ROPA Full Form: Record of Processing Activities

Significato di ROPA: che cos'è un registro delle attività di trattamento?

ROPA è l'acronimo di Record of Processing Activities, ovvero registro delle attività di trattamento. È il documento interno che le organizzazioni sono tenute a mantenere ai sensi dell'articolo 30 del GDPR, in cui sono elencate tutte le attività di trattamento che riguardano dati personali. È conservato internamente; le autorità di controllo possono richiederlo in qualsiasi momento.

ROPA e termini correlati

Termine	Forma estesa	Significato
ROPA	Record of Processing Activities	Il registro delle attività di trattamento previsto dall'articolo 30 del GDPR, tenuto da titolari e responsabili del trattamento.
Articolo 30	GDPR Art. 30	La disposizione che rende obbligatorio il registro e ne stabilisce il contenuto.
DPIA	Data Protection Impact Assessment	Una valutazione dei rischi più approfondita e separata, richiesta per i trattamenti ad alto rischio ai sensi dell'articolo 35.
DPO	Data Protection Officer	La persona incaricata di fornire consulenza sulla conformità al GDPR, incluso il registro, ai sensi degli articoli 37-39.

Chi deve tenere un registro?

Titolari del trattamento

Il titolare del trattamento deve mantenere un registro di tutte le attività di trattamento che effettua (articolo 30, paragrafo 1).

Responsabili del trattamento

Il responsabile del trattamento deve mantenere un registro delle categorie di attività di trattamento svolte per conto dei titolari (articolo 30, paragrafo 2).

L'eccezione per le piccole organizzazioni

L'articolo 30, paragrafo 5, esonera le imprese o le organizzazioni con meno di 250 persone dall'obbligo, ma solo se tutte e tre le condizioni seguenti sono soddisfatte:

1. Il trattamento non è suscettibile di presentare un rischio per i diritti e le libertà degli interessati
2. Il trattamento è occasionale (non è svolto regolarmente)
3. Il trattamento non comprende categorie particolari di dati ai sensi dell'articolo 9, paragrafo 1, né dati relativi a condanne penali ai sensi dell'articolo 10

In pratica, quasi tutte le organizzazioni trattano regolarmente dati di dipendenti e clienti. Ciò significa che la seconda condizione non è soddisfatta e l'eccezione non si applica. Per le organizzazioni che trattano anche dati sanitari dei dipendenti o dati sull'appartenenza sindacale, viene meno anche la terza condizione.

Cosa deve contenere il registro di un titolare del trattamento?

L'articolo 30, paragrafo 1, stabilisce i campi obbligatori del registro di un titolare:

Campo	Note
Nome e dati di contatto del titolare e degli eventuali contitolari	Includere i dati di contatto del DPO ove applicabile
Finalità del trattamento	Perché i dati vengono trattati
Categorie di interessati	Ad esempio: clienti, dipendenti, visitatori del sito web
Categorie di dati personali	Ad esempio: dati di contatto, dati finanziari, dati sanitari
Categorie di destinatari	Compresi i destinatari in paesi terzi o organizzazioni internazionali
Trasferimenti verso paesi terzi o organizzazioni internazionali	Identificare il paese e il meccanismo di trasferimento (decisione di adeguatezza, SCC, BCR)
Termini di cancellazione	Ove possibile, i termini previsti per la cancellazione delle diverse categorie di dati
Descrizione delle misure di sicurezza tecniche e organizzative	Ove possibile, una descrizione generale

La locuzione "ove possibile" relativa ai termini di cancellazione (articolo 30, paragrafo 1, lettera f) e alle misure di sicurezza (articolo 30, paragrafo 1, lettera g) riflette il fatto che questi elementi non sono sempre definibili in termini precisi. Annotali con la massima specificità consentita dalle informazioni disponibili.

Cosa deve contenere il registro di un responsabile del trattamento?

