Registro dei trattamenti: cos'è, chi è obbligato e come si tiene

Cos'è il registro delle attività di trattamento (art. 30 GDPR), chi è obbligato a tenerlo, cosa deve contenere, come si tiene e si aggiorna, la differenza con il registro delle violazioni e cosa si rischia senza.

In breve — Il registro delle attività di trattamento è la mappa scritta di tutti i trattamenti di dati personali che un’organizzazione svolge: per ciascuno indica finalità, categorie di dati e di interessati, destinatari, tempi di conservazione e misure di sicurezza (art. 30 del GDPR). L’esenzione per chi ha meno di 250 dipendenti è così ristretta che, nella pratica, il registro è dovuto da quasi tutte le imprese e da tutti gli enti pubblici — e il Garante ne raccomanda comunque la tenuta a chiunque. Va tenuto per iscritto, anche in formato elettronico, aggiornato nel tempo ed esibito al Garante a richiesta. Non va confuso con il registro delle violazioni: sono due documenti diversi.

1. Che cos’è il registro dei trattamenti

Il registro delle attività di trattamento è, in parole semplici, la mappa dei dati personali di un’organizzazione: un documento che elenca, uno per uno, tutti i trattamenti svolti, quali dati personali sono stati raccolti e per quanto tempo, perché sono stati raccolti e con chi vengono condivisi, oltre alle misure adottate per proteggerne la riservatezza.

Il registro è il documento cardine dell’accountability: la prova, nero su bianco, che il titolare conosce e governa i propri trattamenti — e ha sostituito, con l’arrivo del GDPR, il vecchio obbligo di notificazione dei trattamenti al Garante. Ed è anche il punto di partenza di ogni altro adempimento — senza la mappa dei trattamenti non si possono scrivere informative corrette, né capire quali trattamenti richiedono una DPIA.

2. Chi è obbligato a tenerlo

Sulla carta, l’art. 30, par. 5, esenta le organizzazioni con meno di 250 dipendenti. Tuttavia molti di coloro che ci contattano per essere seguiti negli adeguamenti privacy cadono proprio qui in errore. Il registro dei trattamenti, infatti, è obbligatorio anche per le aziende e gli enti con meno di 250 dipendenti se ricorre almeno una delle seguenti condizioni:

• il trattamento può presentare un rischio per i diritti e le libertà degli interessati;
• il trattamento riguarda categorie particolari di dati (sanitari, biometrici, genetici, opinioni politiche, convinzioni religiose) o dati relativi a condanne penali e reati;
• il trattamento non è occasionale.

Ed è l’ultima condizione a svuotare, di fatto, l’esenzione: i trattamenti dei dipendenti, dei clienti e dei fornitori — quelli che ogni impresa svolge ogni giorno — non sono occasionali per definizione. La conseguenza pratica, confermata dalle FAQ del Garante, è che il registro è dovuto da quasi tutte le imprese, anche piccolissime, e da tutti gli enti pubblici. Il Garante, del resto, ne raccomanda la tenuta a chiunque, a prescindere dall’obbligo: è lo strumento più semplice per dimostrare di avere il controllo dei propri dati.

Attenzione, infine: l’obbligo di tenere un registro non è posto solo in capo al titolare, ma anche al responsabile del trattamento — il gestore del software, il service paghe, il provider — che deve tenere un proprio registro (art. 30, par. 2) delle attività svolte per conto dei titolari. Il suo contenuto è però più snello: indica i responsabili e i titolari per cui si opera, le categorie di trattamenti svolte per ciascuno, gli eventuali trasferimenti extra-UE e le misure di sicurezza — ma non le finalità, che restano una scelta (e una voce) del solo titolare.

