Registro delle attività di trattamento di dati personali per PMI. I chiarimenti del Gruppo Art 29

Il Gruppo di lavoro Art. 29 ha recentemente esaminato in dettaglio l’obbligo di cui all’art. 30 del GDPR, in base al quale i titolari del trattamento e i responsabili sono obbligati alla redazione e conservazione di un registro delle attività di trattamento, ritenendo necessari alcuni chiarimenti sulla parte di questa disposizione che parla delle deroghe alla tenuta del registro (paragrafo 5 art. 30 GDPR), a seguito delle numerose richieste di precisazioni giunte alle Autorità di Controllo di tutta Europa negli ultimi mesi. 
Il Gruppo Art. 29 per motivare il proprio parere prende a base il considerando 13 del GDPR che recita: Tenendo conto della situazione specifica delle micro, piccole e medie imprese, il presente regolamento prevede una deroga per le organizzazioni con meno di 250 dipendenti per quanto riguarda la tenuta dei registri.

L’articolo 30, paragrafo 5 regola quanto stabilito nel considerando n.13. In questo paragrafo infatti viene dichiarato che l’obbligo di tenuta di un registro delle attività di trattamento non si applica “a un’impresa o a un’organizzazione che impiega meno di 250 persone, a meno che il trattamento che svolge non comporti un rischio per i diritti e le libertà degli interessati, il trattamento non è occasionale, o il trattamento comprende categorie speciali di dati di cui all’articolo 9, paragrafo 1 o dati personali relativi a condanne penali e reati di cui all'articolo 10”.

La deroga di cui all’articolo 30, paragrafo 5, dice il Gruppo Art. 29 nel proprio ...