Sono tenute a redigere il Registro delle attività di trattamento, previsto dalla nuova disciplina sulla privacy, non solo le imprese e organizzazioni con almeno 250 dipendenti, ma qualunque titolare o responsabile (incluse imprese o organizzazioni con meno di 250 dipendenti) che effettui il trattamento dei dati personali. Tali realtà, come gli studi professionali dei liberi professionisti, effettuano trattamenti che possano presentare rischi, anche non elevati, per i diritti e le libertà delle persone; trattamenti non occasionali di dati oppure trattamenti di particolari categorie (come i dati biometrici, genetici, sanitari, di carattere religioso o etnico, etc.), o anche di informazioni relative a condanne penali e a reati. A chiarire l'obbligo è il Garante per la protezione dei dati personali nelle FAQ sul registro dei trattamenti pubblicate sul proprio sito.

Nel comunicato stampa che illustra le istruzioni, l'Authority ricorda che, ai sensi del Regolamento UE n. 679/2016, il Registro deve essere predisposto in forma scritta, anche elettronica, dal titolare e del responsabile del trattamento per fornire le informazioni principali relative alle operazioni di trattamento svolte da una impresa, un’associazione, un esercizio commerciale, un libero professionista. Il documento attua il principio di accountability che, invertendo la logica prescrittiva delle vecchie norme, lascia al titolare la libertà di scegliere come agire, salvo poi dimostrare il rispetto delle norme in caso di un eventuale controllo da parte del Garante. Nelle FAQ indicate, inoltre, le modalità di conservazione e compilazione del registro che deve essere mantenuto costantemente aggiornato poiché il suo contenuto deve sempre corrispondere all’effettività dei trattamenti posti in essere.