Registro delle attività di trattamento: guida operativa

Il registro delle attività di trattamento è una mappa viva, distinta per ruolo. Nasce dal lavoro reale, non da un modello vuoto: attività, sistemi, archivi, integrazioni, scambi, persone responsabili ed evidenze. L'articolo 30 assegna campi diversi al titolare e al responsabile del trattamento e richiede un documento scritto, anche elettronico, disponibile all'autorità su richiesta ¹.

La deroga collegata alle organizzazioni con meno di 250 persone è stretta e si valuta per attività. La dimensione è solo l'ingresso: occasionalità, rischio e assenza di dati degli articoli 9 e 10 devono ricorrere insieme. Se una condizione manca, quella specifica attività entra nel registro.

Risposta rapida Il registro delle attività di trattamento descrive, per ruolo e attività, finalità, persone e dati, destinatari, trasferimenti, cancellazione, sicurezza, titolari serviti e prove. Prima si ricostruisce il lavoro reale, poi si compilano i campi. La deroga sotto 250 è cumulativa e ristretta; proprietari e trigger mantengono il registro aggiornato.

Ultimo aggiornamento: 26 agosto 2026

Parti dalle attività, non dal modello vuoto

Un registro utile nasce da una ricognizione: l'elenco dei sistemi è una traccia, ma non coincide con le attività, perché lo stesso applicativo può sostenere selezione del personale, fatturazione e assistenza clienti, ciascuna con finalità, interessati, destinatari e cancellazione differenti. Anche un'attività può attraversare più strumenti, file locali, caselle e scambi con fornitori.

Il gruppo di lavoro raccoglie sistemi, fogli, moduli, cartelle, integrazioni, flussi in ingresso e in uscita, responsabili operativi e documenti esistenti, intervistando chi svolge il processo e non soltanto chi amministra la piattaforma. Contratti, informative, configurazioni, richieste di assistenza, schemi di integrazione e regole di conservazione servono a controllare ciò che viene raccontato.

La riga deve descrivere un'attività coerente. “Marketing” è spesso troppo ampio; “invio della newsletter a contatti che hanno richiesto aggiornamenti” offre invece un inizio, una finalità, un insieme di persone e un percorso dei dati. “CRM” è il nome di uno strumento, non il motivo per cui le informazioni vengono raccolte e utilizzate.

Occorre trovare il livello giusto, perché una riga che unisce finalità e cancellazioni incompatibili nasconde decisioni, mentre cento righe per singole operazioni tecniche rendono il registro ingestibile. Il confine è difendibile quando un lettore può seguire uno stesso scopo, un ciclo di vita coerente e un proprietario capace di confermare i fatti.

Il considerando 82 collega il registro alla capacità di dimostrare la conformità e alla cooperazione con l'autorità di controllo ². Per questo l'inventario non è un esercizio una tantum. È la base che permette di rilevare sistemi dimenticati, destinatari non documentati, trasferimenti impliciti e tempi di cancellazione che esistono soltanto nelle intenzioni.

La guida britannica al registro delle attività di trattamento^EN(articolo in inglese) è una presentazione distinta per il contesto UK. Per una mappa UE, campi, deroga e autorità restano ancorati all'articolo 30 e alle fonti europee.

Titolare e responsabile tengono registri diversi

Il ruolo si valuta per attività: il titolare determina finalità e mezzi essenziali, mentre il responsabile tratta dati per conto di un titolare entro istruzioni documentate. La stessa organizzazione può essere titolare per amministrazione del personale e responsabile per un servizio offerto a clienti; un unico foglio può ospitare entrambe le viste solo se ruoli, campi e responsabilità restano chiaramente separati.

La differenza non autorizza lacune operative. Un responsabile deve sapere quali dati cancella e a chi li comunica per seguire le istruzioni, ma non dovrebbe presentare questi dettagli come se l'articolo 30(2) avesse lo stesso elenco del paragrafo 1. Separare obbligo legale ed elemento utile rende il registro più preciso.

