Il registro delle attività di trattamento è il documento, tenuto in forma scritta anche elettronica, in cui il titolare censisce le attività di trattamento di dati personali soggette all’articolo 30 del Regolamento (UE) 2016/679 (GDPR). Una mappatura accurata aiuta a redigere informative coerenti, individuare le basi giuridiche, definire i tempi di conservazione e valutare i rischi. Il registro non va comunicato al Garante in via ordinaria, ma deve essere esibito su richiesta dell’Autorità (art. 30, par. 4). Anche il responsabile del trattamento tiene un proprio registro ai sensi del paragrafo 2, con contenuti diversi, salvo la deroga circoscritta del paragrafo 5. In questa guida trovi i campi previsti, un esempio di compilazione e il perimetro della deroga per le organizzazioni con meno di 250 dipendenti.
Che cos’è il registro dei trattamenti e a cosa serve
Il registro è un inventario ragionato del «chi tratta cosa, perché, per quanto tempo e con quali garanzie». Aiuta ad attuare il principio di responsabilizzazione dell’art. 5, par. 2 GDPR. L’informativa dovrebbe essere coerente con finalità e tempi documentati; l’analisi dei rischi e la valutazione d’impatto possono partire dalle attività censite. Per gestire una violazione di dati occorrono però anche dati operativi aggiornati, come sistemi e persone effettivamente coinvolti: il registro da solo potrebbe non contenere il numero esatto degli interessati.
Per questo il registro va costruito per attività di trattamento (es. “gestione del rapporto di lavoro”, “email marketing”, “videosorveglianza della sede”, “gestione dei fornitori”) e non per singolo dato o singolo software. Ogni attività raggruppa un insieme coerente di operazioni che condividono finalità e categorie di interessati.
Per ricostruire quali applicazioni e scambi sostengono ciascuna attività, collegate il registro alla mappatura dei sistemi informativi e dei flussi. La mappa tecnica aggiunge dipendenze e referenti, senza sostituire finalità e altre informazioni richieste dall’articolo 30.
Chi è obbligato: titolare, responsabile e il “mito” dell’esenzione
L’art. 30, par. 5 GDPR prevede una deroga per imprese e organizzazioni con meno di 250 dipendenti, ma non per tutti i loro trattamenti. La deroga non opera per un trattamento se ricorre anche solo una di queste condizioni:
- il trattamento può presentare un rischio per i diritti e le libertà dell’interessato;
- il trattamento non è occasionale;
- il trattamento include categorie particolari di dati (art. 9) o dati relativi a condanne penali e reati (art. 10).
La gestione ordinaria dei dipendenti o una newsletter continuativa sono esempi di trattamenti non occasionali, da documentare nel registro anche in una piccola impresa. L’ex Gruppo di lavoro Art. 29 ha chiarito che le condizioni sono alternative e che, per un’organizzazione sotto la soglia, l’obbligo riguarda le tipologie di trattamento che soddisfano almeno una di esse. Un’attività davvero occasionale, priva degli altri fattori, richiede quindi una valutazione distinta; non è corretto dire che la soglia non abbia mai effetti. Il Garante raccomanda comunque il registro anche fuori dall’obbligo, per facilitare l’accountability.
Attenzione alla terminologia italiana: il “titolare del trattamento” è chi decide finalità e mezzi (in inglese controller), mentre il “responsabile del trattamento” è il fornitore che tratta i dati per conto del titolare (in inglese processor). Il responsabile tiene un proprio registro, previsto dall’art. 30, par. 2, e la sua nomina va formalizzata con un contratto ai sensi dell’art. 28 GDPR.
