Articolo a cura di: Redazione - Studio Legale Calvello

Il registro delle attività di trattamento è uno dei documenti attraverso i quali un’azienda deve poter ricostruire come utilizza i dati personali di dipendenti, clienti, fornitori e altri interessati. L’art. 30 del Regolamento (UE) 2016/679 ne disciplina il contenuto e i casi in cui deve essere tenuto. L’obbligo può riguardare anche imprese con meno di 250 dipendenti, contrariamente a quanto spesso si ritiene. Un registro assente, incompleto o non corrispondente ai trattamenti effettivamente svolti può esporre la società a contestazioni e sanzioni, soprattutto quando le irregolarità emergono durante un controllo del Garante Privacy.

Per un’impresa, il problema non consiste soltanto nel predisporre il documento iniziale. Occorre verificare quando sia obbligatorio, quali attività debbano essere censite, chi debba curarne l’aggiornamento e come mantenerlo coerente con l’organizzazione aziendale. Quando il registro non è mai stato predisposto oppure risale a diversi anni prima, può essere necessaria una verifica professionale per individuare le omissioni e stabilire gli interventi di regolarizzazione.

Quando il registro dei trattamenti è obbligatorio per un’azienda, anche con meno di 250 dipendenti

L’art. 30 GDPR prevede che il titolare del trattamento e, quando applicabile, il suo rappresentante tengano un registro delle attività di trattamento svolte sotto la propria responsabilità. Un obbligo distinto riguarda i responsabili del trattamento, che devono documentare le categorie di attività effettuate per conto dei titolari. La distinzione interessa concretamente le imprese che affidano servizi a fornitori esterni, ma anche le società informatiche, amministrative e di outsourcing che trattano dati personali per conto dei propri clienti.

La questione più frequentemente sottovalutata riguarda le organizzazioni con meno di 250 dipendenti. Il paragrafo 5 dell’art. 30 stabilisce una deroga per queste realtà, ma l’esenzione non opera quando il trattamento può presentare un rischio per i diritti e le libertà degli interessati, non è occasionale oppure comprende categorie particolari di dati ai sensi dell’art. 9 o dati relativi a condanne penali e reati ai sensi dell’art. 10 GDPR.

Nella normale attività d’impresa, il trattamento dei dati del personale, la gestione continuativa dei clienti e dei fornitori e l’utilizzo di sistemi gestionali costituiscono generalmente operazioni non occasionali. Anche una piccola società con pochi dipendenti può quindi essere tenuta a documentare tali attività. Il numero dei lavoratori, da solo, non consente di stabilire che il registro sia facoltativo. Occorre esaminare la natura e la continuità dei trattamenti effettivamente effettuati, applicando le condizioni previste dalla disposizione e tenendo conto delle indicazioni delle autorità di controllo.

Un’impresa che gestisce dati sanitari, informazioni relative ad assenze per malattia, sistemi di videosorveglianza o trattamenti continuativi attraverso software aziendali deve valutare attentamente la propria posizione. L’eventuale esenzione deve essere verificata in relazione ai singoli trattamenti e non può essere presunta sulla base delle dimensioni dell’organizzazione. Per le realtà di minori dimensioni, il registro può essere circoscritto alle attività che fanno sorgere l’obbligo, senza necessariamente riprodurre la complessità documentale di una grande impresa.

Un ulteriore equivoco riguarda la nomina del responsabile della protezione dei dati, o DPO. L’obbligo di tenere il registro non dipende dall’obbligo di nominare un DPO. Un’azienda può essere tenuta a predisporre il registro pur non rientrando nei casi di designazione obbligatoria previsti dall’art. 37 GDPR. Analogamente, l’eventuale presenza di un DPO esterno non trasferisce automaticamente a quest’ultimo la responsabilità giuridica della tenuta del documento, che resta riferita al titolare o al responsabile del trattamento secondo le rispettive competenze.

Il registro costituisce una componente della documentazione necessaria per dimostrare l’osservanza del principio di responsabilizzazione previsto dal GDPR. La sua presenza, però, non dimostra da sola che ogni trattamento sia lecito. Deve corrispondere alle operazioni effettivamente svolte ed essere coerente con gli altri adempimenti aziendali, secondo i criteri illustrati anche nel nostro approfondimento sui documenti GDPR obbligatori per le aziende.