Quando un'organizzazione agisce in più ruoli, ogni attività indica il ruolo e la controparte pertinente: i dati di gestione del proprio contratto possono appartenere a un'attività da titolare, mentre l'elaborazione del contenuto del cliente appartiene al registro da responsabile. La classificazione evita che una vista generica nasconda finalità autonome o istruzioni mancanti.

Mappa i campi del titolare

Il registro del titolare contiene nome e contatti del titolare e, se applicabile, del contitolare, del rappresentante e del DPO; questi riferimenti devono identificare entità reali e canali funzionanti, perché un marchio senza ragione sociale o una casella abbandonata rende difficile ricostruire la responsabilità.

Le finalità spiegano perché l'attività esiste. Vanno formulate in modo abbastanza specifico da distinguere impieghi diversi: “gestione della richiesta di assistenza” è più verificabile di “gestione dati”. Le categorie di interessati e di dati descrivono chi è coinvolto e quali informazioni sono effettivamente trattate, senza copiare elenchi che il processo non utilizza ¹.

Le categorie di destinatari includono chi riceve o potrebbe ricevere i dati; nomi di fornitori e sistemi possono essere utili come livello operativo, ma il campo legale resta comprensibile per categoria. Un accesso interno basato su un ruolo non equivale automaticamente a una comunicazione esterna, sebbene il registro debba comunque rendere leggibile chi può vedere le informazioni.

Per i trasferimenti verso un paese terzo o un'organizzazione internazionale, la riga identifica la destinazione e documenta le garanzie richieste nei casi pertinenti. Non basta segnare “cloud”: regioni di trattamento, accessi di supporto, sub-responsabili e flussi di ritorno devono essere verificati contro contratti e configurazioni.

I termini previsti per la cancellazione sono indicati per le diverse categorie di dati ove possibile, poiché una parola come “necessario” non offre un limite controllabile. Se il periodo dipende da un evento, la regola può esprimere evento iniziale, durata ed eccezioni documentate; una sospensione per contenzioso va distinta dal ciclo ordinario, non usata per cancellarlo.

La descrizione generale delle misure tecniche e organizzative dell'articolo 32 è richiesta ove possibile ¹. Il registro può rinviare a un documento di sicurezza versionato anziché replicare dettagli sensibili. Il rinvio deve però essere risolvibile e indicare quale versione copre l'attività; “sicurezza adeguata” è una conclusione, non una descrizione.

Costruisci la vista del responsabile

Il responsabile tiene una registrazione delle categorie di attività svolte per conto di ciascun titolare; i contatti comprendono il responsabile o i responsabili, ogni titolare servito, gli eventuali rappresentanti e i DPO pertinenti. “Clienti vari” non soddisfa la separazione richiesta, perché non permette di ricostruire per chi viene svolta una determinata attività ¹.

La categoria di trattamento dovrebbe collegarsi a un servizio e a istruzioni identificabili. Per esempio, “hosting e assistenza dell'archivio richieste per il titolare X” delimita meglio il lavoro rispetto a “servizi informatici”. Versione del contratto, allegato sul trattamento, richiesta approvata o configurazione possono dimostrare il perimetro effettivo.

Trasferimenti internazionali e garanzie vanno registrati quando applicabili, insieme alla descrizione generale delle misure di sicurezza ove possibile. La vista dovrebbe distinguere ciò che il responsabile controlla direttamente da ciò che dipende da un sub-responsabile, senza nascondere il flusso dietro la catena contrattuale.

La separazione per titolare impedisce di applicare a tutti la configurazione del cliente più recente, perché tempi di cancellazione, regioni, sub-responsabili e funzioni attive possono variare. Anche se alcuni campi non sono elencati espressamente nell'articolo 30(2), conservarli come informazioni operative aiuta a dimostrare che le istruzioni corrette governano ciascun flusso.

