Il registro dei trattamenti è il documento privacy più frainteso: previsto dall’art. 30 del Regolamento UE 2016/679, viene spesso compilato una volta, archiviato e dimenticato. Così diventa esattamente ciò che il GDPR non voleva essere: burocrazia. Fatto bene, invece, il registro è la mappa del patrimonio informativo dell’organizzazione: dice quali dati trattate, perché, dove sono, chi li tocca e quando devono sparire. È il primo documento che un’autorità di controllo chiede, ma soprattutto è il primo strumento che serve a voi per governare i dati.
Cosa chiede davvero l’art. 30
La norma è meno complicata di quanto sembri. Il titolare deve tenere un registro delle attività di trattamento con contenuti minimi: finalità, categorie di interessati e di dati, categorie di destinatari, eventuali trasferimenti extra-UE, e dove possibile i termini di cancellazione e una descrizione generale delle misure di sicurezza. Il responsabile del trattamento tiene un registro speculare per le attività svolte per conto dei titolari. L’esenzione per le organizzazioni sotto i 250 dipendenti è molto più stretta di quanto si creda: cade se il trattamento non è occasionale o coinvolge categorie particolari di dati, il che accade in quasi ogni realtà con dipendenti o clienti abituali. La domanda utile non è se tenere il registro, ma come renderlo uno strumento di lavoro.
Strutturarlo per processi, non per moduli
Il registro burocratico elenca voci astratte copiate da un modello. Il registro utile segue i processi reali dell’organizzazione: gestione del personale, selezione, amministrazione clienti e fornitori, marketing, assistenza post-vendita, videosorveglianza, sito web. Per ogni processo si descrive il flusso concreto: quali dati entrano, su quali sistemi risiedono, quali fornitori li vedono, quanto tempo restano. Questo approccio ha due vantaggi immediati. Primo: chi legge il registro riconosce la propria azienda, e quindi lo può verificare e correggere. Secondo: ogni riga diventa il punto di aggancio per gli altri adempimenti, dalle informative alle nomine dei responsabili, fino alla valutazione dei rischi.
Le informazioni che rendono il registro utile
Oltre ai contenuti minimi dell’art. 30, conviene arricchire ogni scheda con elementi operativi:
- la base giuridica di ciascun trattamento, così il registro documenta anche la liceità;
- gli applicativi e i sistemi dove i dati risiedono, per collegare privacy e sicurezza informatica;
- i fornitori coinvolti e lo stato delle nomine ex art. 28, per avere sotto controllo la filiera;
- la presenza di trasferimenti extra-UE e lo strumento di garanzia utilizzato;
- un campo note per criticità aperte e azioni di miglioramento pianificate.
Con queste aggiunte il registro smette di essere un adempimento isolato e diventa il cruscotto dell’intero sistema di gestione dei dati personali.
L’aggiornamento: un registro fermo è un registro falso
Un registro datato 2018 che non menziona lo smart working, i nuovi gestionali cloud o il fornitore di marketing subentrato nel frattempo non dimostra accountability: dimostra il contrario. L’aggiornamento non richiede revisioni continue, ma un metodo: una revisione periodica pianificata, ad esempio annuale, più un aggiornamento puntuale a ogni evento rilevante, come un nuovo software, un nuovo fornitore, una nuova finalità di trattamento o una riorganizzazione interna. Chi gestisce gli acquisti e l’IT deve sapere che ogni novità va segnalata a chi tiene il registro: è una regola organizzativa semplice, che vale più di qualunque modello perfetto. Serve anche un proprietario del documento: una persona, interna o esterna, con la responsabilità esplicita di tenerlo allineato alla realtà e con il mandato per ottenere le informazioni dalle altre funzioni. Un registro di tutti è un registro di nessuno.
Il registro come punto di partenza
Nella nostra esperienza, rifare il registro per processi è spesso il modo migliore per rimettere ordine in tutto il sistema privacy: emergono i fornitori senza nomina, i dati conservati senza motivo, i flussi extra-UE ignorati. PL Consulting costruisce registri dei trattamenti aderenti alla realtà operativa, pensati per essere aggiornati senza fatica: scopri il servizio di consulenza GDPR e contattaci per una valutazione del tuo registro attuale.
Nota: questo articolo ha finalità informative generali e non sostituisce una valutazione professionale sul caso specifico. Articolo aggiornato a luglio 2026.