Il registro dei trattamenti dati è uno dei documenti fondamentali per la conformità al GDPR. Spesso percepito come un adempimento puramente burocratico, è in realtà uno strumento di gestione essenziale che aiuta le PMI a tenere traccia di tutti i trattamenti di dati personali effettuati, dimostrando il principio di responsabilizzazione (accountability) richiesto dal Regolamento. In questa guida vediamo come compilare e mantenere aggiornato il registro dei trattamenti per la tua PMI.

Cos’è il registro dei trattamenti e quando è obbligatorio

L’articolo 30 del GDPR prevede l’obbligo per ogni titolare del trattamento di tenere un registro delle attività di trattamento svolte sotto la propria responsabilità. L’obbligo scatta per le imprese con più di 250 dipendenti, ma anche per quelle con meno dipendenti se effettuano trattamenti che possono presentare rischi per i diritti e le libertà degli interessati, se trattano dati sensibili o giudiziari, o se il trattamento non è occasionale.

Nella pratica, il Garante della Privacy raccomanda a tutte le PMI, indipendentemente dalla dimensione, di predisporre e mantenere aggiornato il registro dei trattamenti. Anche quando non strettamente obbligatorio, il registro rappresenta una prova concreta dell’impegno dell’impresa verso la conformità GDPR e può essere richiesto in caso di controlli o verifiche.

Cosa deve contenere il registro dei trattamenti

Il GDPR specifica in modo puntuale le informazioni che devono essere incluse nel registro per ciascuna attività di trattamento. Ecco l’elenco completo dei campi obbligatori.

Campo	Descrizione	Esempio di compilazione
Nome e contatti del titolare	Ragione sociale, sede legale, partita IVA, email	PMI S.r.l., Via Roma 1, Milano, info@pmi.it
DPO (se nominato)	Nome e contatti del responsabile protezione dati	Dott. Mario Rossi, dpo@pmi.it
Finalità del trattamento	Scopo per cui vengono trattati i dati	Gestione del personale e delle paghe
Categorie di interessati	Tipologia di soggetti i cui dati vengono trattati	Dipendenti, collaboratori, candidati
Categorie di dati	Tipologia di dati trattati	Dati anagrafici, codice fiscale, IBAN, dati sanitari
Destinatari dei dati	Soggetti a cui vengono comunicati i dati	Consulente del lavoro, INPS, INAIL, banca
Termini di cancellazione	Periodo di conservazione previsto	10 anni dalla cessazione del rapporto
Misure di sicurezza	Misure tecniche e organizzative adottate	Crittografia, controllo accessi, backup giornaliero

Come compilare il registro: guida passo passo

Compilare il registro dei trattamenti può sembrare complesso, ma seguendo un metodo strutturato è possibile realizzarlo in modo efficace. Ecco i passi da seguire.

• 1. Mappatura dei trattamenti: identifica tutti i processi aziendali che comportano un trattamento di dati personali. Ogni reparto o funzione può avere trattamenti specifici.
• 2. Classificazione per finalità: raggruppa i trattamenti per finalità omogenee (amministrazione, marketing, gestione risorse umane, etc.).
• 3. Identificazione delle categorie: per ogni trattamento, identifica le categorie di interessati (clienti, dipendenti, fornitori) e i tipi di dati trattati.
• 4. Verifica dei destinatari: elenca tutti i soggetti che ricevono i dati, inclusi fornitori di servizi, autorità pubbliche e partner commerciali.
• 5. Definizione dei tempi di conservazione: stabilisci per quanto tempo conservi i dati, basandoti sugli obblighi di legge e sulle esigenze aziendali.
• 6. Documentazione delle misure di sicurezza: descrivi le misure tecniche e organizzative adottate per proteggere i dati.
• 7. Revisione e aggiornamento: il registro non è un documento statico. Va aggiornato ogni volta che cambiano i trattamenti o le misure di sicurezza.

Esempio di registro dei trattamenti per una PMI tipica

Per aiutarti nella compilazione, ecco un esempio concreto di come potrebbe presentarsi il registro dei trattamenti per una PMI di servizi con 20 dipendenti.

