Adempimenti GDPR: l'elenco completo, con cadenze e riferimenti

Il GDPR non contiene uno scadenzario. Chiede al titolare di essere in grado di dimostrare, in ogni momento, di trattare i dati in modo conforme: è il principio di responsabilizzazione degli artt. 5.2 e 24. Nella pratica questo diventa un insieme di documenti e di attività che vanno tenuti vivi, perché un registro dei trattamenti scritto due anni fa e mai riletto non dimostra niente.

Gli adempimenti si dividono in tre famiglie. Alcuni sono continui, come il registro dei trattamenti dell'art. 30 o il registro delle violazioni dell'art. 33.5: vanno aggiornati ogni volta che cambia qualcosa. Altri scattano al verificarsi di un evento: una valutazione d'impatto (art. 35) prima di un trattamento ad alto rischio, la notifica di una violazione al Garante entro 72 ore (art. 33), la nomina di un responsabile esterno con un contratto conforme all'art. 28. Altri ancora non hanno una scadenza scritta nel Regolamento, ma una verifica periodica è l'unico modo ragionevole di tenerli in ordine: le informative, le misure di sicurezza dell'art. 32, la formazione di chi tratta i dati.

Il DPO, dove è nominato (art. 37), ha compiti propri che l'art. 39 descrive: sorvegliare l'osservanza, fornire pareri sulle valutazioni d'impatto, cooperare con il Garante. Anche questi sono attività da pianificare e documentare, e il catalogo li tiene separati da quelli del titolare, perché a rispondere è un'altra persona.

L'elenco qui sotto è il catalogo che Legisboard usa per ogni azienda cliente. Per ogni adempimento indica il riferimento normativo, chi ne risponde e la cadenza con cui il registro lo ripropone. Quella cadenza è una scelta operativa, non sempre un termine di legge: dove il Regolamento fissa un termine, come le 72 ore per la notifica di una violazione, lo dice l'articolo citato.