Registro delle attività di trattamento: fate il vostro in un pomeriggio (modello incluso)

Per chi è

Titolari e responsabili di PMI che «si occupano anche del GDPR», e DPO o consulenti che preparano registri per i clienti e vogliono un metodo ripetibile. Se seguite più clienti, vedete anche la guida per il DPO esterno con più clienti.

Per chi non è

Per chi ha bisogno di una consulenza legale su un caso specifico. Questa guida spiega la regola e un metodo pratico, ma non sostituisce una consulenza professionale.

Venerdì, 14:05, Oficina Rocha

Marta è la responsabile amministrativa dell’Oficina Rocha, un mobilificio di 45 persone vicino a Braga, nel nord del Portogallo, con un negozio online che vende in tutto il paese. Il venerdì pomeriggio «si occupa anche del GDPR».

Oggi è arrivata un’e-mail dalla CNPD, l’autorità portoghese per la protezione dei dati. Un cliente del negozio online ha presentato un reclamo, e l’autorità chiede diversi documenti, tra cui il registro delle attività di trattamento dell’azienda.

Marta apre la cartella condivisa e trova GDPR_finale_v3.docx, datato maggio 2018. Parla di un server che non esiste più, di un fornitore di software che ha cambiato nome e di un fax. Niente sul negozio online, sulle telecamere del magazzino o sul nuovo software di selezione del personale.

Ha tempo fino a fine pomeriggio per capire cosa manca. Facciamolo con lei.

L’Oficina Rocha, Marta e gli altri personaggi sono fittizi.

Il registro: cos’è e perché conviene

Il registro è la mappa dei dati personali dell’organizzazione. Non è un testo legale né una policy. È una tabella con una riga per attività: pagare gli stipendi, selezionare il personale, gestire gli ordini del negozio online, inviare la newsletter, riprendere con la videosorveglianza.

La legge lo richiede perché possiate dimostrare di rispettare il GDPR e perché l’autorità di controllo possa consultarlo (considerando 82; art. 5, paragrafo 2; art. 30, paragrafo 4). Ma il vantaggio più grande è interno. Un registro aggiornato risponde in fretta alle domande che arrivano sempre nel momento peggiore:

• Un cliente chiede tutti i dati che abbiamo su di lui. Il registro dice dove cercare (vedete la guida al diritto di accesso e cancellazione). Nella sua azione coordinata del 2024 sul diritto di accesso, che ha coinvolto 1.185 organizzazioni, il Comitato europeo per la protezione dei dati (EDPB) raccomanda di usare il registro per localizzare i dati e capire a chi sono stati comunicati.
• Abbiamo perso un portatile. Il registro dice quali dati poteva contenere e chi è coinvolto, la prima domanda delle 72 ore dopo un data breach.
• Cambiamo fornitore di software. Il registro dice quali attività ne dipendono.
• Dobbiamo aggiornare l’informativa privacy. Finalità, destinatari e tempi sono già scritti (artt. 13 e 14).

«Abbiamo meno di 250 dipendenti, quindi siamo esenti.» Probabilmente no.

Il GDPR prevede un’esenzione per le organizzazioni con meno di 250 dipendenti. Ma leggete la frase fino in fondo:

«Gli obblighi di cui ai paragrafi 1 e 2 non si applicano alle imprese o organizzazioni con meno di 250 dipendenti, a meno che il trattamento che esse effettuano possa presentare un rischio per i diritti e le libertà dell’interessato, il trattamento non sia occasionale o includa il trattamento di categorie particolari di dati di cui all’articolo 9, paragrafo 1, o i dati personali relativi a condanne penali e a reati di cui all’articolo 10.» GDPR, art. 30, paragrafo 5

Basta una delle tre condizioni per escludere l’esenzione, e la seconda riguarda quasi tutti: pagare gli stipendi ogni mese non è occasionale. Per questo il Garante, nelle sue FAQ, indica che anche le piccole e medie imprese devono tenere il registro per i trattamenti non occasionali, e ha pubblicato un modello di «registro semplificato» pensato per loro. La CNPD, l’autorità portoghese, va oltre: secondo lei l’esenzione si applica solo in circostanze «assolutamente eccezionali».

Il Gruppo di lavoro Articolo 29, la cui posizione è stata ripresa dall’EDPB, ha chiarito un punto utile: una piccola organizzazione deve registrare solo le attività che soddisfano una delle condizioni. In pratica, come mostra l’Oficina Rocha, sono quasi tutte.

Esempio illustrativo. La valutazione del rischio dipende dalle circostanze concrete di ogni organizzazione.