Campi obbligatori del registro del titolare (art. 30, par. 1)
Il registro del titolare deve contenere, per ciascuna attività, le informazioni elencate dall’art. 30, par. 1. La tabella seguente li traduce in un modello pratico da replicare, riga per attività.
| Campo | Contenuto | Esempio |
|---|---|---|
| Titolare e contatti | Denominazione, sede, contatti; eventuale contitolare, rappresentante, RPD | Alfa S.r.l. — DPO: dpo@alfa.it |
| Finalità del trattamento | Perché tratti i dati | Gestione del rapporto di lavoro |
| Base giuridica (campo consigliato dal Garante) | Art. 6 e, se applicabile, condizione dell’art. 9 | Da valutare separatamente per ogni finalità |
| Categorie di interessati | Chi sono le persone | Dipendenti, collaboratori |
| Categorie di dati | Tipologie di dati trattati | Anagrafici, retributivi, dati sanitari (art. 9) |
| Categorie di destinatari | A chi vengono comunicati | Consulente del lavoro, INPS, banca |
| Trasferimenti extra UE | Paese terzo e garanzie (artt. 44-49) | Nessuno / SCC |
| Termini di cancellazione, ove possibile | Termine o criterio per categoria di dati | Termine motivato in base alla finalità e alla norma applicabile |
| Misure di sicurezza | Misure tecniche e organizzative (art. 32) | Cifratura, controllo accessi, backup |
Per i trasferimenti verso paesi terzi, l’articolo 30 richiede di indicare il paese o l’organizzazione internazionale e, nei casi previsti, la documentazione delle garanzie adeguate. Scrivere soltanto «SCC» non identifica il flusso concreto. I termini di cancellazione vanno indicati ove possibile per le diverse categorie di dati, con una motivazione coerente con la finalità; vedi la guida sulla conservazione dei dati. Base giuridica e referente interno sono campi aggiuntivi utili, raccomandati nelle FAQ del Garante, ma non vanno presentati come voci testuali obbligatorie dell’art. 30, par. 1.
Cosa deve contenere il registro del responsabile (art. 30, par. 2)
Il registro del responsabile ha un contenuto diverso da quello del titolare. L’art. 30, par. 2 richiede nome e contatti del responsabile e di ogni titolare per conto del quale agisce, nonché, ove applicabile, dei loro rappresentanti e del responsabile della protezione dei dati (RPD/DPO). Deve poi riportare le categorie dei trattamenti svolti per ciascun titolare, gli eventuali trasferimenti verso paesi terzi o organizzazioni internazionali con le informazioni sulle garanzie richieste e, ove possibile, una descrizione generale delle misure di sicurezza dell’art. 32. Un fornitore SaaS o un centro elaborazione paghe descrive quindi i servizi resi ai clienti-titolari, con i contatti pertinenti, senza confondere questo registro con quello relativo ai propri trattamenti come titolare.
Come tenere aggiornato il registro
Il registro è un documento vivo, non un file da archiviare dopo la prima compilazione. Va rivisto ogni volta che cambia qualcosa di rilevante:
- attivazione di un nuovo trattamento (nuovo software, nuova campagna, nuova sede videosorvegliata);
- cambio di un fornitore o attivazione di un sub-responsabile;
- modifica delle finalità o delle basi giuridiche;
- avvio di un trasferimento extra UE;
- esito di una valutazione d’impatto che introduce nuove misure.
È utile fissare anche una revisione periodica e coinvolgere il Responsabile della protezione dei dati (RPD/DPO), quando nominato, nel controllo. La FAQ del Garante richiede che il registro corrisponda ai trattamenti effettivi e riporti in modo verificabile la data di creazione e dell’ultimo aggiornamento. Una revisione annuale non sostituisce l’aggiornamento quando cambia davvero un trattamento.
Il registro come base di ogni altro adempimento
Il registro rende visibili le connessioni tra informative, valutazioni d’impatto, contratti con i responsabili e risposta agli incidenti. Se un fornitore cambia, occorre verificare più documenti; il solo aggiornamento della riga del registro non completa tutte le verifiche. Un sistema di gestione può collegare le evidenze e assegnare revisioni, ma la correttezza delle finalità, dei tempi e delle basi giuridiche dipende da chi conosce e approva il trattamento.
Per il testo integrale della norma è utile consultare l’art. 30 del Regolamento (UE) 2016/679 su EUR-Lex e le indicazioni operative del Garante per la protezione dei dati personali. Il quadro nazionale è completato dal Codice Privacy, D.lgs. 196/2003 come modificato dal D.lgs. 101/2018, consultabile su Normattiva.
