Registro dei trattamenti GDPR: quando è obbligatorio per una PMI e come compilarlo

«Ci serve il vostro registro dei trattamenti.» La richiesta arriva per email, in una riga, dal responsabile di un cliente che sta riordinando i contratti con i fornitori. Non è una richiesta di consulenza né una verifica dell'autorità: è una domanda diretta, e la risposta non è scontata.

La domanda vera non è come si compila. È se si è obbligati a tenerlo. E la risposta, per la maggior parte delle PMI italiane, non è quella che si aspettano.

Che cos'è il registro delle attività di trattamento

L'articolo 30, paragrafo 1, del Regolamento (UE) 2016/679 è una sola frase operativa: «Ogni titolare del trattamento e, ove applicabile, il suo rappresentante tengono un registro delle attività di trattamento svolte sotto la propria responsabilità». Il resto del paragrafo elenca che cosa quel registro deve contenere.

Vale la pena dire che cosa il registro non è, perché è la confusione più frequente:

• non è l'informativa privacy, che è il documento che esce dall'azienda e va agli interessati;
• non è l'archivio dei consensi, che è una delle possibili prove da allegare;
• non è la valutazione d'impatto (articolo 35), che è un documento diverso con un obiettivo diverso;
• non è il documento di sicurezza, anche se contiene una descrizione delle misure adottate.

Il registro è la mappa interna dei trattamenti: quali dati, per quale finalità, per quanto tempo, a chi vengono comunicati, con quali misure. Serve al titolare per governare, e serve a dimostrare il rispetto dei principi dell'articolo 5: il paragrafo 2 dello stesso articolo chiede al titolare di essere «in grado di comprovarlo».

I due registri: quello del titolare e quello del responsabile

L'articolo 30 non descrive un documento, ne descrive due. Il paragrafo 1 riguarda il titolare del trattamento; il paragrafo 2 riguarda il responsabile del trattamento, cioè chi tratta dati per conto di altri, e prevede un registro con contenuti in parte diversi:

Questa distinzione riguarda più PMI di quanto si pensi. Un'impresa con dipendenti è titolare per il personale e per i clienti; ma uno studio di consulenza del lavoro, un'azienda informatica che gestisce sistemi di terzi, un'agenzia di comunicazione che tratta liste di contatti per i clienti sono anche responsabili del trattamento, e in quella veste hanno un registro proprio.

La deroga sotto i 250 dipendenti: perché quasi nessuna PMI può usarla

È il punto su cui nasce l'equivoco. Il paragrafo 5 dell'articolo 30 recita:

Gli obblighi di cui ai paragrafi 1 e 2 non si applicano alle imprese o organizzazioni con meno di 250 dipendenti, a meno che il trattamento che esse effettuano possa presentare un rischio per i diritti e le libertà dell'interessato, il trattamento non sia occasionale o includa il trattamento di categorie particolari di dati di cui all'articolo 9, paragrafo 1, o i dati personali relativi a condanne penali e a reati di cui all'articolo 10.

Letto in fretta, sembra un'esenzione per tutte le PMI. Letto per intero, funziona al contrario: le tre condizioni sono legate dalla congiunzione «o», quindi ne basta una sola perché l'esenzione cada e l'obbligo torni.

E la seconda condizione — il trattamento non occasionale — è quella che chiude la questione per chiunque abbia dipendenti. La gestione del personale non è un episodio: le buste paga si fanno ogni mese, i dati dei lavoratori si aggiornano in continuazione, la sorveglianza sanitaria e la sicurezza sul lavoro producono documentazione in modo continuativo. Un'impresa con due dipendenti che elabora mensilmente i dati del personale non sta effettuando un trattamento occasionale.

Vale anche una precisazione sul criterio: la soglia riguarda il numero di dipendenti, non il fatturato e non la categoria di rischio dell'attività. Un'impresa sotto i 250 dipendenti che tratta categorie particolari di dati — per esempio dati sulla salute del personale — ricade comunque nell'obbligo per la terza condizione, indipendentemente da ogni altra valutazione.

Cosa deve contenere il registro

I contenuti obbligatori del registro del titolare sono elencati alle lettere a)-g) del paragrafo 1. Vale la pena leggerli con le loro qualificazioni, perché alcune voci ammettono un margine.

Le qualificazioni «ove applicabile» e «ove possibile» sono parte della norma e vanno lette come tali: riducono l'ambito della voce, non l'obbligo di compilare il registro.

