Excel è probabilmente lo strumento più utilizzato per la gestione dei registri di trattamento nelle aziende tedesche. Ciò è comprensibile, ma comporta rischi concreti che vengono spesso sottovalutati. Infatti, ai sensi dell’articolo 30 GDPR sono Persone responsabili e impone ai responsabili del trattamento di documentare quali dati personali trattano, per quale finalità, a quali destinatari e con quali misure di protezione. Spieghiamo perché Excel può soddisfare tali requisiti solo in parte e quali requisiti dovrebbe soddisfare uno strumento VVT.
Registro delle attività di trattamento: cosa prevede concretamente l’art. 30 del GDPR
I requisiti sostanziali di cui all'art. 30 GDPR sono chiaramente definiti: Il Elenco delle attività di trattamento (VVT) deve contenere, tra l’altro, il nome e i dati di contatto del titolare del trattamento, le finalità del trattamento, le categorie di interessati e di dati, le categorie di destinatari, i trasferimenti verso paesi terzi e i termini di cancellazione previsti.
Ai responsabili del trattamento si applicano, ai sensi dell’art. 30, comma 2 GDPR requisiti propri, leggermente diversi, tra cui anche una descrizione generale delle misure di protezione tecniche e organizzative.
Art. 30, comma 5 GDPR prevede un'eccezione per le imprese con meno di 250 dipendenti. Tale eccezione non si applica tuttavia se la Elaborazione comporti un rischio per i diritti e le libertà degli interessati, non sia solo occasionale o riguardi categorie particolari di dati personali ai sensi dell’articolo 9 o dati penali ai sensi dell’articolo 10. Nella pratica, la maggior parte delle imprese soddisfa almeno uno di questi criteri. Pertanto, l’obbligo di VVT si applica sostanzialmente a tutte le imprese.
Cosa verificano le autorità di vigilanza in materia di VVT
Nel corso delle verifiche, le autorità di controllo non si limitano a accertare l’esistenza di una VVT. Verificano inoltre se essa sia completa, se corrisponda allo stato effettivo delle attività di trattamento e se le modifiche siano state documentate in modo tracciabile.
La capacità di dimostrare, su richiesta, che un determinato processo fosse correttamente documentato in un determinato momento è tutt’altro che un dettaglio teorico. Essa assume rilevanza pratica in caso di violazioni dei dati, reclami da parte degli interessati o verifiche mirate. Un file Excel privo di cronologia delle versioni, di norma, non fornisce tale prova.
Quattro punti deboli strutturali di Excel come strumento VVT
Un foglio di calcolo Excel può riprodurre i campi relativi ai contenuti di un VVT. Ciò che però non è in grado di garantire sono i requisiti procedurali e organizzativi che, nella pratica, un registro a prova di revisione richiede.
Mancanza di controllo delle versioni. Per impostazione predefinita, Excel salva solo lo stato attuale. Chi ha modificato quale dato e quando? Cosa era contenuto nel file al momento di un determinato evento? Non è possibile rispondere in modo affidabile a queste domande con una semplice tabella, a meno che non si ricorra a una complessa gestione manuale delle versioni, che a sua volta è soggetta a errori.
Mancanza di granularità Controllo degli accessi ai dati. Art. 5, comma 1, lett. f) GDPR in combinato disposto con l'art. 32 GDPR obbligato Persone responsabili, mediante adeguati misure tecniche e organizzative garantire un livello di protezione adeguato. In pratica, ciò significa che chi è autorizzato a leggere il VVT non deve necessariamente essere autorizzato a modificarlo. Inoltre, determinati contenuti non dovrebbero essere visibili a tutti i collaboratori. Excel non offre una soluzione strutturale sufficientemente a prova di revisione a tal fine.
Mancanza di collegamento con i processi correlati. Un VVT non è un elemento a sé stante. È il punto di partenza per le valutazioni d’impatto sulla protezione dei dati, la base per i contratti di trattamento dei dati e il riferimento per le procedure di cancellazione. In un file Excel, queste interrelazioni vengono rappresentate, nel migliore dei casi, manualmente tramite rimandi incrociati – e sono quindi fragili.
Scalabilità limitata. Le aziende con più società, strutture decentralizzate o responsabili della protezione dei dati esterni raggiungono rapidamente i limiti organizzativi con Excel. Chi gestisce quale file? Come vengono consolidate le modifiche? Come si garantisce che tutte le parti coinvolte lavorino con la stessa versione aggiornata?
Le obiezioni più comuni nei confronti di uno strumento VVT e cosa si nasconde dietro di esse
„Non disponiamo delle risorse necessarie per un software specializzato.”
La questione rilevante è quali risorse vengano impegnate in caso di emergenza: le ore necessarie per la ricostruzione manuale della cronologia delle modifiche, l’impegno richiesto dal coordinamento interno in caso di un Audit oppure il supporto esterno per la Documentazione uno Violazione dei dati sono di norma molto più costose rispetto all'utilizzo di uno strumento adeguato.
„Il nostro VVT è di dimensioni contenute.”
Anche i registri di lavorazione di dimensioni più ridotte traggono vantaggio da una struttura Documentazione. Spesso le attività di elaborazione crescono più rapidamente dell'aggiornamento del registro.
„Ce la caviamo.”
Questo è vero fino a un certo punto. Finché non c'è Audit si svolge, nessuna Violazione dei dati Quando si verifica una violazione e il responsabile della protezione dei dati competente colma le lacune con un impegno personale supplementare, il problema rimane invisibile. Ciò non significa però che non esista.