Come compilare e aggiornare il registro dei trattamenti secondo l’art. 30 GDPR

La corretta predisposizione del registro richiede anzitutto una ricognizione delle attività nelle quali vengono utilizzati dati personali. Non è sufficiente recuperare un modello standard, compilare alcuni campi e conservarlo insieme alle informative privacy. Occorre individuare concretamente quali informazioni vengono raccolte, per quali finalità, quali soggetti vi accedono, a chi vengono comunicate e per quanto tempo vengono conservate.

Per il titolare del trattamento, l’art. 30, paragrafo 1, richiede, tra gli altri elementi, l’indicazione dei dati identificativi e di contatto del titolare, degli eventuali contitolari, del rappresentante e del DPO, ove applicabili; le finalità del trattamento; le categorie di interessati e di dati personali; le categorie di destinatari; gli eventuali trasferimenti verso Paesi terzi o organizzazioni internazionali con le informazioni richieste dalla norma; i termini previsti per la cancellazione delle diverse categorie di dati, ove possibile, e una descrizione generale delle misure tecniche e organizzative di sicurezza, sempre ove possibile.

Il registro del responsabile del trattamento presenta invece un contenuto specifico, disciplinato dal paragrafo 2 dello stesso articolo. La differenza deve essere rispettata quando una società opera contemporaneamente come titolare per le proprie attività interne e come responsabile per servizi resi ad altre imprese. In questi casi è necessario distinguere correttamente i due ruoli, evitando di confondere le attività svolte per finalità proprie con quelle eseguite su istruzione dei clienti.

Dal punto di vista operativo, consigliamo di partire dai processi effettivi dell’impresa: amministrazione, gestione del personale, rapporti commerciali, assistenza clienti e sistemi informatici. Ogni funzione aziendale può utilizzare dati diversi e coinvolgere soggetti esterni. Il registro deve rappresentare tali attività con un livello di dettaglio sufficiente a comprenderne le caratteristiche, senza trasformarsi in un inventario indiscriminato di ogni singola operazione informatica.

Il GDPR non stabilisce una scadenza annuale generalizzata per l’aggiornamento del registro. Il documento deve però rimanere aderente alla realtà. Una verifica periodica programmata è una misura organizzativa opportuna, mentre l’introduzione di nuovi trattamenti o la modifica di quelli esistenti può rendere necessario un intervento anche prima della revisione ordinaria.

Si pensi all’adozione di un nuovo gestionale HR, al trasferimento di archivi su servizi cloud, all’attivazione di telecamere, all’introduzione di strumenti di intelligenza artificiale che elaborano dati personali oppure all’affidamento di attività a nuovi fornitori. In ciascuna situazione occorre verificare se cambino finalità, categorie di dati, destinatari, trasferimenti internazionali, tempi di conservazione o misure di sicurezza. Non ogni modifica tecnica impone una nuova voce nel registro, ma ogni cambiamento che incida sulle informazioni documentate richiede una valutazione.

Il registro deve essere tenuto in forma scritta, anche elettronica, e messo a disposizione dell’autorità di controllo su richiesta. Un foglio elettronico può essere adeguato per una struttura semplice, purché sia completo, accessibile ai soggetti incaricati e mantenuto aggiornato. Le organizzazioni più articolate possono utilizzare strumenti dedicati, ma l’impiego di un software non sostituisce la verifica giuridica e organizzativa dei trattamenti.

È utile individuare internamente chi raccoglie le informazioni dai diversi reparti, chi verifica le modifiche e chi provvede materialmente all’aggiornamento. Il DPO, quando designato, può svolgere attività di consulenza e sorveglianza sulla corretta tenuta del registro, secondo le proprie funzioni e nel rispetto della sua indipendenza. Per le aziende che devono rivedere più documenti contemporaneamente, il coordinamento con le altre procedure è trattato nel nostro approfondimento su come aggiornare la documentazione privacy aziendale.

Registro dei trattamenti assente o non aggiornato: responsabilità, controlli del Garante e sanzioni

La mancata predisposizione del registro dei trattamenti, quando obbligatorio, costituisce una violazione dell’art. 30 GDPR. Anche un documento formalmente esistente può presentare irregolarità se omette attività rilevanti, contiene informazioni non più attuali oppure descrive un’organizzazione diversa da quella effettiva. Il rischio per l’azienda non riguarda soltanto l’assenza materiale del registro, ma anche l’impossibilità di fornire all’autorità di controllo una rappresentazione attendibile dei trattamenti svolti.

Il Garante per la protezione dei dati personali può richiedere l’esibizione del registro nell’ambito dei propri poteri di indagine, anche durante un’ispezione o un accertamento avviato a seguito di un reclamo. L’art. 30, paragrafo 4, impone al titolare e al responsabile del trattamento di mettere il documento a disposizione dell’autorità su richiesta. Non è invece previsto un obbligo generalizzato di trasmissione preventiva del registro al Garante, né di pubblicazione sul sito internet aziendale.

