In sintesi. Quasi tutti: la soglia dei 250 dipendenti (art. 30, par. 5 GDPR) è svuotata dalle tre deroghe — trattamenti che presentano un rischio, trattamenti non occasionali, categorie particolari di dati o dati relativi a condanne penali e reati — che riconducono nell’obbligo la quasi totalità dei titolari: basta un solo dipendente. Il registro richiede forma scritta, anche elettronica; le violazioni sono sanzionabili fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo dell’esercizio precedente, se superiore (art. 83, par. 4, lett. a).
È diffusa la convinzione che il registro delle attività di trattamento costituisca un adempimento riservato alle organizzazioni di maggiori dimensioni, in ragione della soglia dei duecentocinquanta dipendenti. Si tratta di un equivoco tanto frequente quanto insidioso: la disciplina, letta nella sua interezza, conduce a conclusione opposta. Per la generalità dei soggetti che trattano dati personali il registro rappresenta, anzi, il presupposto stesso della conformità al Regolamento (UE) 2016/679. Conviene dunque chiarire in che cosa consista, su chi gravi l’obbligo, quale ne sia il contenuto necessario e in quale forma vada tenuto e aggiornato.
Cos’è il registro delle attività di trattamento
Il registro delle attività di trattamento trova fondamento nell’articolo 30 del Regolamento (UE) 2016/679 (GDPR). Esso consiste, in sintesi, in una mappatura documentale dell’insieme dei trattamenti di dati personali posti in essere da un’organizzazione: per ciascuna attività vi si indicano le finalità perseguite, le categorie di interessati e di dati, i destinatari, i termini di conservazione e le misure di sicurezza adottate.
Non si tratta di un mero adempimento formale. Il registro costituisce uno degli strumenti qualificanti del principio di responsabilizzazione (accountability): chi tratta dati deve essere in grado di dimostrare di farlo in conformità alla normativa. In difetto di una rappresentazione aggiornata dei trattamenti svolti, diviene arduo valutare i rischi, dare riscontro alle istanze degli interessati o gestire un’eventuale violazione dei dati personali (data breach). Non a caso, il registro figura tra i primi documenti che l’Autorità richiede in sede di controllo.
Chi è obbligato a tenere il registro
È su questo profilo che si appunta l’incertezza applicativa più ricorrente. L’articolo 30, paragrafo 5, del Regolamento introduce, in apparenza, una soglia di favore: l’obbligo non si applica alle organizzazioni con meno di duecentocinquanta dipendenti. La medesima disposizione, tuttavia, fa immediatamente seguire tre deroghe che riconducono nell’alveo dell’obbligo la quasi totalità dei titolari.
Anche al di sotto della soglia, infatti, è tenuto alla redazione del registro chiunque:
- ponga in essere trattamenti suscettibili di presentare un rischio — ancorché non elevato — per i diritti e le libertà degli interessati;
- effettui trattamenti non occasionali;
- tratti categorie particolari di dati (i dati che l’art. 9 GDPR qualifica come sensibili: salute, dati biometrici e genetici, convinzioni religiose o politiche e simili) ovvero dati relativi a condanne penali e reati (art. 10 GDPR).
Dirimente è la seconda deroga. Per «trattamento occasionale» deve intendersi un’attività sporadica e non programmata; per converso, la gestione ordinaria dei dati di clienti, fornitori e dipendenti riveste, per sua natura, carattere sistematico e continuativo. Chiunque abbia anche un solo dipendente ne tratta stabilmente i dati ai fini degli adempimenti retributivi e di legge. Ne discende che la soglia dei duecentocinquanta dipendenti, nella prassi, assume rilievo in ipotesi del tutto residuali — come, del resto, riconosce lo stesso Garante nelle proprie FAQ ufficiali in materia.
Le ipotesi indicate dal Garante
Per dare conto dell’ampiezza della platea dei soggetti obbligati, il Garante annovera, tra gli altri:
- gli esercizi commerciali e gli artigiani con almeno un dipendente — bar, ristoranti, officine, negozi — ovvero che trattino dati sanitari della clientela, quali estetisti, parrucchieri e ottici;
- i liberi professionisti con almeno un dipendente, o che trattino dati sanitari o dati relativi a condanne penali e reati: si pensi a commercialisti, fisioterapisti, farmacisti e, in generale, agli esercenti professioni sanitarie;
- le associazioni, le fondazioni e i comitati che trattino categorie particolari di dati (associazioni sportive che gestiscono certificazioni mediche, organismi a tutela di soggetti vulnerabili e simili);
- finanche i condomìni, ove trattino categorie particolari di dati, come nel caso di deliberazioni in materia di abbattimento delle barriere architettoniche.