Cinque requisiti per uno strumento VVT conforme ai principi di revisione contabile
Uno strumento VVT in grado di soddisfare le esigenze pratiche dovrebbe offrire almeno le seguenti funzioni:
- Cronologia delle modifiche conforme ai requisiti di revisione: Ogni modifica viene registrata con data e ora e nome dell'utente.
- Diritti di accesso basati sui ruoli: I diritti di lettura e scrittura possono essere assegnati in modo differenziato.
- Multitenancy: È possibile rappresentare più società o unità organizzative in un'unica interfaccia.
- Collegamento con processi correlati: DSFA, AVV e i piani di estinzione sono direttamente collegati alle relative attività di trattamento.
- Possibilità di esportazione: Su richiesta, l'elenco può essere fornito in forma strutturata e completa, senza che sia necessaria alcuna elaborazione manuale.
Questi requisiti non devono essere intesi come una lista di desideri, bensì come requisiti funzionali minimi affinché un VVT risulti affidabile in caso di verifica.
Cosa realizza concretamente Ailance RoPA
Ailance RoPA è stato sviluppato con l’obiettivo di soddisfare proprio questi requisiti a livello strutturale – non però come sistema rigido, bensì come soluzione personalizzabile. È stato realizzato in stretta collaborazione con i responsabili della protezione dei dati di diversi settori e aziende di varie dimensioni. Lo strumento offre una soluzione a prova di revisione Documentazione, un controllo granulare degli accessi, Multitenancy e un collegamento diretto con i processi pertinenti in materia di protezione dei dati.
In questo modo, i campi, i flussi di lavoro e le interfacce possono essere adattati completamente alle esigenze individuali, anziché dover adattare i processi a un sistema prestabilito.
Conclusione: Excel è uno strumento potente per molte attività. Come base per un GDPR-conforme Elenco di elaborazione gli mancano tuttavia le caratteristiche strutturali necessarie per garantire la sicurezza in caso di revisione, Controllo degli accessi di sistema e la scalabilità sono fondamentali. La questione centrale è per quanto tempo un’azienda sia disposta ad assumersi il rischio di revisione che ne deriva.
Domande frequenti su Ailance RoPA
Excel è sufficiente per redigere un registro delle attività di trattamento ai sensi dell’articolo 30 del GDPR?
Excel può riprodurre i campi relativi ai contenuti di un registro delle attività di trattamento, ma è adatto solo in misura limitata alla creazione di un registro delle attività di trattamento che sia sostenibile nel lungo periodo. Art. 30 GDPR richiede non solo un elenco delle attività di trattamento, ma anche un registro comprensibile, aggiornato e verificabile Documentazione. È proprio qui che Excel incontra delle difficoltà nella gestione delle versioni, Controllo degli accessi ai dati, i registri delle modifiche e i collegamenti tra i processi raggiungono rapidamente i propri limiti.
Cosa deve contenere un registro dei trattamenti ai sensi dell’articolo 30 del GDPR?
A Elenco delle attività di trattamento deve, tra l'altro, Persone responsabili, ai fini della Elaborazione, documentare le categorie di interessati, le categorie di dati, i destinatari, i trasferimenti verso paesi terzi, i termini di cancellazione e le misure tecniche e organizzative. Per i responsabili del trattamento valgono requisiti specifici. È fondamentale che il VVT rifletta lo stato effettivo del trattamento dei dati all’interno dell’azienda.
Perché la gestione delle versioni è così importante nel VVT?
Il controllo delle versioni è importante perché, in caso di verifica, le aziende devono poter risalire a quando è stata documentata una determinata attività di trattamento e chi ha apportato le modifiche. In caso di violazioni della protezione dei dati, reclami o audit, lo stato attuale spesso non è sufficiente. Un semplice file Excel, di norma, non fornisce in modo affidabile questa cronologia delle modifiche.
Quali sono i punti deboli di Excel come strumento VVT?
I principali punti deboli di Excel come strumento VVT sono la mancanza di una cronologia delle modifiche a prova di revisione e le limitazioni Controllo degli accessi ai dati, l'assenza di definizioni dei ruoli e dei diritti, il coordinamento manuale tra i reparti specialistici e la mancanza di un collegamento diretto con DSFA, AVV, i piani antincendio e le misure di protezione dei dati. Di conseguenza, il VVT può diventare rapidamente obsoleto o non essere sufficientemente attendibile in caso di verifica.
Quando le aziende dovrebbero passare da Excel a uno strumento VVT professionale?
Le aziende dovrebbero passare a uno strumento VVT professionale al più tardi quando sono coinvolti più reparti, società, sedi o responsabili esterni della protezione dei dati. Inoltre, in presenza di numerose attività di trattamento, modifiche regolari, audit, violazioni dei dati, processi rilevanti ai fini della valutazione d’impatto sulla protezione dei dati (DSFA) o strutture complesse di fornitori di servizi, Excel spesso non è più sufficiente.
Quale software supporta la tenuta di un registro delle operazioni conforme ai requisiti di auditabilità ai sensi dell’articolo 30 del GDPR?
Per un sistema conforme ai requisiti di revisione Elenco di elaborazione Le aziende dovrebbero utilizzare un software che integri in modo strutturato le attività di trattamento, le responsabilità, i ruoli, i diritti di accesso, la cronologia delle modifiche, i termini di cancellazione, i riferimenti alla valutazione d’impatto sulla protezione dei dati (DSFA), i fornitori di servizi e la documentazione. Ailance RoPA supporta le aziende non solo nella documentazione del VVT, ma anche nella sua gestione come processo continuo di protezione dei dati ai sensi dell’art. 30 GDPR da controllare.
German 
English 
Italian 
French