Registro trattamenti GDPR: obbligo, contenuti, modello

Il registro delle attività di trattamento è uno dei documenti che il Garante per la protezione dei dati personali chiede più spesso in caso di controllo, insieme all'informativa privacy e alla nomina del DPO. Molte piccole imprese pensano di esserne esonerate perché hanno meno di 250 dipendenti: nella pratica, per via delle eccezioni previste dal GDPR, l'obbligo riguarda quasi tutte.

Cosa dice l'articolo 30 del GDPR

L'art. 30 del Regolamento (EU) n. 679/2016 prevede tra gli adempimenti principali del titolare e del responsabile del trattamento la tenuta del registro delle attività di trattamento. Il registro del responsabile è un documento distinto da quello del titolare: l'art. 30, par. 2 del GDPR prevede l'obbligo per il Responsabile del trattamento di compilare un Registro delle attività di trattamento, distinto da quello del Titolare.

Chi deve tenerlo: la soglia dei 250 dipendenti e le tre eccezioni

La regola di partenza esonera le imprese più piccole, ma con paletti stretti. Il testo della norma è chiaro: gli obblighi non si applicano alle imprese o organizzazioni con meno di 250 dipendenti, a meno che il trattamento che esse effettuano possa presentare un rischio per i diritti e le libertà dell'interessato, il trattamento non sia occasionale o includa il trattamento di categorie particolari di dati di cui all'articolo 9, paragrafo 1, o i dati personali relativi a condanne penali e a reati di cui all'articolo 10.

Tradotto in pratica: basta trattare dati sanitari dei clienti (uno studio di fisioterapia, un odontotecnico), avere un dipendente di cui si gestiscono dati anagrafici in modo continuativo, o semplicemente raccogliere dati tramite un sito web, perché l'esonero cada. Un esempio ricorrente: un professionista che tratta i dati dei clienti o un sito web che raccolga i dati attraverso una normalissima form di richiesta informazioni rientra tra i trattamenti "non occasionali" che fanno scattare l'obbligo anche sotto i 250 dipendenti.

Anche quando l'obbligo non sussiste in senso stretto, il Garante non lascia margini di scelta pratica: suggerisce a tutte le imprese di compilare il registro, anche le più piccole, per le quali è stato messo a disposizione un modello di registro dei trattamenti semplificato.

Cosa deve contenere: i sette campi obbligatori

L'articolo 30 elenca in modo puntuale le informazioni minime del registro del titolare:

Campo	Contenuto richiesto dall'art. 30 GDPR
a) Identificazione	Nome e dati di contatto del titolare del trattamento e, se presente, del contitolare, del rappresentante del titolare e del responsabile della protezione dei dati
b) Finalità	Le finalità del trattamento
c) Soggetti e dati	Una descrizione delle categorie di interessati e delle categorie di dati personali
d) Destinatari	Le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, compresi i destinatari di paesi terzi od organizzazioni internazionali
e) Trasferimenti extra-UE	Ove applicabile, i trasferimenti di dati personali verso un paese terzo o un'organizzazione internazionale
f) Conservazione	Ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati
g) Sicurezza	Ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all'articolo 32, paragrafo 1

Il registro del responsabile, se nominato, contiene campi analoghi ma riferiti alle categorie di trattamenti svolti per conto di ciascun titolare, non alle finalità proprie dell'azienda.

Forma, aggiornamento e controlli

I registri sono tenuti in forma scritta, anche in formato elettronico — va bene un file Excel o Word, non serve un software dedicato. L'obbligo non si esaurisce alla prima compilazione: va aggiornato ogni volta che cambia un trattamento (nuovo fornitore, nuova finalità, nuovo paese di destinazione dei dati). Su richiesta, il titolare del trattamento o il responsabile del trattamento mettono il registro a disposizione dell'autorità di controllo: va quindi conservato pronto per un'eventuale verifica, non redatto solo in caso di ispezione.

La mancata tenuta del registro, quando obbligatoria, rientra tra le violazioni del GDPR soggette a sanzioni fino a 10.000.000 di euro o al 2% del fatturato annuo (art. 83 del Regolamento), fascia sanzionatoria che si applica anche alle imprese di piccole dimensioni in proporzione al fatturato.

Dove scaricare il modello: i facsimile del Garante

Per semplificare l'adempimento alle PMI, l'Authority ne ha dato notizia attraverso il comunicato stampa dell'8 ottobre 2018, pubblicando due modelli distinti: il Modello di "registro semplificato" delle attività di trattamento del titolare per PMI e il Modello di "registro semplificato" delle attività di trattamento del responsabile per PMI. Entrambi sono scaricabili gratuitamente dalla pagina del Garante dedicata al registro delle attività di trattamento (garanteprivacy.it), insieme alle FAQ ufficiali che spiegano come compilare ogni campo.

Per le imprese sotto i 250 dipendenti che rientrano comunque nell'obbligo, la versione semplificata può essere limitata ai soli trattamenti a rischio: in caso un'azienda privata abbia meno di 250 dipendenti, è sufficiente tenere il registro dei trattamenti semplificato anche solo per quei trattamenti soggetti all'obbligo, senza dover mappare ogni singola attività aziendale.

In pratica

Chi tiene i rapporti con il Garante in azienda — titolare, responsabile privacy interno o DPO se nominato — dovrebbe partire dal modello semplificato, compilarlo per ciascun trattamento rilevante (dipendenti, clienti, fornitori, videosorveglianza se presente) e fissare una data di revisione periodica, ad esempio semestrale, per mantenerlo coerente con l'attività reale dell'impresa.