Il Registro, previsto dal Regolamento Europeo, è un documento che contiene le principali informazioni sulle attività di trattamento dei dati personali e rappresenta un quadro delle attività svolte all’interno dell’organizzazione o dello studio professionale indispensabile per la valutazione del rischio.

Il Registro è obbligatorio per tutte le organizzazioni che abbiano almeno 250 dipendenti, ma lo è anche per qualunque Titolare che tratti dati particolari come quelli relativi alla salute, indipendentemente dal numero dei dipendenti, per cui in sostanza è obbligatorio per i medici.

L’Autorità Garante per la Privacy ha messo a disposizione sul proprio sito internet un modello semplificato del Registro dei Trattamenti da utilizzare per le PMI – piccole e medie imprese e per i professionisti. Il modello predisposto dal Garante tiene conto delle realtà di ridotte dimensioni organizzative e per questo motivo viene proposto in forma semplificata, di più agile compilazione e tenuta. Nel registro si elencano le tipologie di trattamenti che vengono svolti dallo studio e che coinvolgono i dati personali degli interessati. Ogni professionista deve esplicitare chiaramente da chi e come saranno trattati i dati, dall’informativa all’archiviazione, ma non va visto come un mero adempimento burocratico, bensì parte integrante di un sistema di corretta gestione dei dati personali, in quanto finalizzato a tenere sotto controllo il ciclo vitale del dato.
E’ un documento che può essere necessario esibire agli organi di controllo in caso di verifiche o accertamenti.

Il contenuto del registro è il seguente:

  • dati identificativi e di contatto del Titolare del trattamento, dei contitolari (se esistenti) e del DPO ( se nominato);
  • le finalità del trattamento (ad esempio: rapporto di cura, finalità di ricerca);
  • la base giuridica su cui si fonda il trattamento (ad esempio: obbligo legale oppure consenso dell’interessato);
  • la categoria degli interessati (ad esempio: pazienti, dipendenti)
  • la categoria dei dati trattati (ad esempio: identificativi, relativi alla salute)
  • la fonte dei dati personali (ad esempio: conferiti direttamente dall’interessato o acquisiti dal suo FSE);
  • la tipologia del trattamento (raccolta di dati del nuovo paziente, utilizzo del software informatico gestionale per il trattamento dei dati);
  • le categorie di destinatari a cui i dati possono o devono essere comunicati (ad esempio: ASL, Agenzia delle Entrate, ASL, Enti previdenziali ed assistenziali Autorità Giudiziaria, Compagnie Assicurative, ecc.);
  • gli eventuali responsabili esterni (ad esempio: il fornitore informatico o il commercialista)
  • i Paesi stranieri verso cui i dati possono essere trasferiti fuori UE;
  • il periodo di conservazione dei dati (ad esempio: 10 anni o comunque per il tempo necessario a tutelare il diritto di difesa del titolare);
  • le misure di sicurezza fisiche, organizzative ed informatiche adottate per la protezione dei dati;

In contesti in cui lo studio medico viene nominato responsabile esterno del trattamento potrebbe essere necessaria la predisposizione di un registro dei trattamenti per il titolare e uno per il responsabile del trattamento dei dati.

Il modello semplificato è scaricabile sul sito del Garante: https://www.garanteprivacy.it/home/faq/registro-delle-attivita-di-trattamento.