L'articolo 30, paragrafo 2, stabilisce i campi obbligatori del registro di un responsabile del trattamento:

Campo	Note
Nome e dati di contatto del responsabile del trattamento e di ogni titolare per conto del quale agisce	Includere i dati di contatto del DPO ove applicabile
Categorie dei trattamenti effettuati per conto di ogni titolare	La natura del trattamento, non il dettaglio completo dei trattamenti di ciascun titolare
Trasferimenti verso paesi terzi o organizzazioni internazionali	Identificare il paese e il meccanismo di trasferimento
Descrizione delle misure di sicurezza tecniche e organizzative	Ove possibile, una descrizione generale

Cosa costituisce un "trattamento"?

L'articolo 4, paragrafo 2, del GDPR definisce il trattamento in modo ampio. Comprende qualsiasi operazione effettuata su dati personali, con o senza mezzi automatizzati, tra cui:

• Raccolta, registrazione, organizzazione, strutturazione e conservazione
• Adattamento o modifica
• Estrazione, consultazione e utilizzo
• Comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione
• Raffronto o interconnessione
• Limitazione, cancellazione o distruzione

Qualsiasi di queste operazioni su dati personali costituisce un trattamento e dovrebbe essere considerata per l'inclusione nel registro.

Come strutturare un registro

Un registro è generalmente strutturato come un elenco con una riga o voce per attività di trattamento. Un'organizzazione può avere decine di attività distinte: trattamento HR, gestione clienti, marketing, analisi web, rilevamento frodi e altre ancora. Ognuna dovrebbe avere una voce separata.

Per ogni voce, registra i campi previsti dall'articolo 30. Se la tua organizzazione agisce sia come titolare che come responsabile del trattamento (ad esempio, tratta i dati dei propri dipendenti come titolare e i dati dei propri clienti come responsabile), tieni i due registri separati.

Il registro può essere tenuto come foglio di calcolo, database o software dedicato alla gestione della privacy. Il formato non è prescritto, ma deve essere in forma scritta, che include la forma elettronica (articolo 30, paragrafo 3).

Trasferimenti al di fuori del SEE e del Regno Unito

Se trasferisci dati personali verso un paese al di fuori dello Spazio economico europeo (SEE), il registro del titolare deve identificare il paese o l'organizzazione internazionale e il meccanismo di trasferimento su cui ti basi: una decisione di adeguatezza, clausole contrattuali standard (SCC), norme vincolanti d'impresa (BCR) o un'altra deroga consentita.

In virtù del GDPR britannico (che si applica separatamente alle organizzazioni stabilite nel Regno Unito o a quelle che trattano dati di residenti nel Regno Unito dopo la Brexit), lo stesso obbligo si applica ai trasferimenti al di fuori del Regno Unito, utilizzando gli equivalenti britannici: i regolamenti di adeguatezza del Regno Unito, l'International Data Transfer Agreement (IDTA) o l'UK Addendum.

Registro e DPIA

Un registro non equivale a una DPIA. Il registro è un inventario generale di tutte le attività di trattamento; una DPIA è una valutazione dei rischi più approfondita, effettuata prima dell'avvio di trattamenti ad alto rischio. Il registro è un punto di partenza utile per identificare le attività che potrebbero richiedere una DPIA: qualsiasi voce che riguardi un trattamento su larga scala di dati sensibili, un monitoraggio sistematico o una profilazione con effetti significativi richiederà probabilmente una DPIA.

Mantenere il registro aggiornato

L'articolo 30 impone ai titolari e ai responsabili del trattamento di mettere il registro a disposizione dell'autorità di controllo su richiesta. Il registro dovrebbe essere aggiornato:

• Quando inizia una nuova attività di trattamento
• Quando un'attività esistente cambia (nuovi tipi di dati, nuovi fornitori, nuove finalità, nuovi trasferimenti)
• Quando un fornitore o un sistema viene rimosso
• Periodicamente come revisione ordinaria, almeno una volta all'anno

Sanzioni per la mancata tenuta del registro

Il mancato mantenimento del registro o la mancata messa a disposizione dello stesso all'autorità di controllo rientra nella fascia inferiore delle sanzioni del GDPR: fino a 10 milioni di euro o al 2% del fatturato mondiale annuo totale, se superiore. Le autorità di controllo richiedono regolarmente il registro durante le indagini. Un registro mancante o inadeguato costituisce di per sé una violazione dell'articolo 30, indipendentemente da qualsiasi altra violazione in esame.

