Il registro dei trattamenti non sparisce: quale futuro per l’art. 30(5) GDPR?
Il decreto Omnibus IV introduce proposte di semplificazione che modificano anche parte del GDPR, con un confronto tecnico-legislativo che mette in parallelo le versioni definitive della Commissione, del Parlamento europeo e del Consiglio.
Il punto più caldo resta l’articolo 30(5) GDPR: le tre istituzioni non convergono su un testo unico, aprendo la porta a un delicato bilanciamento tra semplificazione amministrativa e tutela dei trattamenti ad alto impatto.
Le posizioni divergono nettamente:
- Commissione: Propone una deroga all’obbligo di registro per imprese e organizzazioni con meno di 750 dipendenti, salvo i trattamenti “high risk” ai sensi dell’art. 35 GDPR.
- Parlamento Europeo: Alza la soglia a 1000 dipendenti, ma adotta un approccio più sofisticato. Il registro resta obbligatorio per trattamenti ad alto rischio e, soprattutto, per le attività “core” che richiedono la designazione del DPO ai sensi dell’art. 37(1)(b)-(c) GDPR.
- Consiglio: Opta per una formula netta e business-oriented, con soglia a 1000 dipendenti e obbligo di registro solo se, a seguito di assessment, il trattamento presenta un rischio elevato. Senza richiami autonomi al DPO, questa posizione appare più semplificatrice e meno “garantista” rispetto a quella parlamentare.
L’esenzione non si applicherà alle pubbliche amministrazioni (es. ministeri, agenzie pubbliche, comuni, università, scuole e altri enti pubblici).
Ora parte il vero Trilogo: l’Europa non abolisce il registro dei trattamenti, ma l’art. 30 GDPR diventa arena di negoziato politico. Per DPO, privacy officer e legali d’impresa, questa riforma merita attenzione massima.
