Che cos'è il registro dei trattamenti?
Il registro è un elenco delle Sue attività di trattamento, non dei sistemi o dei campi dati. Un'attività di trattamento è ciò che si fa con i dati personali per una finalità, come elaborare le buste paga o inviare una newsletter. La maggior parte delle organizzazioni arriva a 15-60 attività. Il registro va tenuto in forma scritta, anche elettronica, e messo a disposizione del Garante su richiesta (art. 30, paragrafi 3 e 4).
Le organizzazioni con meno di 250 dipendenti sono esentate solo per i trattamenti occasionali, che non presentano rischi per gli interessati e non riguardano categorie particolari (art. 9) o dati relativi a reati (art. 10). Paghe, gestione clienti e dati del personale non sono occasionali, quindi in pratica quasi ogni datore di lavoro tiene un registro per questi trattamenti.
Cosa deve registrare il titolare
| Art. 30, par. 1 | Colonna del registro | Esempio |
|---|---|---|
| lett. a) | Nome e dati di contatto del titolare, dell'eventuale contitolare, del rappresentante e del responsabile della protezione dei dati (RPD/DPO) | Una volta, in testa al registro |
| lett. b) | Finalità del trattamento | Pagare gli stipendi e adempiere agli obblighi fiscali |
| lett. c) | Categorie di interessati e di dati personali | Dipendenti; dati anagrafici, IBAN, retribuzione, codice fiscale |
| lett. d) | Categorie di destinatari, anche in paesi terzi | Consulente del lavoro, Agenzia delle Entrate, INPS |
| lett. e) | Trasferimenti verso paesi terzi e garanzia adottata | Nessuno, oppure: Stati Uniti, decisione di adeguatezza |
| lett. f) | Termini di cancellazione, ove possibile | Per il tempo previsto dalla normativa fiscale, poi cancellati |
| lett. g) | Descrizione generale delle misure di sicurezza (art. 32) | Accesso solo per HR, autenticazione a due fattori, archiviazione cifrata |
Non richiesti dall'art. 30 ma utili come colonne: la base giuridica ai sensi dell'art. 6, il referente interno, la fonte dei dati, se serve una DPIA e la data dell'ultima revisione. La base giuridica Le serve comunque per l'informativa, e i modelli del Garante la includono.
Il registro del responsabile
Se tratta dati personali per conto dei clienti, ad esempio come fornitore SaaS, consulente del lavoro o fornitore IT, l'art. 30, par. 2 richiede un registro separato e più breve:
- nome e dati di contatto di ogni titolare (cliente) per cui agisce, e del Suo rappresentante e RPD;
- le categorie di trattamenti effettuati per conto di ciascun titolare;
- i trasferimenti verso paesi terzi e la garanzia adottata;
- una descrizione generale delle Sue misure di sicurezza.
Molte organizzazioni sono entrambe le cose: titolari per il proprio personale e i propri clienti, responsabili per i dati che i clienti inseriscono nel loro servizio. Tenga entrambi i registri, ben separati.
Esempio: un'azienda con 40 dipendenti
Un'azienda di software con 40 dipendenti, in qualità di titolare. Tre delle sue attività di trattamento:
| Attività | Finalità e base giuridica | Interessati e dati | Destinatari e trasferimenti | Conservazione | Misure di sicurezza |
|---|---|---|---|---|---|
| Gestione paghe e personale | Stipendi, imposte e contributi; contratto e obbligo legale (art. 6, par. 1, lett. b) e c)) | Dipendenti; dati anagrafici, contatti, IBAN, retribuzione, codice fiscale, giorni di assenza | Consulente del lavoro (responsabile), Agenzia delle Entrate, INPS; nessun trasferimento | Per il tempo previsto dalla normativa fiscale e del lavoro | Accesso solo per HR, autenticazione a due fattori, archiviazione cifrata |
| Assistenza clienti | Rispondere alle richieste dei clienti; contratto (art. 6, par. 1, lett. b)) | Referenti dei clienti; nome, email, contenuto del ticket | Fornitore di helpdesk (responsabile), ospitato nell'UE; nessun trasferimento | 2 anni dalla chiusura del ticket | Accesso per ruolo, registro delle attività |
| Newsletter | Novità di prodotto; consenso (art. 6, par. 1, lett. a)) | Iscritti; email, nome, data dell'iscrizione | Piattaforma di invio (responsabile); Stati Uniti, decisione di adeguatezza | Fino alla disiscrizione; prova del consenso 3 anni | Doppio opt-in, accesso solo per il marketing |
Modello gratuito (CSV)
Due file CSV che si aprono in Excel, LibreOffice e Google Sheets: uno per il registro del titolare, con le tre righe di esempio, e uno per il registro del responsabile. Inserisca i dati del titolare e del RPD in testa al documento che condivide.
Errori comuni
- Una riga per sistema ("CRM", "SharePoint") invece che per finalità, così finalità e basi giuridiche restano vaghe.
- Conservazione indicata come "per il tempo necessario" invece di un periodo o della norma che lo stabilisce.
- Destinatari senza i responsabili, come fornitori cloud, email e paghe.
- Trasferimenti verso fornitori extra UE senza garanzia: decisione di adeguatezza, clausole contrattuali tipo o norme vincolanti d'impresa.
- Un registro fatto una volta nel 2018 e mai più rivisto.
Tenere il registro in Dazr
- Un registro, due ruoli: ogni attività di trattamento registra il ruolo (titolare o responsabile), finalità, base giuridica, interessati, categorie di dati, destinatari, trasferimenti con la garanzia, conservazione, misure di sicurezza e fonte.
- Compilato una volta: i dati del titolare, del rappresentante e del RPD si inseriscono una volta e compaiono in ogni esportazione.
- Collegato al resto: le attività sono collegate ai fornitori e alle DPIA, e i rischi delle DPIA al registro dei rischi.
- Esportazione: il registro in PDF per il Garante o l'auditor, in Excel o CSV per lavorarci; ogni modifica è nel registro delle attività.
- Piano: registro dei trattamenti e DPIA fanno parte di Pro, 99 € al mese, con 14 giorni di prova gratuita. Free include il registro dei data breach con il conto alla rovescia di 72 ore.
Dazr La aiuta a tenere il registro completo e aggiornato; non sceglie la base giuridica al posto Suo e non è consulenza legale.
Fonte: Regolamento (UE) 2016/679 (GDPR), articolo 30, e il documento di posizione del Gruppo di lavoro Articolo 29 sull'art. 30, par. 5 del 19 aprile 2018. Ultimo controllo: 7 novembre 2026.
Domande frequenti
Le piccole imprese devono tenere il registro dei trattamenti?
Di solito sì. L'esenzione per chi ha meno di 250 dipendenti non vale per i trattamenti non occasionali, rischiosi o con categorie particolari, e paghe e clienti sono trattamenti non occasionali. L'UE ha proposto di modificare questa soglia; verifichi se una modifica è in vigore prima di farvi affidamento.
Esiste un modello ufficiale?
No. L'art. 30 stabilisce il contenuto, non il formato. Il Garante pubblica dei modelli semplificati; un foglio di calcolo o un registro in uno strumento va bene se contiene tutte le voci obbligatorie.
Dobbiamo pubblicare il registro?
No. È un documento interno da esibire al Garante su richiesta. Ciò che comunica agli interessati va nell'informativa privacy.
Ogni quanto va aggiornato?
Ogni volta che un trattamento inizia, cambia o termina, e almeno una volta l'anno con una revisione completa. Annoti la data dell'ultima revisione per ogni attività.