Durante una verifica, il registro può essere confrontato con informative, contratti stipulati con i responsabili esterni, procedure interne, documentazione relativa alla sicurezza e caratteristiche dei sistemi informatici utilizzati. Se un’impresa dichiara di trattare soltanto dati amministrativi, ma utilizza stabilmente sistemi di videosorveglianza, strumenti di monitoraggio o applicazioni che elaborano ulteriori categorie di informazioni personali, l’incoerenza può rendere necessari approfondimenti. Il documento deve quindi essere verificabile rispetto ai processi aziendali, non limitarsi a una descrizione generica delle attività.

Le violazioni degli obblighi previsti dall’art. 30 rientrano nel regime sanzionatorio dell’art. 83, paragrafo 4, lettera a), GDPR, che contempla sanzioni amministrative pecuniarie fino a 10 milioni di euro oppure, per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore. Si tratta dei massimali normativi, non di importi automaticamente applicabili alla singola irregolarità. La determinazione dell’eventuale sanzione richiede la valutazione delle circostanze concrete secondo i criteri dell’art. 83, paragrafo 2, compresi natura, gravità e durata della violazione, grado di responsabilità, misure adottate e cooperazione con l’autorità.

La responsabilità dell’adempimento resta in capo al titolare o al responsabile del trattamento, secondo il ruolo effettivamente ricoperto. L’affidamento della compilazione a un consulente esterno o al DPO non determina, di per sé, il trasferimento della responsabilità prevista dal GDPR. La direzione aziendale deve quindi assicurare che siano disponibili informazioni corrette e che le modifiche organizzative vengano comunicate a chi cura il documento. La ripartizione interna dei compiti può essere formalizzata, ma deve corrispondere a un processo concretamente funzionante.

Quando emerge che il registro non è stato predisposto oppure non viene aggiornato da anni, consigliamo di distinguere le carenze puramente documentali dalle situazioni nelle quali la ricognizione rivela problemi sostanziali: trattamenti privi di una base giuridica adeguata, fornitori non correttamente inquadrati, tempi di conservazione non definiti o misure di sicurezza non coerenti con i rischi. La semplice riscrittura del registro non risolve automaticamente queste criticità. Occorre individuare gli interventi necessari, documentare le verifiche e correggere le procedure interessate.

Se l’impresa ha già ricevuto una richiesta di informazioni o una comunicazione del Garante, è opportuno verificare immediatamente la documentazione disponibile e rispettare i termini assegnati. Non è corretto ricostruire retroattivamente aggiornamenti mai effettuati o attribuire al registro date non corrispondenti alla realtà. Le eventuali integrazioni devono essere documentate in modo trasparente, distinguendo la situazione preesistente dalle attività correttive successivamente svolte. Per gli aspetti relativi alla gestione del procedimento, abbiamo approfondito anche come rispondere a una richiesta di informazioni del Garante Privacy.

Una verifica preventiva consente invece di individuare le incongruenze prima che emergano durante un controllo. Il lavoro può essere svolto nell’ambito di un audit privacy aziendale, concentrando l’analisi sui trattamenti effettivi e sulle informazioni che devono essere riportate nel registro. Il livello di approfondimento dipende dalle dimensioni dell’impresa, dalla complessità dei processi, dalle categorie di dati utilizzati e dalle modifiche intervenute rispetto alla precedente ricognizione.

Un esempio pratico: aggiornare il registro dopo l’introduzione di nuovi software e fornitori

Consideriamo il caso ipotetico di una società di servizi con circa quaranta dipendenti, che dispone di un registro predisposto alcuni anni prima. Nel frattempo ha introdotto un nuovo gestionale per il personale, trasferito parte degli archivi su una piattaforma cloud e affidato a un fornitore esterno la gestione delle campagne commerciali. Il documento originario continua però a descrivere soltanto le attività amministrative e la gestione ordinaria dei clienti.

Il problema emerge quando la direzione decide di verificare la documentazione GDPR prima di un controllo richiesto da un importante committente. La ricognizione dei processi mostra che alcune categorie di destinatari non sono più corrette, i trasferimenti di dati non sono stati adeguatamente esaminati e i tempi di conservazione indicati nel registro non corrispondono alle procedure effettivamente adottate.