Avuto riguardo alla portata di tali deroghe, il Garante raccomanda comunque a tutti i titolari e responsabili, anche al di fuori delle ipotesi di obbligo, la tenuta del registro, in coerenza con il considerando 82 del Regolamento: si tratta di uno strumento agevole, idoneo a governare i trattamenti e a instaurare un dialogo collaborativo con l’Autorità.
La semplificazione per le PMI
Le organizzazioni con meno di duecentocinquanta dipendenti soggette all’obbligo possono avvalersi di una semplificazione: il registro può essere circoscritto alle sole attività di trattamento che ne integrano i presupposti, senza necessità di mappare l’intera operatività. A tal fine il Garante mette a disposizione due modelli di «registro semplificato» per le PMI — l’uno per il titolare, l’altro per il responsabile — in formato editabile. Essi costituiscono un utile punto di partenza, a condizione di adattarli all’effettiva realtà dell’organizzazione: un modello compilato in termini generici è di scarsa utilità.
Cosa deve contenere il registro
Il contenuto minimo è puntualmente fissato dall’articolo 30, paragrafo 1, del Regolamento. Il registro del titolare deve recare, per ciascun trattamento:
- la denominazione e i dati di contatto del titolare e, ove nominati, dell’eventuale contitolare, del rappresentante e del responsabile della protezione dei dati (DPO);
- le finalità del trattamento, distinte per tipologia (a titolo esemplificativo: gestione del rapporto di lavoro dei dipendenti; gestione degli ordini ai fornitori). È opportuno dar conto altresì della base giuridica ai sensi dell’art. 6;
- le categorie di interessati e di dati personali: i soggetti coinvolti (clienti, fornitori, dipendenti) e la tipologia di dati trattati (anagrafici, sanitari, biometrici e simili);
- le categorie di destinatari cui i dati sono o saranno comunicati, ivi compresi i soggetti esterni designati responsabili del trattamento;
- gli eventuali trasferimenti verso Paesi terzi od organizzazioni internazionali, con indicazione del Paese e delle garanzie prestate;
- i termini di conservazione, ossia i tempi previsti per la cancellazione delle diverse categorie di dati; ove non sia possibile fissare un termine, vanno indicati i criteri per determinarlo;
- una descrizione generale delle misure di sicurezza tecniche e organizzative adottate ai sensi dell’art. 32. L’elencazione dell’art. 32 ha carattere aperto: spetta al titolare valutare, in concreto, il livello di sicurezza adeguato ai rischi.
Va precisato che gli ultimi due contenuti — i termini di conservazione e la descrizione delle misure di sicurezza — sono richiesti dall’art. 30, par. 1, lett. f) e g) «ove possibile»: compilarli resta tuttavia buona pratica, ed è ciò che il Garante di regola si attende in sede di controllo.
Nulla osta all’inserimento di informazioni ulteriori di utilità, quali le valutazioni d’impatto (DPIA) effettuate o i referenti interni individuati per taluni trattamenti.
Registro del titolare e registro del responsabile
L’articolo 30 distingue due documenti. Il registro del titolare (par. 1) descrive i trattamenti decisi e svolti dall’organizzazione per finalità proprie. Il registro del responsabile (par. 2) concerne, invece, chi tratta dati per conto altrui — un fornitore di servizi informatici, una società di elaborazione delle retribuzioni, una software house — e censisce le categorie di attività svolte per ciascun titolare committente.
Chi operi quale responsabile per una pluralità di clienti dovrà articolare il proprio registro in sezioni distinte, una per ciascun titolare, potendo richiamare, nella descrizione dei trattamenti, quanto già definito nell’atto di nomina, che ai sensi dell’art. 28 deve precisare natura, finalità, tipologie di dati, categorie di interessati e durata del trattamento. Va soggiunto che un medesimo soggetto può rivestire la qualità di titolare per taluni trattamenti e di responsabile per altri: in tali ipotesi occorrono entrambi i registri.
In che forma si tiene e come si aggiorna
Il registro deve rivestire forma scritta, anche elettronica. Non è prescritto un formato vincolato: sono idonei un foglio di calcolo adeguatamente strutturato o un documento di testo, purché il contenuto risponda ai requisiti dell’art. 30. Su richiesta, va esibito all’Autorità.
Il profilo di maggiore delicatezza attiene all’aggiornamento. Il registro è documento «vivo»: deve corrispondere, in ogni momento, ai trattamenti effettivamente posti in essere. Ogni variazione rilevante — una nuova finalità, una nuova categoria di dati o di interessati, un nuovo fornitore esterno — va recepita tempestivamente. È pertanto buona prassi annotare in modo verificabile tanto la data di prima istituzione (o di creazione di ciascuna scheda) quanto quella dell’ultimo aggiornamento. Un registro non aggiornato equivale, in sede di controllo, a un registro assente.