Il ruolo deve essere riesaminato a livello di attività. Se il fornitore riutilizza i dati per una finalità propria, quella operazione non rimane automaticamente nel registro da responsabile. Va separata, classificata e documentata nella vista pertinente; il contratto non può sostituire i fatti.

Per ogni titolare servito è utile conservare un punto di riconciliazione tra registro, contratto e configurazione. La categoria descritta nel documento deve ritrovarsi nelle istruzioni e nei sistemi attivi. Se una funzione è disponibile ma disattivata, il registro può distinguerla da un trattamento effettivo; se viene attivata, il cambiamento entra nel flusso di revisione prima dell'uso.

Una riga coerente per ogni attività

La qualità del registro dipende dal confine della riga: il gruppo parte da un processo reale e segue il dato dall'evento iniziale fino alla cancellazione, includendo raccolta, utilizzo, accessi, comunicazioni, archiviazione e copie. Lo scopo non è descrivere ogni comando tecnico, ma evitare che finalità o percorsi diversi scompaiano sotto un'etichetta generale.

1. Definisci finalità e innesco. Indica quale evento avvia il trattamento, quale risultato serve e chi lo decide. Una finalità osservabile permette di distinguere l'attività da un uso successivo non ancora approvato.
2. Segui l'intero ciclo di vita. Collega fonti, sistemi, file, integrazioni, accessi, destinatari, trasferimenti, archivi, backup e cancellazione, verificando il racconto con configurazioni o documenti.
3. Separa percorsi incompatibili. Finalità differenti, ruoli diversi o termini di cancellazione non conciliabili richiedono righe distinte o una struttura capace di mantenere visibile la differenza.
4. Allega evidenze verificabili. Ogni campo critico rinvia a contratto, informativa, regola, schermata approvata, configurazione o altra prova con proprietario e versione, senza inserire segreti nel registro.
5. Assegna proprietario e trigger. Una persona conferma i fatti e riceve gli eventi di cambiamento; integrazioni nuove, destinatari, categorie di dati o scadenze riaprono la riga prima che diventi obsoleta.

La riga può avere un identificatore stabile e più versioni. L'identificatore consente a DPIA, contratti, informative, richieste degli interessati e controlli di sicurezza di riferirsi alla stessa attività. La versione conserva ciò che era vero in una data, senza sovrascrivere la prova precedente.

Le questioni irrisolte non vanno nascoste. Un campo può indicare “da confermare” solo con proprietario, scadenza e conseguenza; altrimenti diventa un vuoto permanente. Se l'incertezza riguarda un trasferimento o una categoria sensibile, la governance dovrebbe stabilire se l'attività può proseguire e con quali limiti.

Valuta con rigore la deroga sotto 250

L'articolo 30(5) non crea un'esenzione generale per le piccole organizzazioni. La soglia inferiore a 250 persone è soltanto l'ingresso. Per escludere una singola attività, il trattamento deve essere occasionale, improbabile che comporti un rischio per diritti e libertà e non includere né categorie particolari dell'articolo 9 né dati dell'articolo 10 ¹.

Le condizioni sono congiuntive: non basta soddisfarne due e non si calcola una media. Il documento del Comitato europeo per la protezione dei dati sottolinea che la deroga va letta in modo restrittivo e a livello delle attività che presentano le condizioni rilevanti ³. L'organizzazione potrebbe quindi dover registrare soltanto alcune attività, ma non può cancellare l'intero registro perché altre sembrano marginali.

Paghe e gestione ordinaria del personale sono trattamenti ricorrenti, non occasionali. Una procedura eseguita una volta al mese può essere meno frequente di un flusso quotidiano, ma resta parte stabile dell'organizzazione. Il GDPR non fornisce un numero universale di esecuzioni all'anno: occasionalità si dimostra nel contesto, senza inventare frequenze.