Un modello da compilare per finalità, non per applicazione
Immaginiamo una piccola società che usa un gestionale per ordini, contabilità e assistenza clienti. Non basta una riga «gestionale aziendale»: le finalità, le persone coinvolte e i termini di conservazione possono essere diversi. Una scheda potrebbe riguardare l’esecuzione degli ordini dei clienti; un’altra, la gestione delle fatture; una terza, i ticket di assistenza. Lo stesso software può quindi comparire in più schede, mentre una stessa attività può coinvolgere più applicazioni. Questa distinzione evita che la scelta di sostituire un programma venga scambiata per la cessazione del trattamento.
Per la scheda «gestione ordini» descrivete clienti e referenti aziendali come categorie di interessati, dati di contatto e dettagli dell’ordine come categorie di dati, e fornitori di spedizione o pagamento come categorie di destinatari, se effettivamente ricevono quei dati. La scadenza di cancellazione non va copiata da un modello generico: potrebbe cambiare tra storico dell’ordine, documentazione contabile e dati usati per assistenza. Se un dato serve a più finalità, indicate come si separano gli usi e quale regola giustifica la conservazione residua. Collegate la scheda alla mappatura dei flussi per trovare copie, esportazioni e accessi di fornitori.
In un secondo esempio, una società incarica un fornitore di gestire il proprio help desk. La società può essere titolare per il servizio reso ai clienti, mentre il fornitore è responsabile per i ticket trattati secondo istruzioni. Ma lo stesso fornitore è titolare per i dati dei propri dipendenti e forse per alcune finalità proprie. Occorre identificare la qualità in cui opera per ciascun trattamento, non attribuire un’etichetta a tutta l’impresa. Il contratto dell’articolo 28 e il registro del responsabile devono riflettere le operazioni realmente affidate.
Come leggere i campi del Garante
Le FAQ del Garante distinguono i contenuti richiesti dall’articolo 30 dalle informazioni aggiuntive che rendono il registro utile. Il nome e i dati di contatto del titolare, dell’eventuale contitolare, rappresentante e RPD appartengono alla prima categoria. Anche finalità, categorie di interessati e dati, categorie di destinatari e trasferimenti verso paesi terzi sono campi normativi. I termini di cancellazione e la descrizione generale delle misure di sicurezza vanno indicati ove possibile. La formula non autorizza a lasciare il campo vuoto senza alcuna riflessione: se il termine esatto non è definibile, descrivete criteri verificabili e chi dovrà precisarlo.
La base giuridica non compare tra le voci espresse dell’articolo 30, paragrafo 1, ma il Garante suggerisce di riportarla nella finalità. È un’aggiunta preziosa, perché aiuta a verificare coerenza con l’informativa per il sito e con la gestione di eventuali richieste. Per categorie particolari di dati, annotate anche la condizione pertinente dell’articolo 9, se davvero trattate quei dati. Non scrivete «consenso» per comodità: il fondamento deve corrispondere all’attività concreta e alle altre informazioni comunicate agli interessati. Anche la descrizione delle misure tecniche e organizzative dovrebbe rispecchiare le protezioni realmente applicate, senza limitarsi al nome di una politica interna.
Il Garante mette a disposizione un modello semplificato per il titolare, ma il modello è una struttura, non una dichiarazione di conformità. Può essere ampliato con proprietario della scheda, versione, data, applicazioni, fornitori, collegamento al contratto e alla valutazione dei rischi. Questi campi aggiuntivi vanno distinti da quelli obbligatori, così chi aggiorna il documento sa quali lacune hanno conseguenze giuridiche e quali impediscono soprattutto una buona gestione.