Anche quando l’esenzione si applica, il registro resta il modo più semplice per rispettare il principio di responsabilizzazione (art. 5, paragrafo 2; art. 24). Nel 2025 l’EDPB e il Garante europeo della protezione dei dati (GEPD) lo hanno descritto come uno strumento utile per adempiere ad altri obblighi, come la trasparenza.

Modello gratuito: il Kit registro delle attività di trattamento trasforma questa guida in un foglio di calcolo pronto all’uso.

Titolare o responsabile del trattamento? Forse entrambi

Ci sono due registri distinti, con contenuti diversi.

Un’organizzazione può essere entrambe le cose. Un’agenzia di marketing è titolare per i dati del proprio personale e responsabile del trattamento quando invia newsletter alle liste dei clienti. Chi ha entrambi i ruoli tiene due registri separati. Le linee guida 07/2020 dell’EDPB aiutano a stabilire il ruolo in ogni caso. Attenzione al termine: in italiano il «responsabile del trattamento» è chi tratta per conto altrui, mentre chi decide è il «titolare».

I sette campi, in parole semplici

Questo è il contenuto minimo del registro del titolare (art. 30, paragrafo 1, lettere da a) a g)). L’ultima colonna mostra la riga paghe dell’Oficina Rocha come esempio già compilato.

Sui periodi di conservazione. Nella lettera f) scrivete il numero di anni e il motivo (per esempio, «normativa fiscale»). Se non conoscete il periodo esatto, chiedete al vostro commercialista o avvocato, e annotate chi l’ha confermato e quando. Un periodo verificato vale più di un periodo perfetto.

Il metodo del pomeriggio

Marta non ha bisogno di un progetto di tre mesi. Le serve oggi un registro onesto e completo, che migliorerà dopo. In un’organizzazione con 10-20 attività, questi quattro passaggi stanno in un pomeriggio. In un’organizzazione più grande, contate un pomeriggio per reparto.

1. 14:00 · 30 min

   Elencate team e sistemi

   Scrivete i reparti dell’organizzazione: HR, vendite e negozio online, amministrazione, produzione, IT, servizi generali. Accanto, i software e i servizi che ciascuno usa. Non dimenticate il sito web: moduli, cookie e strumenti di statistica trattano anche dati personali.

2. 14:30 · 90 min

   Fate le stesse cinque domande a ogni team

   Bastano quindici minuti a persona. Usate sempre le stesse domande:

   1. Quali dati personali usate nel vostro lavoro?
   2. Per cosa?
   3. Da dove vengono (dalla persona stessa, da un’altra azienda, da un elenco pubblico)?
   4. Chi altro li vede o li riceve, compresi i fornitori di software e di servizi?
   5. Per quanto tempo li conservate, e perché?

3. 16:00 · 90 min

   Scrivete una riga per finalità, non per software

   È il passaggio che evita più errori. Le attività si individuano dalla finalità, non dal software usato. Un software può servire più finalità, e una finalità usa quasi sempre più software.

   [Schema: la finalità «Gestire gli ordini del negozio online» è collegata a quattro sistemi: piattaforma del negozio, software di fatturazione, corriere, casella del servizio clienti.]

   I sistemi vanno in una colonna a parte della riga. Se cambiate corriere, modificate una cella, non tutto il registro.

4. 17:30 · 30 min

   Aggiungete le colonne che rendono utile il registro

   L’articolo 30 non le richiede, ma fanno risparmiare tempo dopo. Anche il modello semplificato del Garante va oltre il minimo di legge.

   • Base giuridica (contratto, obbligo legale, consenso…) art. 6
   • Fonte dei dati, necessaria per informare gli interessati, art. 14
   • Sistemi e fornitori, indicando se esiste un contratto di responsabile del trattamento, art. 28
   • DPIA necessaria? Sì, no o da verificare, art. 35
   • Responsabile della riga e data della prossima revisione

Alle 18:00 Marta ha 14 righe. Tre sono segnate «da confermare». Non è perfetto, ma è vero, datato e pronto da inviare. È molto meglio del file del 2018.

Sei errori che rendono inutile un registro

• Una riga per software. «Software HR» non è una finalità. Selezionare il personale, pagare gli stipendi e valutare le prestazioni sono tre finalità.
• Finalità vaghe. «Gestione» o «fini amministrativi» non dicono nulla. Scrivete ciò che succede davvero: «inviare la newsletter mensile ai clienti che l’hanno chiesta».
• Conservazione «a tempo indeterminato». Il GDPR chiede termini ogni volta che è possibile. Quasi sempre è possibile dare un numero.
• Attività dimenticate. Quelle che mancano più spesso: videosorveglianza, candidature spontanee, statistiche del sito e accesso remoto del fornitore informatico.
• Destinatari incompleti. Il fornitore della posta elettronica, il cloud e il commercialista sono anch’essi destinatari.
• Nessuno ne è responsabile. Un registro senza qualcuno che lo aggiorna diventa obsoleto in pochi mesi. Assegnate ogni riga a una persona.

