Voce di glossario
ROPA
In breve
ROPA è l’acronimo di Record of Processing Activities, in italiano registro delle attività di trattamento. È il documento previsto dall’articolo 30 del GDPR che elenca tutti i trattamenti di dati personali svolti da un’organizzazione. Non è un adempimento di facciata: è il primo documento che il Garante chiede in caso di controllo.
1. Cos’è il ROPA
Il registro descrive, trattamento per trattamento, quali dati vengono raccolti, per quale finalità, su quali persone, a chi vengono comunicati e per quanto tempo restano conservati. L’articolo 30 ne prevede due versioni: quella del titolare del trattamento, che riguarda i trattamenti svolti in proprio, e quella del responsabile, che riguarda i trattamenti svolti per conto di altri. Una web agency, per esempio, è titolare per i dati dei propri dipendenti e clienti ed è responsabile per i dati che tratta sui siti dei clienti. Il registro va tenuto in forma scritta, anche elettronica, deve riportare la data di creazione e quella dell’ultimo aggiornamento e va messo a disposizione del Garante su richiesta.
2. Chi deve averlo
L’articolo 30, paragrafo 5, esonera le organizzazioni con meno di 250 dipendenti, ma l’esonero decade in tre casi: se il trattamento può presentare un rischio per i diritti e le libertà delle persone, se non è occasionale, oppure se riguarda categorie particolari di dati (articolo 9) o dati relativi a condanne penali e reati (articolo 10). La parola che decide tutto è occasionale. Gestire i dati dei dipendenti, l’anagrafica clienti, una newsletter o i cookie di un sito sono attività continuative, non occasionali. Il risultato pratico è che quasi tutte le imprese, anche piccole, devono tenere il registro almeno per i trattamenti ordinari. La mancata tenuta è sanzionabile fino a 10 milioni di euro o al 2% del fatturato mondiale annuo.
3. Cosa deve contenere
Per il titolare, l’articolo 30, paragrafo 1, richiede: dati di contatto del titolare, dell’eventuale contitolare, del rappresentante e del DPO se nominato; finalità del trattamento; categorie di interessati e categorie di dati personali; categorie di destinatari, compresi quelli in paesi terzi; eventuali trasferimenti extra UE con l’indicazione delle garanzie adottate; termini previsti per la cancellazione delle diverse categorie di dati; descrizione generale delle misure di sicurezza tecniche e organizzative.
Per il responsabile, il paragrafo 2 chiede meno voci: i propri dati di contatto e quelli di ogni titolare per conto del quale agisce, le categorie di trattamenti svolti, i trasferimenti extra UE e le misure di sicurezza.
4. La struttura del registro
Nella pratica il registro è una tabella con una riga per ogni trattamento e una colonna per ogni voce dell’articolo 30. In una PMI i trattamenti sono in genere cinque o sei: gestione del personale, contabilità e fatturazione, clienti e fornitori, marketing e newsletter, videosorveglianza, gestione del sito web e dei cookie. Il Garante mette a disposizione modelli semplificati di registro pensati per le PMI, uno per il titolare e uno per il responsabile, scaricabili dal proprio sito. Partire da quelli è la scelta più prudente, perché sono la struttura che l’Autorità si aspetta di trovare durante un controllo.
5. Esempio compilato
Ecco come si presenta la riga relativa al sito web, quella che riguarda più da vicino cookie e consensi.
Trattamento: gestione del sito web e dei cookie.
Finalità: navigazione del sito, statistiche di utilizzo, marketing e remarketing.
Categorie di interessati: visitatori del sito.
Categorie di dati: dati di navigazione, indirizzo IP, identificativi dei cookie, scelte espresse sul consenso.
Base giuridica: consenso per i cookie di profilazione, legittimo interesse per i cookie tecnici.
Destinatari: fornitore della CMP, piattaforme pubblicitarie e di analisi.
Trasferimenti extra UE: sì, verso gli Stati Uniti, sulla base delle clausole contrattuali tipo o dell’adesione del fornitore al Data Privacy Framework.
Conservazione: durata dei singoli cookie per i dati di navigazione, periodo definito dalla policy interna per la prova del consenso.
Misure di sicurezza: cifratura delle comunicazioni, controllo degli accessi al pannello, registrazione e conservazione delle prove di consenso.
6. Il ROPA e i consensi del tuo sito
La riga sul sito web è quella che invecchia più in fretta: cambia un tag, cambia un fornitore, e il registro non è più allineato alla realtà. Permissor conserva la prova di ogni consenso raccolto e tiene aggiornata la cookie policy quando cambiano i cookie del sito, così le informazioni da riportare nel registro restano disponibili e verificabili. Prezzo fisso, supporto italiano, installazione in pochi minuti. Se il tuo sito cresce, il prezzo non cambia.
Vuoi sapere cosa scrivere nel registro per la parte cookie? Contattaci.