La scheda della deroga conserva conteggio delle persone impiegate, perimetro dell'entità, descrizione dell'attività, fatti sull'occasionalità, valutazione del rischio, categorie di dati, approvatore e data. Un esito negativo su una sola condizione basta per includere la riga; non serve discutere le altre per evitare la registrazione, ma completarle può essere utile alla governance.

Proposte legislative o discussioni future non modificano il testo applicabile. Finché la norma vigente non cambia, il test resta quello dell'articolo 30(5). Il registro dovrebbe citare la fonte effettivamente applicata e non anticipare una possibile riforma come se fosse già diritto.

Mantieni il registro scritto e disponibile

Il registro deve essere scritto e può essere elettronico: un documento, un foglio o una piattaforma sono tutti possibili se mantengono i campi, i ruoli e la tracciabilità necessari. La scelta dello strumento segue complessità, volume, relazioni e frequenza degli aggiornamenti; non modifica il contenuto dell'obbligo ¹.

La leggibilità va oltre il formato. Un revisore dovrebbe poter filtrare per entità, ruolo, attività, titolare servito, sistema o proprietario senza perdere il significato dei campi. Vocabolari controllati aiutano il confronto, purché le categorie non diventino etichette tanto generiche da nascondere i fatti.

Il titolare o il responsabile mette il registro a disposizione dell'autorità di controllo su richiesta ¹. Serve quindi un proprietario capace di produrre una copia attuale, spiegare la provenienza dei dati e coordinare le verifiche. Una piattaforma che solo un fornitore esterno può esportare con settimane di ritardo non garantisce disponibilità pratica.

Gli accessi devono essere proporzionati: il registro non dovrebbe contenere dati personali operativi, credenziali o configurazioni segrete, ma può rinviare a evidenze protette. Versioni, modifiche e approvazioni restano conservate in modo da dimostrare chi ha cambiato quale campo e su quale prova.

Un controllo di qualità può cercare campi vuoti, riferimenti non risolvibili, date incoerenti e attività senza proprietario. Questi segnali facilitano il riesame, ma non sostituiscono la lettura: una cella compilata con “non applicabile” deve ancora contenere una motivazione quando l'assenza non è evidente.

Esempio di attività compilata

L'esempio seguente riguarda la gestione di richieste di assistenza inviate da clienti ed è soltanto illustrativo: categorie, strumenti, destinatari e tempi devono essere sostituiti con fatti e basi approvati dall'organizzazione. Non rappresenta una configurazione universale né una valutazione legale completa.

L'evidenza potrebbe includere modulo di apertura, configurazione dei campi, matrice di accesso, contratto del fornitore, impostazione della regione, procedura di chiusura e regola di cancellazione. Ogni riferimento indica proprietario e versione. La riga non incorpora schermate con dati reali o chiavi di accesso.

Il flusso va verificato con chi lavora sul ticket. Se gli allegati vengono copiati in una cartella per analisi o inviati a un secondo fornitore, la riga deve mostrarlo oppure collegarsi a un'attività separata. Se i ticket vengono riutilizzati per addestrare un modello, finalità, ruolo, dati e base richiedono una nuova analisi, non una nota generica.

L'esempio distingue categorie legali e dettagli operativi. Il nome del fornitore può cambiare senza modificare la categoria di destinatario, ma la sostituzione può alterare trasferimenti, sicurezza e contratto. Il trigger di aggiornamento deve quindi raggiungere il proprietario della riga prima dell'attivazione della nuova configurazione.

Distingui campi legali e aggiunte utili

Gli elementi aggiuntivi trasformano il registro in uno strumento di governo, ma non possono sostituire i campi dell'articolo 30. Una base giuridica ben documentata non elimina la necessità di indicare destinatari; un punteggio di rischio non sostituisce categorie di persone e dati.

Le aggiunte dovrebbero avere una ragione, perché un campo non usato in decisioni, verifiche o collegamenti aumenta il carico e può ridurre la qualità. Prima di aggiungerlo, si definiscono proprietario, formato, evento di aggiornamento e lettore che ne dipende.

