Fra gli adempimenti introdotti dal Regolamento europeo sulla protezione dei dati personali, il GDPR, il registro delle attività di trattamento non riguarda soltanto le grandi organizzazioni, come la soglia dei 250 dipendenti prevista dal Regolamento potrebbe far pensare. È invece lo strumento che consente a qualunque impresa di sapere quali dati tratta, perché e con quali garanzie. Il registro è anche uno dei documenti che l’Autorità può chiedere in caso di controllo, ed è la base su cui si costruiscono informative, valutazioni d’impatto e misure di sicurezza. Conoscerlo bene significa avere sotto controllo l’intero sistema privacy aziendale.

Che cos’è il registro delle attività di trattamento

L’articolo 30 del Regolamento (UE) 2016/679 stabilisce che ogni titolare del trattamento e, ove applicabile, il suo rappresentante tengono un registro delle attività di trattamento svolte sotto la propria responsabilità. È un documento che descrive, per ciascuna attività in cui l’impresa utilizza dati personali, perché lo fa, di chi tratta i dati, a chi li comunica, per quanto tempo li conserva e con quali misure li protegge.

Il registro è uno strumento di responsabilizzazione, quella che il GDPR chiama accountability, cioè l’obbligo per il titolare di rispettare il Regolamento e di essere in grado di dimostrarlo. Le FAQ del Garante per la protezione dei dati personali lo definiscono uno dei principali elementi di accountability del titolare, idoneo a fornire un quadro aggiornato dei trattamenti in essere e indispensabile per ogni attività di valutazione o analisi del rischio.

Chi deve tenerlo e perché conviene a tutti

Il registro è obbligatorio per le imprese e le organizzazioni con almeno 250 dipendenti. Sotto questa soglia il GDPR lo richiede comunque a chi effettua trattamenti non occasionali, trattamenti che possono presentare un rischio per i diritti e le libertà delle persone o trattamenti di categorie particolari di dati, come quelli sulla salute, o di dati relativi a condanne penali e reati. Le FAQ del Garante indicano fra i soggetti obbligati gli esercizi commerciali, gli esercizi pubblici, gli artigiani e i liberi professionisti con almeno un dipendente.

Per chi resta fuori dall’obbligo, il Garante ne raccomanda comunque la redazione a tutti i titolari e responsabili del trattamento, perché, dando piena contezza dei trattamenti svolti, aiuta ad attuare il principio di accountability. Senza una mappa dei trattamenti, infatti, diventa difficile dimostrare di gestire i dati in modo conforme.

Il registro è anche il documento da cui partono le altre verifiche. Permette di capire quali trattamenti richiedono una valutazione d’impatto, quali fornitori vanno nominati responsabili del trattamento, se le informative raccontano davvero ciò che l’azienda fa e se le misure di sicurezza sono proporzionate ai dati trattati.

Che cosa contiene il registro del titolare

Il contenuto minimo è fissato dall’articolo 30 e comprende sette elementi.

• Il nome e i dati di contatto del titolare e, dove presenti, del contitolare, del rappresentante e del responsabile della protezione dei dati, il DPO.
• Le finalità del trattamento.
• La descrizione delle categorie di interessati, come dipendenti, clienti o fornitori, e delle categorie di dati personali trattati.
• Le categorie di destinatari a cui i dati sono stati o saranno comunicati, compresi quelli di paesi terzi od organizzazioni internazionali.
• Ove applicabile, i trasferimenti di dati verso paesi terzi od organizzazioni internazionali, con l’identificazione del paese o dell’organizzazione e, nei casi previsti, la documentazione delle garanzie adeguate.
• Ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati.
• Ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative adottate ai sensi dell’articolo 32 del GDPR.

Il Garante ritiene opportuno indicare anche la base giuridica di ciascun trattamento, cioè il fondamento che lo rende lecito, come il contratto, un obbligo di legge, il consenso o il legittimo interesse. Nel registro si possono riportare tutte le informazioni che il titolare ritiene utili, per esempio le modalità di raccolta del consenso o le valutazioni d’impatto effettuate. Per il dettaglio delle misure di sicurezza, oltre alla descrizione generale, è possibile rinviare a documenti esterni, come le procedure organizzative interne e le policy di sicurezza.