Il modello semplificato del Garante per le PMI

Il Garante italiano ha pubblicato modelli di registro dedicati alle imprese di piccola dimensione. Sono documenti ufficiali, scaricabili, e sono la prova che l'Autorità ha previsto un formato alleggerito per questa platea:

• Modello di registro semplificato del titolare — versione PDF (doc-web 9048327);
• Modello di registro semplificato del titolare — versione foglio di calcolo (doc-web 9048342);
• Modello di registro semplificato del responsabile — versione foglio di calcolo (doc-web 9048395).

Il modello risolve il problema del formato, non quello del contenuto. È una griglia già impostata, con campi coerenti con l'articolo 30: resta da fare il lavoro vero, cioè decidere quali attività descrivere e con quali dati. Chi compila il modello copiando le voci trovate in rete ottiene un documento formalmente pieno e sostanzialmente falso, che è la condizione peggiore: dimostra un'organizzazione che non esiste.

Come si compila: un metodo in sei passi

Primo: partire dai processi, non dal modulo. L'elenco delle attività di trattamento di una PMI tipica assomiglia a questo: personale e amministrazione del personale, selezione e candidature, paghe e contributi, clienti e fornitori, gestione degli ordini e della fatturazione, contabilità e adempimenti fiscali, marketing e newsletter, sito web e cookie, videosorveglianza, salute e sicurezza sul lavoro, eventuale gestione di reclami o contenziosi.

Secondo: per ciascuna attività, indicare finalità e base giuridica. La finalità è quella reale; la base giuridica va scelta tra quelle dell'articolo 6 (esecuzione di un contratto, obbligo legale, interesse legittimo, consenso) e, per le categorie particolari, individuata con l'articolo 9.

Terzo: descrivere categorie di interessati e di dati. Dipendenti, familiari, candidati, clienti, referenti dei fornitori; e per i dati: anagrafici, di contatto, fiscali, di pagamento, di presenza, di salute dove previsto.

Quarto: elencare i destinatari. Consulente del lavoro, commercialista, istituto bancario, provider del gestionale, società di manutenzione informatica, corriere, eventuale agenzia di comunicazione. Non tutti sono responsabili del trattamento: l'accordo ex articolo 28 serve quando il soggetto tratta dati per conto dell'azienda, mentre banca e corriere possono agire come titolari autonomi per i trattamenti che decidono in proprio.

Quinto: verificare i trasferimenti fuori dall'Unione europea. È la voce che sfugge più spesso, perché nasce da un servizio cloud o da un'applicazione usata dal personale, non da una scelta dichiarata.

Sesto: indicare conservazione e misure di sicurezza. Per quanto tempo tengono i dati, e con quali misure tecniche e organizzative sono protetti.

Chi lo tiene in azienda

Il registro è del titolare del trattamento: è a lui che la norma assegna l'obbligo, ed è lui che risponde del contenuto. Questo non cambia se il documento lo scrive un consulente, il consulente del lavoro o una società esterna: chi materialmente compila può essere chiunque, la responsabilità resta dove sta.

Il responsabile della protezione dei dati (DPO o RPD), quando è nominato, ha un ruolo di sorveglianza e consulenza: vigila sul rispetto del regolamento, informa e consiglia il titolare e i dipendenti, ed è il punto di contatto con l'autorità di controllo. Non è chi decide, e non è un'autorizzazione preventiva: il compito di tenere il registro aggiornato e corretto resta del titolare.

Il registro è un documento interno, ma non riservato all'azienda: il paragrafo 4 dell'articolo 30 prevede che, su richiesta, il titolare o il responsabile mettano il registro a disposizione dell'autorità di controllo. È quindi un documento che va prodotto, non solo conservato.

Ogni quanto si aggiorna

Il registro non è un documento che si scrive una volta. Va rivisto quando cambia qualcosa di sostanziale nell'organizzazione, e i punti di innesco in una PMI sono quasi sempre gli stessi:

• l'introduzione di un nuovo software gestionale, di un CRM o di uno strumento cloud;
• l'attivazione di un nuovo fornitore che tratta dati per conto dell'azienda;
• una nuova finalità: una newsletter, una campagna marketing, un sistema di videosorveglianza;
• una nuova categoria di dati o di interessati: per esempio l'apertura di una selezione del personale;
• un trasferimento verso paesi terzi, anche indiretto, attraverso un servizio già in uso;
• un cambio dei tempi di conservazione o delle misure di sicurezza.

Nella pratica conviene tenere il registro come un file versionato, con la data dell'ultima revisione in evidenza. Una data mancante non è una formalità: se il documento viene richiesto, la prima domanda è a quando risale.