Il registro del responsabile: esempio distinto
Un fornitore SaaS che elabora i dati di dieci clienti non dovrebbe descrivere l’intero lavoro con una sola voce «hosting». L’articolo 30, paragrafo 2, richiede nomi e contatti del responsabile, dei titolari per conto dei quali agisce e, se applicabili, dei rispettivi rappresentanti e del RPD/DPO; richiede inoltre le categorie di trattamenti per ciascun titolare, gli eventuali trasferimenti e, ove possibile, una descrizione generale delle misure di sicurezza. Le FAQ del Garante ammettono, in presenza di molti clienti, riferimenti a schede o banche dati anagrafiche, purché le informazioni richieste restino reperibili e correlate ai servizi. Questo non equivale a omettere l’identità o i contatti pertinenti dei titolari.
Nel caso di un sub-responsabile, controllate che la categoria di trattamento descritta nel registro rispecchi il servizio effettivamente reso e la catena contrattuale. Se il fornitore aggiunge un servizio di analisi dei ticket, possono cambiare finalità, categorie di dati, soggetti con accesso e forse trasferimenti. L’aggiornamento del registro non sostituisce l’autorizzazione e le condizioni richieste per i sub-responsabili dall’articolo 28. Una descrizione puntuale permette però di individuare rapidamente dove occorre rivedere la nomina del responsabile.
Aggiornare una scheda quando cambia il trattamento
La FAQ del Garante richiede che il documento corrisponda alle attività effettive e rechi date di prima creazione e ultimo aggiornamento verificabili. Immaginate che il marketing inizi a importare dati di acquisto nel sistema newsletter. La scheda esistente va riesaminata prima dell’importazione: cambiano i dati usati, forse la finalità, le categorie di destinatari e il periodo di conservazione. Vanno poi verificate l’informativa, il fondamento del trattamento e le impostazioni tecniche. Una nota «aggiornato 2026» senza indicare cosa è cambiato rende difficile capire quale versione fosse valida al momento dell’attività.
Assegnate un referente che conosca il processo e un revisore capace di verificare gli aspetti giuridici. Il referente segnala nuove fonti, nuovi fornitori e cessazioni; il revisore controlla se la scheda continua a descrivere il lavoro reale. Se emerge una possibile alta rischiosità, il collegamento alla valutazione d’impatto aiuta a vedere se la precedente analisi copre anche il cambiamento. In caso di violazione di dati, la scheda deve permettere di identificare rapidamente categorie di persone e informazioni, ma la valutazione dell’incidente resta una procedura separata.
Domande frequenti
Il registro dei trattamenti va inviato al Garante?
No. Il registro non si comunica preventivamente all’Autorità. Deve però essere tenuto costantemente aggiornato e messo a disposizione del Garante su richiesta, in forma scritta anche elettronica, ai sensi dell’art. 30, par. 4 GDPR. In sede di verifica ispettiva è tra i primi documenti richiesti.
La mia impresa ha meno di 250 dipendenti: devo tenerlo lo stesso?
Dipende dai trattamenti. La deroga non vale per quelli non occasionali, che possono presentare un rischio o che includono dati particolari o relativi a condanne e reati. La gestione continuativa del personale di solito rientra nel registro; un trattamento isolato va esaminato per i suoi fatti. Anche dove la deroga si applica, il Garante raccomanda il registro come strumento organizzativo.
Che differenza c’è tra il registro del titolare e quello del responsabile?
Il registro del titolare (art. 30, par. 1) è più completo e descrive finalità, basi giuridiche, categorie di interessati e di dati, destinatari, conservazione e misure. Il registro del responsabile (art. 30, par. 2) elenca invece le categorie di trattamenti svolti per conto dei clienti-titolari, gli eventuali trasferimenti e una descrizione generale delle misure di sicurezza. Un’organizzazione può essere titolare per alcuni trattamenti e responsabile per altri, e in tal caso tiene entrambi.
Conclusione
Il registro dell’art. 30 è una mappa dei trattamenti effettivi. Verifica la deroga per ciascuna tipologia quando l’organizzazione ha meno di 250 dipendenti; per i trattamenti soggetti all’obbligo, compila i campi previsti e mantienili aggiornati. Aggiungi basi giuridiche, referenti e collegamenti alle altre evidenze quando aiutano a usare la mappa. La data di aggiornamento e un proprietario per ogni scheda rendono più facile correggere gli scostamenti tra documento e realtà.