3. Cosa deve contenere

Il contenuto minimo è fissato dall’art. 30, par. 1. Per ogni trattamento, il registro del titolare indica:

Nella pratica, il registro si organizza come una tabella: una riga (o scheda) per ogni trattamento — “gestione del personale”, “contabilità clienti”, “videosorveglianza”, “newsletter” — con le colonne che rispondono alle voci dell’art. 30. Nulla vieta di arricchirlo con informazioni utili oltre il minimo: la base giuridica di ciascun trattamento, i responsabili nominati, i software utilizzati. Più il registro è ricco, più lavora per gli altri adempimenti.

4. Registro dei trattamenti e registro delle violazioni: due cose diverse

Una confusione frequente, da sciogliere subito: il registro dei trattamenti non è il registro delle violazioni. Il primo (art. 30) è la mappa ordinaria di tutti i trattamenti dell’organizzazione, e si tiene sempre, a prescindere da ciò che accade. Il secondo (art. 33, par. 5) è il diario degli incidenti: vi si annotano i data breach — le violazioni dei dati — con le circostanze, le conseguenze e i rimedi adottati.

Sono due documenti autonomi, con funzioni diverse, ed entrambi obbligatori: al registro delle violazioni abbiamo dedicato una guida specifica.

5. Come si tiene (e si aggiorna)

Il GDPR chiede la forma scritta, anche elettronica: va benissimo un foglio di calcolo ben strutturato, un documento condiviso o un software dedicato — conta la sostanza, non lo strumento. Ciò che il registro non può essere è un documento statico: fotografa i trattamenti in essere, quindi va aggiornato ogni volta che qualcosa cambia — un nuovo software, una nuova finalità, un nuovo fornitore, l’attivazione di un impianto di videosorveglianza.

Un metodo che funziona: rileggere il registro a scadenza fissa (una o due volte l’anno) e, soprattutto, collegarlo ai processi di acquisto e di progetto — ogni nuovo strumento o servizio che tratta dati personali entra nel registro nel momento in cui viene adottato, in coerenza con la logica della privacy by design.

Il registro, infine, va esibito al Garante a richiesta (art. 30, par. 4): in un’ispezione è tra i primi documenti chiesti, e la sua assenza — o una versione ferma a cinque anni prima — orienta subito il controllo nel modo peggiore.

6. Perché conviene (oltre l’obbligo)

Vale la pena dirlo senza burocratese: il registro non è un adempimento fine a sé stesso, è lo strumento di lavoro della conformità. Costruirlo obbliga a censire i trattamenti — e quasi sempre l’esercizio fa emergere ciò che non si sapeva di avere: l’archivio dimenticato, il software che conserva tutto da sempre, il fornitore mai nominato responsabile.

Una volta costruito, diventa la base di tutto il resto: le informative si scrivono leggendo il registro; le DPIA si individuano scorrendolo; le richieste degli interessati si evadono consultandolo; i data breach si gestiscono sapendo dove stanno i dati. Un registro ben fatto fa risparmiare tempo su ogni adempimento successivo.

7. Esiste un fac-simile di registro dei trattamenti?

È la domanda che quasi tutti si fanno per prima: “c’è un modello da compilare?”. Il GDPR non allega alcun modello ufficiale: fissa il contenuto minimo (le voci dell’art. 30 viste al capitolo 3) e lascia libera la forma. Il Garante, però, in aiuto delle piccole e medie imprese, ha pubblicato sul proprio sito dei modelli semplificati di registro — uno per il titolare e uno per il responsabile — allegati alle FAQ sul registro: sono fogli di calcolo con le colonne già impostate sulle voci di legge, e rappresentano un buon punto di partenza.

Un punto di partenza, appunto — non un punto di arrivo. Il fac-simile fornisce la struttura, ma il valore del registro sta tutto nel contenuto: nel censimento dei trattamenti realmente svolti dalla propria organizzazione. Un registro copiato da un modello generico, con trattamenti standard mai verificati, non protegge nessuno: in un’ispezione basta poco per accorgersi che descrive un’azienda che non esiste. Il lavoro vero non è compilare le colonne, è sapere cosa scriverci dentro.