In una situazione di questo tipo, il nostro intervento professionale consisterebbe nell’esaminare il registro esistente, confrontarlo con le attività svolte dai diversi reparti e verificare i rapporti con i fornitori coinvolti. Particolare attenzione richiederebbe l’individuazione dei rispettivi ruoli privacy e degli eventuali trasferimenti internazionali, perché l’utilizzo di servizi cloud non comporta automaticamente che i dati siano trasferiti fuori dallo Spazio economico europeo, ma impone di verificarne concretamente le modalità di trattamento.

La riorganizzazione documentale dovrebbe quindi comprendere l’aggiornamento delle attività censite, la correzione delle informazioni non più attuali e l’individuazione di un referente incaricato di comunicare le future modifiche. L’esempio mostra perché aggiornare il registro significa ricostruire i trattamenti effettivi dell’impresa, e non semplicemente modificare la data riportata su un documento già esistente.

Domande frequenti sul registro dei trattamenti GDPR

Un’azienda con meno di 250 dipendenti deve sempre avere il registro dei trattamenti?

Non necessariamente, ma l’esenzione prevista dall’art. 30, paragrafo 5, GDPR è soggetta a condizioni precise. In particolare, non opera quando il trattamento non è occasionale, può presentare un rischio per i diritti e le libertà degli interessati oppure riguarda le categorie di dati indicate dagli artt. 9 e 10 GDPR. Poiché molte imprese trattano stabilmente dati di dipendenti, clienti e fornitori, occorre verificare concretamente quali attività devono essere documentate.

Il registro dei trattamenti deve essere aggiornato obbligatoriamente ogni anno?

Il GDPR non prevede una scadenza annuale generalizzata. Il registro deve però rappresentare correttamente le attività effettivamente svolte. Una revisione periodica è consigliabile, mentre modifiche riguardanti finalità, categorie di dati, destinatari, trasferimenti internazionali o tempi di conservazione possono richiedere aggiornamenti immediati. La frequenza dei controlli interni deve essere proporzionata alla complessità dell’organizzazione.

Chi deve compilare e aggiornare il registro: il titolare, il DPO o il consulente privacy?

La responsabilità dell’adempimento previsto dall’art. 30 compete al titolare o al responsabile del trattamento, secondo i rispettivi ruoli. La compilazione e l’aggiornamento materiale possono essere affidati a personale interno o a professionisti esterni. Il DPO, quando nominato, può fornire consulenza e verificare la corretta gestione del documento nell’ambito delle proprie funzioni, senza assumere automaticamente la responsabilità del titolare.

È sufficiente utilizzare un modello Excel gratuito per essere in regola?

Un registro in formato Excel può soddisfare i requisiti formali dell’art. 30 GDPR, purché contenga tutte le informazioni obbligatorie e sia mantenuto aggiornato. Il problema non riguarda il formato utilizzato, ma la correttezza del contenuto. Un modello standard compilato senza una ricognizione delle attività aziendali può omettere trattamenti rilevanti oppure riportare informazioni non corrispondenti alla realtà.

Quanto costa affidare a un professionista la redazione o l’aggiornamento del registro?

Il costo dipende dal numero e dalla complessità dei trattamenti, dalle dimensioni dell’impresa, dalla presenza di più sedi o società, dai fornitori coinvolti e dallo stato della documentazione esistente. Un aggiornamento circoscritto può richiedere attività diverse rispetto alla predisposizione completa di un registro mai realizzato. Per formulare un preventivo attendibile occorre quindi verificare preliminarmente l’organizzazione aziendale e individuare le attività necessarie.

Registro dei trattamenti obbligatorio, incompleto o da aggiornare: richiedi una valutazione legale

Se la vostra azienda non ha mai predisposto il registro dei trattamenti, utilizza un documento non aggiornato oppure deve verificare la propria posizione rispetto all’art. 30 GDPR, possiamo assistervi nell’esame degli obblighi applicabili, nella ricognizione delle attività di trattamento e nell’individuazione delle eventuali carenze documentali.

Lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, offre assistenza alle imprese nella gestione degli adempimenti privacy e nella valutazione dei rischi connessi a documentazione incompleta, modifiche organizzative e controlli del Garante. L’intervento viene definito considerando le caratteristiche concrete dell’attività aziendale e le esigenze di aggiornamento o regolarizzazione.

Per richiedere una valutazione del registro dei trattamenti della vostra azienda, utilizzate il modulo dedicato alla consulenza legale GDPR e privacy aziendale, descrivendo la situazione attuale e le principali criticità riscontrate. Esamineremo la richiesta per individuare le possibili modalità di assistenza professionale.