Il registro del responsabile del trattamento

Un registro autonomo è previsto anche per il responsabile del trattamento, cioè il soggetto che tratta dati per conto di un titolare, come possono essere, a seconda dei casi, il consulente del lavoro, la software house, il fornitore di servizi in cloud o l’impresa di vigilanza. Il registro del responsabile riguarda tutte le categorie di attività svolte per conto dei titolari e contiene i dati di contatto del responsabile, di ogni titolare per cui agisce, dell’eventuale rappresentante e del DPO, le categorie di trattamenti effettuati per conto di ciascun titolare, gli eventuali trasferimenti verso paesi terzi e, ove possibile, la descrizione generale delle misure di sicurezza. Molte imprese sono titolari per i dati propri e responsabili per quelli che gestiscono per i clienti, e in quel caso, quando ricorrono le condizioni dell’articolo 30, devono tenere entrambi i registri.

Forma, aggiornamento e controlli

Il registro è tenuto in forma scritta, anche in formato elettronico, e va messo a disposizione dell’Autorità di controllo su richiesta. Il Garante precisa che deve essere mantenuto costantemente aggiornato e deve recare, in maniera verificabile, la data della sua prima istituzione e quella dell’ultimo aggiornamento. Ogni nuovo trattamento, come l’installazione di un impianto di videosorveglianza, l’avvio di una campagna di marketing o l’introduzione di un nuovo software gestionale, va quindi inserito immediatamente nel registro.

Per facilitare le piccole e medie imprese il Garante ha pubblicato un modello di registro semplificato per il titolare e uno per il responsabile, scaricabili dal suo sito.

Le sanzioni e un caso del Garante

La violazione degli obblighi dell’articolo 30 rientra fra quelle per cui il GDPR prevede sanzioni amministrative pecuniarie fino a 10 milioni di euro o, per le imprese, fino al 2 per cento del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. La mancanza del registro può essere contestata insieme ad altre violazioni. Con il provvedimento n. 122 del 26 febbraio 2026 il Garante ha sanzionato una cooperativa che rilevava le presenze di sei dipendenti con le impronte digitali, contestandole fra l’altro di non aver predisposto il registro e precisando che l’adempimento è richiesto sia per i dati comuni sia per le categorie particolari di dati. Al di là del singolo caso, un registro mancante può essere il segnale di una gestione privacy che non ha mappato i propri trattamenti.

Come impostarlo in azienda

Il modo più efficace per costruire il registro è partire dalle funzioni aziendali e non dalle norme. Per ciascuna area, dal personale all’amministrazione, dal commerciale al marketing, dagli acquisti alla sicurezza fisica dei locali, si individuano i trattamenti svolti, come la gestione delle buste paga, la sorveglianza sanitaria, l’anagrafica clienti, le newsletter, i fornitori, la videosorveglianza e gli accessi ai sistemi informatici. Per ognuno si compilano le voci dell’articolo 30, coinvolgendo chi lavora davvero con quei dati. L’esito è riconoscibile, perché al termine l’impresa sa quali trattamenti svolge, su quale base giuridica e con quali fornitori, e può verificare se informative, nomine dei responsabili e misure di sicurezza sono coerenti con quanto dichiarato.

Una mappa che regge tutto il sistema privacy

Il registro non è un modulo da compilare una volta, ma la mappa da cui discendono gli altri adempimenti del GDPR, dalle informative alle valutazioni d’impatto, dalle nomine dei responsabili alla gestione dei data breach. Tenerlo aggiornato significa poter rispondere con ordine a un controllo, a un cliente che chiede garanzie o a un interessato che esercita i suoi diritti. Affianchiamo le imprese nella mappatura dei trattamenti, nella redazione e nell’aggiornamento del registro e nella costruzione di un sistema privacy coerente con l’attività reale dell’azienda.