domande da parte del cliente durante un controllo campionario di quanto non ne comporterebbe un no. Questa domanda si trova spesso nello stesso elenco della domanda se l'impresa conclude contratti di trattamento dei dati con i suoi fornitori di servizi, e le due risposte devono essere reciprocamente coerenti: un registro senza contratti di trattamento dei dati, o viceversa, risulta evidente a chi legge l'elenco.

Perché questa domanda non segue sostanzialmente dalla CSRD

La fonte fornita in questo fascicolo è la Direttiva (UE) 2022/2464 (CSRD), che riguarda la rendicontazione della sostenibilità e non un registro delle attività di trattamento — questo concetto deriva dal RGPD, non dalla CSRD. Non esiste quindi un articolo di questa direttiva che serva da fondamento per questa domanda; la risposta deve provenire dal fascicolo della catena dell'impresa stessa, non da questa fonte. Chi riceve questa domanda insieme ad altre domande sulla privacy riconosce spesso la stessa provenienza di la domanda sul nome statutario dell'impresa: un blocco fisso di dati di base che viene richiesto da quasi ogni portale cliente, indipendentemente dal fatto che la normativa sottostante sia effettivamente vincolante per questa impresa.