Trattamento	Interessati	Dati	Destinatari	Conservazione
Gestione clienti e fornitori	Clienti, fornitori	Anagrafici, fiscali, contatti	Commercialista, banca	10 anni fiscali
Gestione del personale	Dipendenti, collaboratori	Anagrafici, fiscali, sanitari, previdenziali	Consulente del lavoro, enti previdenziali	10 anni cessazione
Marketing e newsletter	Clienti, prospect	Email, nome, preferenze	Piattaforma email marketing	Fino a revoca consenso
Gestione sito web e cookie	Visitatori sito	IP, dati navigazione, preferenze	Google (Analytics), fornitori hosting	12 mesi
Videosorveglianza	Dipendenti, visitatori	Immagini, video	Nessuno (uso interno)	72 ore
Selezione del personale	Candidati	CV, dati anagrafici, referenze	Società di selezione (se previsto)	24 mesi

Strumenti per la gestione del registro

Il registro dei trattamenti può essere tenuto in diversi formati, dal semplice foglio Excel a software specializzati. La scelta dipende dalla complessità della tua impresa e dal numero di trattamenti da tracciare.

• Foglio Excel o Google Sheets: soluzione gratuita e flessibile, adatta a microimprese con pochi trattamenti. Richiede disciplina nella compilazione e nell’aggiornamento.
• Template PDF interattivo: disponibile sul sito del Garante della Privacy o fornito da associazioni di categoria. Compilabile digitalmente.
• Software GDPR dedicato: soluzioni come Datalog, MyGDPR o PrivacyLab offrono registri preimpostati, alert di scadenza e report per la revisione.
• Piattaforme di compliance complete: strumenti come iubenda, SecurePrivacy o OneTrust integrano il registro con cookie management, DPIA e gestione dei data breach.
• Consulente GDPR esterno: un professionista può compilare e mantenere il registro per conto dell’impresa, garantendo la conformità documentale.

Errori comuni nella tenuta del registro

L’esperienza dei controlli del Garante ha evidenziato alcuni errori frequenti nella compilazione e nella gestione del registro dei trattamenti.

• Registro generico e non specifico: descrizioni vaghe come “gestione dati clienti” senza dettagli su categorie e finalità.
• Mancanza di aggiornamento: il registro riflette una situazione passata ma non è stato aggiornato per riflettere nuovi trattamenti o cambiamenti organizzativi.
• Assenza di misure di sicurezza: non vengono indicate le misure di sicurezza adottate, o vengono descritte in modo troppo generico.
• Trattamenti omessi: mancano trattamenti significativi come la videosorveglianza, il tracciamento del sito web o la gestione dei CV.
• Periodi di conservazione non indicati: manca l’indicazione dei termini di cancellazione o sono indicati in modo irrealistico.
• Registro non firmato o non datato: il documento deve essere datato e approvato dal titolare del trattamento per avere valore probatorio.

FAQ sul registro dei trattamenti dati

Il registro dei trattamenti va comunicato al Garante?
No, salvo richiesta specifica in caso di controlli o ispezioni. Il registro deve essere tenuto a disposizione dell’Autorità, che può richiederlo in qualsiasi momento.

Il registro può essere tenuto in formato elettronico?
Sì, il GDPR prevede espressamente che il registro possa essere tenuto in formato elettronico. Anzi, il formato digitale è consigliato per facilitare gli aggiornamenti e le ricerche.

Una microimpresa con pochi dipendenti deve avere il registro?
Non è obbligatorio se l’impresa ha meno di 250 dipendenti e effettua solo trattamenti occasionali e non rischiosi. Tuttavia, averlo è una buona pratica per dimostrare l’accountability.

Quanto tempo ci vuole per compilare il registro?
Per una PMI con 5-10 trattamenti, la prima compilazione può richiedere da 1 a 3 giorni lavorativi, considerando la mappatura dei processi e la raccolta delle informazioni.

Chi è responsabile della tenuta del registro?
Il titolare del trattamento (l’impresa) è responsabile della tenuta del registro. Il DPO, se nominato, ha il compito di sorvegliare la corretta tenuta ma non è il responsabile diretto.

Il registro deve essere firmato?
Non è richiesta una firma specifica dal GDPR, ma è consigliabile che sia datato e approvato dal legale rappresentante per attestare la responsabilità sulla sua accuratezza.

Il registro dei trattamenti è molto più di un adempimento burocratico: è uno strumento di gestione che aiuta la tua PMI a tenere sotto controllo i flussi di dati personali, a identificare i rischi e a dimostrare la conformità al GDPR. Investire nella sua corretta compilazione e nel suo aggiornamento periodico è un passo fondamentale per la protezione dei dati aziendali. Per approfondire la procedura di gestione dei data breach, consulta data breach pmi procedura notifica mitigazione.