Forma e supporto: scritto, anche elettronico

Il paragrafo 3 dell'articolo 30 scioglie il dubbio: «I registri di cui ai paragrafi 1 e 2 sono tenuti in forma scritta, anche in formato elettronico». Un foglio di calcolo è quindi una forma legittima, e per una PMI è anche la più gestibile, purché siano garantiti tre requisiti pratici.

Il primo è la rintracciabilità: il file deve essere identificabile, datato e conservato in un posto noto, non in una cartella temporanea sulla scrivania di chi lo ha compilato.

Il secondo è la riservatezza: il registro descrive i trattamenti e le misure di sicurezza dell'azienda, quindi è un documento che dice molto a chi lo legge. Tenerlo in una cartella condivisa con tutto il personale è una scelta da evitare, e va limitato a chi ha titolo per consultarlo.

Il terzo è la recuperabilità: deve essere possibile estrarlo e consegnarlo in tempi ragionevoli, anche in un giorno in cui chi lo ha scritto non è in ufficio.

Sanzioni: cosa rischia una PMI

La violazione degli obblighi dell'articolo 30 rientra nell'articolo 83, paragrafo 4, lettera a), che richiama gli obblighi degli articoli da 25 a 39 del regolamento: le sanzioni amministrative pecuniarie arrivano fino a 10 000 000 di euro o, per le imprese, fino al 2% del fatturato mondiale totale annuo dell'esercizio precedente, se superiore.

Due precisazioni che spesso si perdono nel titolo letto di fretta.

La prima: è un massimo, non una misura fissa. L'articolo 83, paragrafo 2, impone di valutare una serie di circostanze — la natura, la gravità e la durata della violazione, il carattere doloso o colposo, le misure adottate per attenuare il danno, il grado di cooperazione con l'autorità — e prevede che l'importo sia in ogni caso «effettivo, proporzionato e dissuasivo».

La seconda: il registro si colloca in una fascia di obblighi documentali e organizzativi, non tra le violazioni più gravi dell'articolo 83, paragrafo 5. Non è la stessa cosa del trattamento senza base giuridica. Ma «meno grave» non significa trascurabile, perché il registro è anche la prova con cui si dimostra di aver governato tutto il resto.

Il registro non è un adempimento isolato

Il registro è il punto in cui confluiscono obblighi che nascono altrove, e conviene tenerlo presente per non trattarlo come un modulo a sé.

Dal contenuto dipende la correttezza delle informazioni che si danno agli interessati: le finalità e i tempi di conservazione scritti nel registro devono corrispondere a quelli dell'informativa.

Dalle misure di sicurezza descritte alla lettera g) discende l'articolo 32, che chiede misure adeguate al rischio; ne ho scritto in dettaglio nella guida sulle misure tecniche di sicurezza per il GDPR nelle PMI italiane e in quella sui dati fiscali nello studio commercialista.

Dai destinatari elencati alla lettera d) nascono gli accordi con i fornitori che trattano dati per conto dell'azienda, previsti dall'articolo 28.

Dai trasferimenti dipende la valutazione delle garanzie per i servizi cloud usati fuori dall'Unione europea.

E per le imprese che rientrano nell'ambito della direttiva NIS2 e del decreto italiano di recepimento, il registro dei trattamenti si affianca — senza sostituirli — agli obblighi di governance e di notifica degli incidenti descritti nella guida sugli obblighi NIS2 per le PMI italiane.

La proposta di innalzare la soglia a 750 dipendenti

Se ne è parlato, in molti casi come se fosse già legge: la soglia dell'esenzione dall'obbligo di registro passerebbe da 250 a 750 dipendenti. È bene essere precisi sullo stato della questione.

La proposta esiste, ed è quella che il comitato europeo per la protezione dei dati (EDPB) e il Garante europeo della protezione dei dati (GEPD) hanno esaminato nel parere congiunto del 9 luglio 2025. Il testo, che fa parte del quarto regolamento omnibus di semplificazione, modificherebbe l'articolo 30, paragrafo 5, estendendo l'esenzione alle imprese o organizzazioni con meno di 750 dipendenti, salvo che il trattamento sia suscettibile di comportare un rischio elevato ai sensi dell'articolo 35. La proposta interviene anche sull'articolo 4, introducendo una definizione di PMI e di piccole imprese a media capitalizzazione, ed estende a queste ultime l'ambito dei codici di condotta e delle certificazioni.

Quello che conta, oggi, è la distinzione tra proposta e norma: alla data di questa verifica (30 settembre 2026) la modifica non è in vigore, e la soglia applicabile resta quella scritta nell'articolo 30, paragrafo 5. Costruire l'organizzazione sull'ipotesi che la soglia salga domani significa, nel caso peggiore, dover ricostruire da zero un registro mai tenuto.