I riferimenti tra strumenti devono essere stabili. Un ID di attività può collegare registro, DPIA, informativa, contratto e prova di cancellazione. Il collegamento non autorizza a omettere dal registro un contenuto richiesto se il rinvio non è leggibile o non resta disponibile durante una verifica.

La struttura può includere campi condizionali. Per esempio, il dettaglio delle garanzie di trasferimento appare quando esiste un flusso pertinente. La condizione deve essere esplicita e verificata; lasciare una colonna vuota non chiarisce se il campo sia stato valutato oppure dimenticato.

Conserva un record vivo

Il registro cambia insieme al trattamento: nuova finalità, categoria di persone o dati, sistema, integrazione, destinatario, paese, garanzia, termine di cancellazione, misura di sicurezza, titolare servito o ruolo sono eventi di aggiornamento. L'evento dovrebbe entrare nei processi che già approvano progetti, fornitori e modifiche tecniche.

Ogni riga ha un proprietario operativo e un responsabile della qualità complessiva. Il primo conferma i fatti del processo; il secondo governa schema, coerenza e richieste trasversali. Sicurezza, legale, acquisti e risorse umane contribuiscono alle proprie informazioni, senza che una sola funzione debba ricostruire da sola l'intero flusso.

La versione conserva data, autore, campi modificati, motivo e prova. Una cronologia leggibile permette di ricostruire cosa era noto quando è stata presa una decisione. Sovrascrivere la riga senza traccia può rendere attuale il foglio, ma distrugge l'evidenza della responsabilizzazione che il registro dovrebbe sostenere.

Un controllo periodico proporzionato può rilevare cambiamenti sfuggiti ai trigger. Non esiste nell'articolo 30 un intervallo universale valido per ogni attività ¹. Frequenza e profondità dipendono da stabilità, rischio e volume di cambiamento; attività dinamiche richiedono un backstop più ravvicinato di processi maturi e invariati.

Gli indicatori di qualità possono misurare righe senza proprietario, campi scaduti, prove non risolvibili e modifiche di sistemi non riflesse nel registro. Non vanno trasformati in un punteggio di conformità. Il loro scopo è indirizzare il lavoro e rendere visibili le lacune prima di una richiesta o di un incidente.

Il processo di cambiamento dovrebbe notificare il registro prima della messa in esercizio, non dopo il controllo periodico. Acquisti segnala un nuovo fornitore, la sicurezza una regione o un accesso diverso, il prodotto una finalità ulteriore e le risorse umane una nuova categoria di interessati. Il proprietario valuta quali campi e documenti collegati devono cambiare.

Alla chiusura dell'aggiornamento, una seconda persona può controllare i campi più sensibili: ruolo, trasferimenti, cancellazione e categorie di dati. Non serve duplicare ogni intervista; occorre verificare che la prova indicata sostenga davvero la nuova versione e che i sistemi coinvolti abbiano un proprietario capace di confermarla.

Una procedura per lunedì mattina

La prima versione non richiede una piattaforma perfetta. Servono un perimetro, proprietari, fonti e una sequenza capace di produrre righe verificabili. Il gruppo può iniziare da un'unità o da un processo con confini chiari e riutilizzare il metodo sul resto dell'organizzazione.

1. Nomina il proprietario del registro. Definisci chi mantiene lo schema, coordina i contributi, decide le questioni di qualità ed esporta il documento per una richiesta dell'autorità.
2. Raccogli l'inventario reale. Elenca sistemi, file, moduli, integrazioni, scambi, fornitori e proprietari; confronta le interviste con contratti, configurazioni, informative e procedure.
3. Delimita le attività. Formula finalità e innesco, separa ruoli e percorsi con destinatari o cancellazioni incompatibili e assegna un identificatore stabile a ogni riga.
4. Compila la vista corretta. Usa i campi del titolare o del responsabile, mantenendo ciascun titolare servito distinguibile e indicando “non applicabile” solo con una ragione verificata.
5. Esamina la deroga per attività. Se l'organizzazione impiega meno di 250 persone, prova occasionalità, rischio improbabile e assenza di dati degli articoli 9 e 10 senza trasformare la soglia in esenzione generale.
6. Collega evidenze e approva. Aggiungi proprietario e versione ai riferimenti, risolvi le questioni sostanziali e fai confermare i fatti da chi conosce il processo e la conclusione da chi ne ha autorità.
7. Attiva aggiornamenti e prova l'export. Collega i trigger ai processi di cambiamento, conserva la cronologia e verifica che una copia leggibile e attuale possa essere prodotta senza dipendere da conoscenze informali.