8. Le sanzioni

La mancata tenuta del registro — o una tenuta incompleta o non aggiornata — è una violazione autonoma dell’art. 30, sanzionabile fino a 10 milioni di euro o al 2% del fatturato mondiale annuo (art. 83, par. 4). Il Garante l’ha contestata sia come violazione a sé, sia come aggravante in provvedimenti nati da altri fatti: chi non ha il registro dimostra, agli occhi dell’Autorità, di non avere il controllo dei propri trattamenti.

9. Come ti assiste lo Studio Legale Calzoni

Il registro è il documento da cui ogni percorso di adeguamento comincia — e quello che rivela subito lo stato di salute privacy di un’organizzazione. Lo Studio Legale Calzoni offre consulenza privacy e GDPR a imprese ed enti pubblici: costruiamo il registro dei trattamenti partendo dal censimento delle attività reali, lo strutturiamo perché lavori per gli altri adempimenti (informative, DPIA, nomine) e impostiamo il metodo per tenerlo aggiornato nel tempo. Un registro fatto bene una volta semplifica tutto il resto.

Domande frequenti

Cos’è il registro dei trattamenti? È il documento che mappa tutti i trattamenti di dati personali di un’organizzazione (art. 30 GDPR): per ciascuno indica finalità, categorie di dati e di interessati, destinatari, eventuali trasferimenti extra-UE, tempi di cancellazione e misure di sicurezza.

Chi è obbligato a tenere il registro dei trattamenti? Formalmente chi ha 250 o più dipendenti; ma l’esenzione per i più piccoli non vale se i trattamenti non sono occasionali, presentano rischi o riguardano dati particolari. Poiché i trattamenti di dipendenti e clienti non sono mai occasionali, nella pratica il registro è dovuto da quasi tutte le imprese e da tutti gli enti pubblici — e il Garante lo raccomanda a chiunque.

Anche il responsabile del trattamento deve tenere un registro? Sì: il responsabile (il fornitore che tratta dati per conto del titolare) tiene un proprio registro delle categorie di attività svolte per conto di ciascun titolare (art. 30, par. 2).

Che differenza c’è tra registro dei trattamenti e registro delle violazioni? Il registro dei trattamenti (art. 30) è la mappa ordinaria di tutti i trattamenti; il registro delle violazioni (art. 33, par. 5) è il diario dei data breach. Sono due documenti diversi, entrambi obbligatori.

Chi deve redigere e aggiornare il registro dei trattamenti? Il titolare per il proprio registro, il responsabile per il suo. Il DPO non lo redige: come per la DPIA, il suo compito è vigilare e consigliare — la responsabilità della tenuta e dell’aggiornamento resta del titolare (o del responsabile).

Esiste un modello o un esempio di registro dei trattamenti? Il GDPR non allega un modello ufficiale, ma il Garante ha pubblicato sul proprio sito dei modelli semplificati per le PMI (uno per il titolare, uno per il responsabile). Un fac-simile va comunque adattato: il registro ha valore solo se descrive i trattamenti reali dell’organizzazione.

In che formato si tiene il registro? In forma scritta, anche elettronica: un foglio di calcolo strutturato, un documento o un software dedicato. Va aggiornato quando i trattamenti cambiano ed esibito al Garante a richiesta.

Cosa si rischia senza registro? Sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale annuo. In un’ispezione è tra i primi documenti richiesti: la sua assenza orienta il controllo in senso sfavorevole.

I contenuti di questa pagina si riferiscono a fattispecie generali e non possono in alcun modo sostituire il contributo di un avvocato. Per ottenere un parere legale in ordine alla questione giuridica che interessa è possibile richiedere una consulenza, oppure fissare un appuntamento. Gli autori declinano ogni responsabilità per errori od omissioni, nonché per un utilizzo improprio o non aggiornato delle presenti informazioni.