Errori frequenti nelle PMI italiane

Compilare il registro una volta e archiviarlo. Senza date di revisione e senza aggiornamenti, dopo due anni descrive un'azienda che non esiste più.

Descrivere finalità generiche. «Gestione clienti» non è una finalità: è un contenitore. Se non si distingue la gestione del rapporto contrattuale dalla fatturazione e dal marketing, non si distingue nemmeno la base giuridica.

Dimenticare i trasferimenti. Il servizio cloud, il gestionale, l'applicazione per le presenze: sono i punti da cui nasce più spesso un trasferimento, anche quando nessuno lo ha deciso. Che ci sia un trasferimento va accertato caso per caso, guardando dove sono conservati i dati e da dove vi si accede.

Confondere il registro con l'informativa. Sono due documenti con due destinatari diversi, e la mancanza dell'uno non si compensa con la presenza dell'altro.

Scriverlo in modo da nascondere la realtà. Un registro che descrive misure non adottate è peggio di un registro incompleto: trasforma un ritardo organizzativo in una dichiarazione non veritiera.

Lasciarlo in mano a una sola persona. Se l'unico che sa dove sia il file è quello che lo ha compilato, il documento non è disponibile per l'azienda.

Domande frequenti

Il registro dei trattamenti è obbligatorio per una PMI con pochi dipendenti? Dipende dalle condizioni dell'articolo 30, paragrafo 5. L'esenzione vale per le imprese o organizzazioni con meno di 250 dipendenti, ma cade se anche una sola delle tre condizioni è soddisfatta: rischio per i diritti e le libertà, trattamento non occasionale, oppure trattamento di categorie particolari di dati o di dati su condanne e reati. La gestione del personale è un trattamento non occasionale, quindi l'obbligo si attiva anche in un'impresa molto piccola.

Cosa si rischia se il registro non viene tenuto? La violazione degli obblighi dell'articolo 30 rientra nell'articolo 83, paragrafo 4, lettera a): sanzioni amministrative pecuniarie fino a 10 000 000 di euro o, per le imprese, fino al 2% del fatturato mondiale totale annuo dell'esercizio precedente, se superiore. È un importo massimo, e l'autorità valuta una serie di circostanze previste dall'articolo 83, paragrafo 2.

Il registro dei trattamenti è la stessa cosa dell'informativa privacy? No. Il registro è il documento interno che descrive le attività di trattamento svolte dall'azienda; l'informativa è il documento che viene consegnato agli interessati e spiega come vengono trattati i loro dati. I due documenti devono essere coerenti fra loro, ma non sono sostituibili.

Devo pubblicare il registro sul sito internet? No, la pubblicazione non è prevista dall'articolo 30. Il registro è un documento interno, che va però messo a disposizione dell'autorità di controllo su richiesta. È quindi un documento riservato ma esibibile, non un allegato da pubblicare.

Posso tenere il registro in un file Excel? Sì. L'articolo 30, paragrafo 3, stabilisce che i registri sono tenuti in forma scritta, anche in formato elettronico. Un foglio di calcolo è una forma legittima: conta che sia datato, aggiornato, accessibile a chi deve consultarlo e recuperabile quando l'autorità lo richiede.

Chi deve firmare o approvare il registro? L'obbligo è del titolare del trattamento, che risponde del contenuto anche quando la compilazione è materialmente affidata a un consulente o a un collaboratore. Il responsabile della protezione dei dati, se nominato, vigila e consiglia, ma non sostituisce il titolare nelle decisioni.

Serve anche un registro del responsabile, se non sono io il titolare? Sì, se l'azienda tratta dati personali per conto di altri. Un consulente del lavoro, una società informatica che gestisce sistemi di clienti, un'agenzia che tratta liste di contatti per conto di terzi sono responsabili del trattamento e devono tenere il registro previsto dall'articolo 30, paragrafo 2, con i contenuti propri di quella veste.

Nota di trasparenza: Questo articolo rappresenta un'opera dell'ingegno dell'autore, pubblicata nell'esercizio di attività di divulgazione tecnico-scientifica e tutelata ai sensi della Legge 22 aprile 1941, n. 633 sul diritto d'autore. Il blog non è monetizzato: non contiene link di affiliazione, banner pubblicitari né collaborazioni commerciali.

Admeto Verde — Ingegnere Industriale esperto in tecnologie e processi industriali, docente di ruolo in discipline tecniche, autore di guide pratiche su tecnologia e intelligenza artificiale per la scuola e le PMI italiane su NextGenTool.it.