Gli errori più frequenti
Nella prassi taluni errori ricorrono con regolarità:
- Ritenersi esonerati in ragione dei duecentocinquanta dipendenti. È l’equivoco più diffuso: come si è visto, le deroghe dell’art. 30, par. 5, coinvolgono pressoché tutti.
- Adottare un modello generico e ometterne l’aggiornamento. Un registro riprodotto in modo standardizzato e mai più rivisto non rispecchia la realtà e non regge a un controllo.
- Confondere finalità e basi giuridiche, ovvero trascurare queste ultime. L’indicazione della base giuridica di ciascun trattamento è ciò che rende il registro effettivamente utile.
- Descrivere le misure di sicurezza in termini vaghi, o, all’opposto, dichiararne l’assenza. Le misure vanno indicate in sintesi, ma in modo coerente con quanto in concreto attuato.
- Omettere il registro del responsabile. Chi tratta dati per conto altrui ne ignora sovente la stessa esistenza.
- Non datare istituzione e aggiornamenti. In difetto di tali annotazioni è impossibile dimostrare la tenuta del registro nel tempo.
Cosa si rischia: il quadro sanzionatorio
Sul piano sanzionatorio, la violazione degli obblighi in materia di registro è ascritta alla fascia di cui all’articolo 83, paragrafo 4, lettera a) del Regolamento: fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo dell’esercizio precedente, se superiore. Si tratta della fascia «inferiore» rispetto a quella riservata alle violazioni più gravi (art. 83, par. 5), ma tutt’altro che simbolica.
Va, peraltro, precisato che il Garante assai di rado sanziona la sola assenza del registro. Nella prassi, la mancata o carente tenuta emerge nell’ambito di accertamenti di più ampio respiro e concorre, unitamente ad altre carenze, a definire la gravità della condotta e la misura della sanzione.
Cosa dice la giurisprudenza
Ne offre conferma il provvedimento del Garante n. 278 del 17 dicembre 2020, con cui è stata irrogata una sanzione di 100.000 euro nei confronti dell’Azienda USL Toscana Sud Est. Tra le diverse violazioni contestate, all’atto dell’accertamento l’ente non aveva ancora adottato il registro delle attività di trattamento di cui all’art. 30; a ciò si aggiungevano un atto di designazione del responsabile privo delle istruzioni richieste dall’art. 28, misure di sicurezza inadeguate e l’omessa effettuazione della valutazione d’impatto.
Particolarmente istruttivo è il profilo temporale. L’azienda aveva successivamente adottato il registro, ma tardivamente. Il Garante ha osservato che il Regolamento era applicabile a far data dal 25 maggio 2018 e che il periodo anteriore era preordinato proprio all’adeguamento: l’adempimento tardivo, dunque, non ha valso a escludere la sanzione. È la conferma di un principio tanto elementare quanto cogente: il registro va istituito e mantenuto aggiornato per tempo, non ricostruito ex post, quando l’accertamento è già in corso.
Il registro non è un documento da redigere e archiviare, bensì lo specchio del modo in cui un’organizzazione governa i dati personali. Tenerlo con cura oggi significa muoversi con sicurezza domani — nel dare riscontro a un interessato, nel gestire un incidente o nell’affrontare un controllo. Predisporlo correttamente, o ricondurre a conformità quello esistente, costituisce un segmento qualificante dell’adeguamento al GDPR di imprese e professionisti. Sul medesimo tema può risultare utile anche l’approfondimento dedicato al banner dei cookie. Su questi profili offriamo supporto nell’ambito della consulenza GDPR per aziende e professionisti.
Domande frequenti
La soglia dei 250 dipendenti esonera dal registro? Quasi mai: le tre deroghe dell’art. 30, par. 5 — trattamenti che presentano un rischio per i diritti, trattamenti non occasionali, categorie particolari di dati — riconducono nell’obbligo la quasi totalità dei titolari. La gestione ordinaria di clienti, fornitori e dipendenti è, per sua natura, non occasionale.
In quale forma va tenuto il registro? In forma scritta, anche elettronica: sono idonei un foglio di calcolo o un documento di testo adeguatamente strutturati, purché il contenuto risponda ai requisiti dell’art. 30 e il registro sia esibibile all’Autorità su richiesta.
Chi tratta dati per conto di altri deve tenerne uno? Sì: il responsabile tiene il registro di cui all’art. 30, par. 2, articolato per ciascun titolare committente. Poiché un medesimo soggetto può essere titolare per alcuni trattamenti e responsabile per altri, in tali casi occorrono entrambi i registri.
Il presente approfondimento ha finalità informative e non sostituisce una valutazione del caso concreto.
Questo approfondimento ha finalità informative e divulgative e non costituisce un parere legale sul caso concreto. Contenuto verificato dal Dott. Giuseppe Foti, consulente legale — ultima verifica: 15 luglio 2026.