Dopo il primo ciclo, il gruppo dovrebbe avere non soltanto righe compilate, ma anche un elenco di lacune con proprietari e scadenze; la priorità va a ruoli incerti, attività non censite, trasferimenti opachi, dati sensibili, cancellazioni non attuate e prove mancanti. Riempire celle facili prima di queste questioni produce un documento ordinato ma poco difendibile.

La qualità cresce quando il registro viene usato. Una revisione di un fornitore, una DPIA o una richiesta dell'interessato dovrebbe poter partire dalla stessa attività identificata. Se ogni funzione mantiene una mappa incompatibile, il lavoro di riconciliazione segnala un problema di governo che il registro può aiutare a correggere.

Domande frequenti

Le risposte riassumono l'articolo 30 e il metodo operativo. Il registro concreto riflette entità, ruolo, sistemi, istruzioni e flussi effettivi dell'organizzazione.

Che cos'è il registro delle attività di trattamento?

È la documentazione scritta, anche elettronica, delle attività svolte sotto la responsabilità del titolare o per conto dei titolari serviti da un responsabile; collega i campi dell'articolo 30 al lavoro reale e sostiene la dimostrazione di conformità e la cooperazione con l'autorità ². Non coincide con un inventario di software.

Quali campi deve contenere il registro del titolare?

Contatti pertinenti, finalità, categorie di interessati e dati, categorie di destinatari, trasferimenti verso paesi terzi o organizzazioni internazionali e relative garanzie nei casi richiesti, termini previsti per la cancellazione ove possibile e descrizione generale delle misure di sicurezza, sempre ove possibile ¹. Ogni campo deve riferirsi a un'attività delimitata.

Quali campi deve tenere il responsabile del trattamento?

Il responsabile registra contatti propri e di ciascun titolare servito, eventuali rappresentanti e DPO, categorie di attività svolte per ogni titolare, trasferimenti e garanzie applicabili e una descrizione generale delle misure di sicurezza ove possibile ¹. La vista separa i clienti e non confonde attività su istruzione con eventuali finalità autonome.

Quando si applica la deroga per le organizzazioni con meno di 250 persone?

Solo per un'attività che, oltre a rientrare nel requisito dimensionale, sia occasionale, improbabile che comporti un rischio per diritti e libertà e priva di dati degli articoli 9 e 10 ³. Le condizioni sono cumulative. Un trattamento ordinario del personale non diventa occasionale perché viene eseguito a intervalli.

Si può tenere il registro in un foglio di calcolo?

Sì, se conserva campi completi, ruoli separati, proprietari, versioni, evidenze e disponibilità. Lo strumento deve permettere controllo degli accessi ed esportazione leggibile. Quando relazioni e cambiamenti diventano troppo complessi, una piattaforma più strutturata può ridurre errori; non autorizza però a semplificare il contenuto legale.

Quando va aggiornato il registro delle attività di trattamento?

Quando cambiano finalità, persone, dati, sistemi, destinatari, trasferimenti, cancellazione, sicurezza, ruolo o titolare servito. Il controllo periodico è un backstop proporzionato, non una scadenza universale fissata dal GDPR. Ogni modifica conserva data, autore, motivo e versione precedente, affinché il registro resti una prova e non soltanto una fotografia corrente.