Requisiti del registro in altre normative sulla privacy

Normativa	Equivalente	Note
GDPR dell'UE	ROPA (articolo 30)	Obbligatorio per titolari e responsabili del trattamento; l'eccezione per le piccole organizzazioni raramente si applica
GDPR del Regno Unito	ROPA (articolo 30 UK GDPR)	Gli stessi obblighi si applicano alle organizzazioni che trattano dati di residenti nel Regno Unito
LGPD brasiliana	Registro delle attività di trattamento	Obbligo simile; le linee guida dell'ANPD indicano cosa deve essere incluso
PIPL cinese	Registrazioni delle valutazioni d'impatto sul trattamento	L'articolo 55 richiede valutazioni d'impatto sulla protezione delle informazioni personali con registrazioni conservate per almeno tre anni; vincolate a specifici trattamenti ad alto rischio, non un registro autonomo di tipo ROPA
Legge DPDP indiana	Nessun equivalente diretto	Si applicano obblighi generali di responsabilità; nessun requisito di registro completo di tipo ROPA

Come UniConsent supporta il tuo registro

Per il tracciamento su siti web e app, il registro deve riflettere quali cookie, tracker e fornitori sono attivi e quali dati raccolgono. UniConsent offre:

• Lo scanner dei cookie individua cookie, pixel e SDK sul tuo sito con categorie e durate, coprendo i dati necessari per le voci del registro relative all'analisi web e alla pubblicità
• Il banner del consenso blocca i tracker non autorizzati prima che vengano attivati, in modo che i flussi di dati descritti nel registro corrispondano a ciò che avviene effettivamente sul sito
• La lista dei fornitori mostra quali terze parti ricevono dati tramite la configurazione del consenso, coprendo il campo "categorie di destinatari" del registro
• Le registrazioni del consenso forniscono il registro di controllo che dimostra la responsabilità accanto al ROPA

Domande frequenti

Qual è la forma estesa di ROPA?

ROPA sta per Record of Processing Activities, ovvero registro delle attività di trattamento. È il registro richiesto dall'articolo 30 del GDPR che documenta ogni attività di trattamento di un'organizzazione.

Il registro è obbligatorio per tutte le organizzazioni?

L'articolo 30, paragrafo 5, prevede un'eccezione limitata per le organizzazioni con meno di 250 persone, ma si applica solo se tutte e tre le condizioni sono soddisfatte: il trattamento non è suscettibile di presentare un rischio per gli interessati, è occasionale e non comprende dati sensibili né dati relativi a condanne penali. La maggior parte delle organizzazioni tratta dati di dipendenti o clienti in modo continuativo, quindi l'eccezione raramente si applica.

Qual è la differenza tra un registro e una DPIA?

Un registro è un inventario di tutte le attività di trattamento, richiesto dall'articolo 30. Una DPIA è una valutazione dei rischi più approfondita, richiesta solo per i trattamenti ad alto rischio ai sensi dell'articolo 35. Il registro copre tutto; una DPIA si concentra su attività specifiche che soddisfano i criteri di alto rischio.

Chi può richiedere di consultare il registro?

L'autorità di controllo competente per la tua giurisdizione può richiedere il registro in qualsiasi momento. La pubblicazione non è obbligatoria; devi metterlo a disposizione dell'autorità su richiesta.

Il registro deve includere tutti gli interessati?

Sì. Il registro del titolare deve elencare le categorie di interessati per ogni attività di trattamento. Ciò comprende dipendenti, clienti, visitatori del sito web, iscritti alla newsletter e qualsiasi altro gruppo i cui dati personali vengono trattati.

Con quale frequenza dovrebbe essere aggiornato il registro?

Ogni volta che un'attività di trattamento cambia: nuove finalità, nuovi tipi di dati, nuovi fornitori, nuovi trasferimenti o la fine di un'attività. Come minimo, rivedi l'intero registro almeno una volta all'anno.

Approfondimenti

• EUR-Lex: articolo 30 del GDPR
• ICO: Documentation and records of processing activities
• CNIL: Le registre des activités de traitement
• UniConsent: Guida alla conformità GDPR
• UniConsent: Significato di DPIA
• UniConsent: Significato di DPO