Cosa dicono le autorità

Non c’è ancora stata un’azione coordinata europea dedicata al registro, ma le autorità sono coerenti:

• Il Garante per la protezione dei dati personali spiega nelle sue FAQ sul registro chi deve tenerlo e cosa deve contenere, ricorda che le PMI devono registrare i trattamenti non occasionali e offre un modello di registro semplificato per titolari e responsabili.
• La CNPD, l’autorità portoghese, ricorda che l’obbligo riguarda anche le organizzazioni con meno di 250 dipendenti e che l’esenzione è «assolutamente eccezionale». Pubblica modelli Excel per titolari e responsabili del trattamento.
• L’EDPB, nella relazione del 2024 sul diritto di accesso, indica che il registro va tenuto «sempre aggiornato», anche quando arrivano nuovi sistemi o responsabili del trattamento, e raccomanda di usarlo per ritrovare i dati quando arriva una richiesta.
• L’EDPB e il GEPD hanno riconosciuto nel 2025 che l’esenzione attuale non sempre ha raggiunto il suo scopo. Hanno sostenuto la semplificazione continuando a vedere nel registro uno strumento utile.
• Nella consultazione pubblica dell’EDPB del 2025 sui modelli, il registro dei trattamenti è risultato il modello più richiesto. L’EDPB ha inserito un modello europeo di registro nel programma di lavoro 2026–2027. Se il registro vi sembra difficile, non siete i soli.

Cosa potrebbe cambiare · aggiornato il 21 ott 2026

L’esenzione si allargherà. Non è ancora legge.

A maggio 2025 la Commissione europea ha proposto di modificare l’articolo 30, paragrafo 5, nel pacchetto di semplificazione «Omnibus IV». La procedura legislativa è la 2025/0130(COD).

• 21 maggio 2025: proposta della Commissione: esenzione per le organizzazioni con meno di 750 dipendenti, salvo che il trattamento possa presentare un rischio elevato.
• 25 feb 2026: le commissioni del Parlamento europeo adottano la loro posizione: soglia di 1.000 dipendenti e nessuna esenzione per il trattamento di dati particolari.
• 26 giugno 2026: accordo provvisorio tra Parlamento e Consiglio, confermato dal Comitato dei rappresentanti permanenti.
• 23 nov 2026: data indicativa del voto in plenaria al Parlamento. Seguono l’adozione da parte del Consiglio e la pubblicazione nella Gazzetta ufficiale.

Il testo di compromesso (documento del Consiglio 10482/26 ADD 3, del 19 giugno 2026) esenterebbe dall’obbligo del registro le imprese e organizzazioni con meno di 1.000 persone, con tre limiti:

• bisognerà continuare a registrare ogni attività che possa presentare un rischio elevato per le persone, ai sensi dell’articolo 35, e solo quella;
• bisognerà continuare a tenere il registro quando l’attività è tra quelle che impongono di designare un DPO;
• l’esenzione non si applica alle autorità e agli organismi pubblici.

I considerando aggiungono che trattare dati sanitari solo per adempiere a obblighi di diritto del lavoro e della previdenza sociale (come i certificati di malattia) non obbliga, da solo, a tenere il registro.

Cosa significa per voi oggi: finché il testo finale non è pubblicato nella Gazzetta ufficiale e non è applicabile, vale la regola attuale dei 250 dipendenti. E anche dopo, un’organizzazione esentata dovrà comunque sapere quali dati ha per rispondere alle richieste di accesso, gestire i data breach e scrivere un’informativa corretta. Essere esonerati dal formato non esonera dal sapere.

Un altro pacchetto, il «Digital Omnibus» di novembre 2025, non modifica l’articolo 30, ma propone elenchi europei dei trattamenti che richiedono una valutazione d’impatto (DPIA). Se approvato, aiuterà a compilare la colonna «DPIA necessaria?». Rivediamo questo riquadro a ogni passaggio della procedura. Cosa cambia questa proposta per i data breach e il diritto di accesso lo spieghiamo nell’articolo sul Digital Omnibus.

Tenerlo vivo in 15 minuti a trimestre

Un registro è una fotografia. Per non farlo diventare obsoleto servono degli inneschi e una routine breve.

