Il registro dei trattamenti è la radiografia del modo in cui un’azienda usa i dati personali: se è fatto bene, tutto il resto della compliance GDPR viene più facile. Come DPO ne leggo in continuazione, e gli errori nei registri dei trattamenti sono talmente ricorrenti che ormai li riconosco dall’indice. Eccone sette, con qualche suggerimento pratico per evitarli.
1. Copiato dal fornitore del gestionale
Molti registri nascono da un file precompilato arrivato insieme al software gestionale. Il risultato è un documento che descrive i trattamenti del gestionale, non quelli dell’azienda: mancano la videosorveglianza, le candidature, il sito web, i dati dei dipendenti gestiti fuori dal software. L’ho visto succedere con registri praticamente identici in aziende di settori diversi, clienti dello stesso fornitore. Il registro deve partire dai processi: cosa fate voi con i dati, non cosa fa il vostro software.
2. Tempi di conservazione “per sempre”
Fino a revoca del consenso, illimitato, oppure la casella lasciata in bianco: le non-risposte più frequenti alla domanda più importante del registro. La conservazione illimitata non è una scelta, è l’assenza di una scelta, e la limitazione della conservazione è tra i principi più contestati nei provvedimenti del Garante. Non servono tempi perfetti al giorno: serve un criterio difendibile per ogni trattamento, e qualcuno che ogni tanto cancelli davvero qualcosa.
3. Basi giuridiche tutte “consenso”
Il consenso è la base giuridica più fragile e la più abusata. Trovo registri dove i dipendenti acconsentono al trattamento per la busta paga: peccato che quel consenso non sarebbe libero, e che la base corretta stia tra contratto e obblighi di legge. Il consenso messo ovunque è il segnale che le basi giuridiche non sono state ragionate una per una. E se la base è sbagliata, tutto quello che ci sta sopra vacilla: informative, conservazione, diritti degli interessati.
4. Fornitori extra-UE dimenticati
Alla voce trasferimenti extra-UE il registro dice: nessuno. Poi guardo gli strumenti in uso: piattaforma di newsletter americana, assistenza clienti in cloud, strumenti di analytics, CRM. Il trasferimento c’è, solo che nessuno l’ha cercato. Questa voce va compilata guardando la lista reale dei fornitori e dei loro sub-responsabili, con le rispettive sedi, non andando a memoria. È anche una delle prime cose che un’autorità o un cliente in fase di qualifica vi chiederanno.
5. Una versione unica, mai aggiornata dal 2018
Registri creati nella corsa all’adeguamento del 2018 e mai più riaperti: nel frattempo l’azienda ha cambiato sito, gestionale e fornitori, ha introdotto lo smart working e magari qualche strumento di intelligenza artificiale. Il registro è un documento vivo per definizione, e un file con la data di ultima modifica di parecchi anni fa è la prima cosa che salta all’occhio in un controllo. Non serve rifarlo da zero: serve una revisione periodica calendarizzata, più un aggiornamento a ogni cambiamento rilevante.
6. Trattamenti HR sottovalutati
Il registro dedica pagine ai dati dei clienti e tre righe ai dipendenti. In realtà i dati del personale sono spesso i più delicati che l’azienda tratta: salute, adesioni sindacali, provvedimenti disciplinari, geolocalizzazione dei veicoli, controlli sugli strumenti di lavoro. È anche l’area da cui il contenzioso arriva più facilmente, perché l’interessato scontento in azienda ci lavora tutti i giorni. Un registro serio tratta i dipendenti con la stessa cura riservata ai clienti, se non di più.
7. Nessun collegamento con le misure di sicurezza
La colonna delle misure di sicurezza ripete per ogni trattamento la stessa frase generica su antivirus e credenziali. Il registro dovrebbe invece dire quali misure proteggono quel trattamento: dove risiedono i dati, chi vi accede, come sono protetti. È il ponte tra privacy e sicurezza: se manca, il registro resta un esercizio anagrafico e le misure restano parole. Quando le due cose si parlano, il registro diventa lo strumento di gestione che il GDPR aveva in mente, e non un allegato da esibire.
Da dove cominciare
Un registro fatto bene non è più lungo: è più vero. Se il vostro assomiglia a uno dei casi qui sopra, il modo più rapido per saperlo è farlo rileggere a qualcuno che ne ha letti tanti: date un’occhiata al nostro servizio di consulenza GDPR e partite da una gap analysis del registro. È il documento da cui un’autorità comincia quasi sempre: conviene arrivarci preparati.
Nota: le osservazioni riportate derivano dall’esperienza di DPO e consulenza, hanno valore generale e non costituiscono parere legale; ogni situazione va valutata nel proprio contesto. Articolo aggiornato a luglio 2026.
