Descrivere l’attività e non i singoli casi
La voce del registro dedicata al whistleblowing deve rappresentare ricezione e gestione delle segnalazioni, categorie di interessati, dati, destinatari, conservazione e misure previste, secondo l’art. 30 GDPR. Non occorre inserirvi i nomi dei segnalanti, gli addebiti o i codici dei fascicoli. Mescolare registro e gestione dei casi allargherebbe inutilmente la circolazione dei contenuti e renderebbe più difficile aggiornare la descrizione generale del trattamento.
Individuare i dati effettivamente trattati
Oltre alle identità possono essere presenti dati professionali, documenti, messaggi, registrazioni vocali e informazioni sulle attività dei riceventi. Alcuni casi possono contenere dati particolari o relativi a reati. La descrizione non deve né minimizzare il contenuto possibile né elencare ogni categoria immaginabile senza rapporto con il servizio. È utile partire dal questionario, dalle modalità di segnalazione attivate e dalle attività svolte dopo la ricezione.
Distinguere il registro dell’azienda da quello del fornitore
Il titolare descrive le attività sotto la propria responsabilità; il responsabile documenta le categorie di attività svolte per conto dei titolari secondo la disciplina applicabile. Un fornitore non risolve questo compito limitandosi a citare il servizio nella propria informativa commerciale. Per l’azienda è utile verificare la coerenza dell’accordo di trattamento e delle informazioni tecniche ricevute, senza chiedere accesso a dati o documenti riservati di altri clienti.
Collegare conservazione e destinatari al processo reale
Una voce che indica soltanto «dati conservati nel software» è incompleta se i riceventi esportano documenti o coinvolgono consulenti. Occorre descrivere categorie di destinatari e regole applicabili alle copie, mantenendo dettagli tecnici in documenti richiamati quando opportuno. Il registro non sostituisce la DPIA né l’accordo con il responsabile. I documenti devono però usare definizioni compatibili, evitando che uno prometta cancellazioni o localizzazioni diverse da quelle effettive.
Aggiornare la voce quando cambia il trattamento
Nuove modalità vocali, nuovi fornitori o un diverso percorso istruttorio possono richiedere un aggiornamento. Non basta registrare la data una volta all’attivazione. Nelle organizzazioni piccole non va presunta un’esenzione soltanto sulla base dei dipendenti: occorre applicare le condizioni dell’art. 30, considerando rischi e natura dei dati. Una revisione coordinata con il DPO può restare semplice, purché descriva il trattamento concretamente svolto e le responsabilità assegnate.
Domande frequenti
Il registro deve riportare ogni segnalazione?
No. È un documento sul trattamento; il fascicolo dei casi ha una funzione diversa e accessi propri.
L’assenza di segnalazioni rende inutile la voce?
Il canale attivo e le attività previste devono essere valutati secondo la disciplina privacy, senza basarsi soltanto sul numero dei casi già ricevuti.
