Registro delle attività di trattamento (Bearbeitungsverzeichnis)
Il registro delle attività di trattamento è la vostra documentazione scritta di ogni modo in cui la vostra azienda elabora i dati personali dei dipendenti e dei candidati: come li raccogliete, dove li archiviate, chi vi accede, quanto a lungo li conservate. La nuova Legge federale sulla protezione dei dati (nLPD) la impone alla maggior parte dei datori di lavoro svizzeri. È la prova che rispettate le norme sulla protezione dei dati.
Il registro delle attività di trattamento è un obbligo legale secondo la nLPD e documenta ogni modo in cui la vostra azienda raccoglie, archivia, utilizza o elimina i dati personali dei dipendenti e dei candidati.
Non avete bisogno di un software costoso. Un semplice foglio di calcolo o documento che elenca ogni flusso di dati è sufficiente. Ciò che conta è l'onestà: se raccogliete dati stipendiali, archiviate CV, registrate orari di lavoro o verificate referenze, deve essere documentato.
Quando avete bisogno di uno e cosa deve contenere
Secondo la nLPD, i datori di lavoro che trattano dati personali devono mantenere un registro delle attività di trattamento, a meno che non siano microimprese con gestione molto limitata dei dati. La maggior parte delle PMI in Svizzera rientra in questa categoria.
Il vostro registro deve elencare: tipi di dati (nome, stipendio, e-mail), scopo (busta paga, assunzione, valutazione), luogo di archiviazione (server, cloud), periodo di conservazione e chi può accedervi. Includete anche i flussi verso i fornitori di servizi: agenzie di reclutamento, elaboratori di buste paga, provider cloud.
- Dati dei dipendenti: stipendi, orari di lavoro, assenze, fascicolo personale
- Dati dei candidati: curriculum vitae, moduli di candidatura, note di colloquio, referenze
- Terze parti: agenzie di reclutamento, provider di verifiche antecedenti, casse pensioni
- Periodi di conservazione: per quanto tempo conservate ogni categoria (contratti 5 anni; CV scartati generalmente 3 mesi)
- Controlli di accesso: chi nella vostra azienda può vedere quali dati
- Misure tecniche: crittografia, protezione con password, ubicazione dei backup
Il vostro obbligo di datore di lavoro
Mantenere un registro delle attività di trattamento non è facoltativo secondo la nLPD – è un obbligo legale. Dimostra la vostra diligenza alle autorità e vi protegge se un dipendente o candidato presenta un reclamo sulla protezione dei dati.
Dovete mantenerlo aggiornato. Quando implementate un nuovo sistema di busta paga, ingaggiate un'agenzia di reclutamento o cambiate il luogo di archiviazione, aggiornate il registro entro alcune settimane. Un registro obsoleto è quasi altrettanto rischioso che non averne uno.
- Createlo in modo proattivo, non aspettate un controllo
- Esaminate e aggiornate almeno una volta all'anno
- Renderlo accessibile al vostro team, non nascondetelo
- Siate onesti su ciò che fate veramente, non su ideali
- Documentate qualsiasi incidente di sicurezza dei dati avvenuto
- Su richiesta di un cantone o dell'INGIAF, dovete fornirlo immediatamente
L'errore più comune
La maggior parte dei datori di lavoro PMI tratta il registro come una casella di conformità da selezionare una sola volta. Lo creano, lo archiviano e non lo guardano mai più. Poi assumono un nuovo reclutatore o passano a un sistema HR basato su cloud e dimenticano di aggiornare il registro.
Il secondo errore è la mancanza di precisione. ‹ Conserviamo i dati dei dipendenti › non è sufficiente. Specificate i tipi di dati, i sistemi, le persone che vi accedono, il periodo di conservazione. La mancanza di precisione suggerisce alle autorità che non sapete veramente cosa fate con questi dati.
- Registro obsoleto che non corrisponde alla vostra pratica attuale
- Terze parti dimenticate (elaboratore buste paga, agenzia di reclutamento)
- Nessun periodo di conservazione specificato – ‹ finché necessario › senza dettagli
- Misure di sicurezza tecnica non documentate
- Creato in inglese quando la vostra azienda opera in italiano o tedesco
- Convinzione che solo le grandi aziende ne siano obbligate
Domande frequenti
- Ho veramente bisogno di un registro se ho solo cinque dipendenti?
- Sì, molto probabilmente. Anche i piccoli datori di lavoro elaborano dati di busta paga, archiviano CV e registrano assenze. La nLPD si applica a voi, a meno che non siate veramente minuscoli e elaboriate dati solo occasionalmente. In caso di dubbi, consultate le linee guida dell'INGIAF o un avvocato specializzato in protezione dei dati. Un registro semplice non costa nulla; una multa per non conformità costa molto di più.
- Posso usare un modello trovato online?
- I modelli sono un buon punto di partenza, ma devono adattarsi al vostro business effettivo. Un modello per una catena di negozi non va bene per uno studio di consulenza. Usatelo come lista di controllo, poi adattatelo per descrivere quello che *voi* realmente fate con i dati dei dipendenti e dei candidati.
- Se assumo un'agenzia di reclutamento, devo documentare anche il loro trattamento dei dati?
- Sì. Quando un reclutatore gestisce CV o verifiche di antecedenti per vostro conto, fa parte del vostro ecosistema di dati. Documentate quali dati inviate loro, dove vengono archiviati e per quanto tempo vengono conservati. Il vostro contratto con loro deve specificarlo; il vostro registro deve riassumerlo.
Informazioni generali per i datori di lavoro svizzeri, non consulenza legale. Fai verificare da un legale tutto ciò che ha conseguenze giuridiche.