Modelli gratuiti, confrontati con franchezza

Non serve partire da zero. Questi sono i modelli ufficiali disponibili:

Il kit Pulsaiq segue le stesse regole e aggiunge ciò che manca: righe già compilate per le attività che quasi tutte le PMI hanno, e una breve spiegazione in ogni colonna.

Checklist: il vostro registro è pronto?

• Avete stabilito se siete titolare, responsabile del trattamento o entrambi, e avete un registro per ogni ruolo.
• Avete parlato con tutti i team, compresi l’IT e chi gestisce il sito web.
• Ogni riga è una finalità, scritta come un’azione concreta.
• I sette campi dell’art. 30, paragrafo 1, sono compilati per ogni riga.
• Ogni periodo di conservazione ha un numero e un motivo.
• I fornitori di software e di servizi sono tra i destinatari.
• I trasferimenti extra SEE sono individuati, con la garanzia usata.
• Le attività che potrebbero richiedere una DPIA sono segnalate.
• Ogni riga ha un responsabile e una data di prossima revisione.
• Il registro è datato e potrebbe essere inviato all’autorità di controllo il giorno stesso in cui lo chiede.

Domande ricorrenti

Domande frequenti

Una PMI con meno di 250 dipendenti deve tenere il registro dei trattamenti?

Quasi sempre sì. L’esenzione dell’art. 30, paragrafo 5, cade se il trattamento non è occasionale, se può presentare un rischio o se riguarda dati particolari o giudiziari. Pagare gli stipendi ogni mese non è già più occasionale, e il Garante chiede alle PMI di registrare questi trattamenti.

Devo inviare il registro all’autorità di controllo?

No. Il registro resta nell’organizzazione, in forma scritta, anche elettronica (art. 30, paragrafo 3). Lo comunicate solo se l’autorità lo chiede (art. 30, paragrafo 4): conviene quindi averlo pronto da inviare in giornata.

Un foglio di calcolo può servire da registro?

Sì. La legge non impone né formato né software, solo il contenuto dei sette campi. Diverse autorità, tra cui il Garante e la CNPD, pubblicano propri modelli. Ciò che conta è che il registro sia completo, datato e aggiornato.

Ogni quanto va aggiornato il registro?

A ogni cambiamento, più una breve revisione ogni trimestre. La legge non fissa una frequenza, ma l’EDPB raccomanda di tenere il registro «sempre aggiornato», anche quando arrivano nuovi sistemi o responsabili del trattamento.

La proposta Omnibus IV mi esonera già dal registro?

Non ancora. Finché il testo finale non è pubblicato nella Gazzetta ufficiale e non è applicabile, vale la regola attuale dei 250 dipendenti. L’accordo provvisorio del 26 giugno 2026 prevede l’esenzione per le organizzazioni con meno di 1.000 persone, ma mantiene il registro per le attività ad alto rischio.

Fonti

Legislazione

• Regolamento (UE) 2016/679 (GDPR), articoli 5, 6, 13, 14, 24, 28, 30, 32 e 35 e considerando 82, EUR-Lex

Autorità di controllo

• Garante, FAQ sul registro delle attività di trattamento
• Garante, modello di registro semplificato per le PMI
• Gruppo di lavoro Articolo 29, Position Paper on Article 30(5), 19 apr 2018, ripreso dall’EDPB (in inglese)
• EDPB, relazione dell’azione coordinata del 2024 sul diritto di accesso, gen 2025 (in inglese)
• EDPB, linee guida 07/2020 sui concetti di titolare e responsabile del trattamento (in inglese)
• EDPB, relazione sulla consultazione pubblica sui modelli, 2026 (in inglese)
• CNPD, Registo de atividades de tratamento (in portoghese), con modelli per titolari e responsabili

Modifiche in corso

• Commissione europea, COM(2025) 501, proposta di modifica del GDPR
• Parlamento europeo, scheda della procedura 2025/0130(COD)
• Parlamento europeo, comunicato sul voto in commissione, feb 2026
• Consiglio dell’UE, documento 10482/26 ADD 3, testo di compromesso, 19 giugno 2026
• EDPB e GEPD, parere congiunto 01/2025, lug 2025
• EDPB e GEPD, parere congiunto 2/2026 sul Digital Omnibus

Ultima revisione: 21 ottobre 2026. Rivediamo questa guida ogni volta che cambiano la legge o le indicazioni delle autorità.

Questa guida è un’informazione generale sul GDPR e non costituisce consulenza legale. Per una decisione su un caso specifico, rivolgetevi a un professionista qualificato. I personaggi e le aziende degli esempi sono fittizi.