Registro dei trattamenti: chi deve farlo

In sintesi. Quasi tutti: la soglia dei 250 dipendenti (art. 30, par. 5 GDPR) è svuotata dalle tre deroghe — trattamenti che presentano un rischio, trattamenti non occasionali, categorie particolari di dati o dati relativi a condanne penali e reati — che riconducono nell’obbligo la quasi totalità dei titolari: basta un solo dipendente. Il registro richiede forma scritta, anche elettronica; le violazioni sono sanzionabili fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo dell’esercizio precedente, se superiore (art. 83, par. 4, lett. a).

È diffusa la convinzione che il registro delle attività di trattamento costituisca un adempimento riservato alle organizzazioni di maggiori dimensioni, in ragione della soglia dei duecentocinquanta dipendenti. Si tratta di un equivoco tanto frequente quanto insidioso: la disciplina, letta nella sua interezza, conduce a conclusione opposta. Per la generalità dei soggetti che trattano dati personali il registro rappresenta, anzi, il presupposto stesso della conformità al Regolamento (UE) 2016/679. Conviene dunque chiarire in che cosa consista, su chi gravi l’obbligo, quale ne sia il contenuto necessario e in quale forma vada tenuto e aggiornato.

Cos’è il registro delle attività di trattamento

Il registro delle attività di trattamento trova fondamento nell’articolo 30 del Regolamento (UE) 2016/679 (GDPR). Esso consiste, in sintesi, in una mappatura documentale dell’insieme dei trattamenti di dati personali posti in essere da un’organizzazione: per ciascuna attività vi si indicano le finalità perseguite, le categorie di interessati e di dati, i destinatari, i termini di conservazione e le misure di sicurezza adottate.

Non si tratta di un mero adempimento formale. Il registro costituisce uno degli strumenti qualificanti del principio di responsabilizzazione (accountability): chi tratta dati deve essere in grado di dimostrare di farlo in conformità alla normativa. In difetto di una rappresentazione aggiornata dei trattamenti svolti, diviene arduo valutare i rischi, dare riscontro alle istanze degli interessati o gestire un’eventuale violazione dei dati personali (data breach). Non a caso, il Regolamento impone di metterlo a disposizione dell’Autorità di controllo, su richiesta (art. 30, par. 4).

Chi è obbligato a tenere il registro

È su questo profilo che si appunta l’incertezza applicativa più ricorrente. L’articolo 30, paragrafo 5, del Regolamento introduce, in apparenza, una soglia di favore: l’obbligo non si applica alle organizzazioni con meno di duecentocinquanta dipendenti. La medesima disposizione, tuttavia, fa immediatamente seguire tre deroghe che riconducono nell’alveo dell’obbligo la quasi totalità dei titolari.

Anche al di sotto della soglia, infatti, è tenuto alla redazione del registro chiunque:

• ponga in essere trattamenti suscettibili di presentare un rischio — ancorché non elevato — per i diritti e le libertà degli interessati;
• effettui trattamenti non occasionali;
• tratti categorie particolari di dati (i dati che l’art. 9 GDPR qualifica come sensibili: salute, dati biometrici e genetici, convinzioni religiose o politiche e simili) ovvero dati relativi a condanne penali e reati (art. 10 GDPR).

Dirimente è la seconda deroga. Per «trattamento occasionale» deve intendersi un’attività sporadica e non programmata; per converso, la gestione ordinaria dei dati di clienti, fornitori e dipendenti riveste, per sua natura, carattere sistematico e continuativo. Chiunque abbia anche un solo dipendente ne tratta stabilmente i dati ai fini degli adempimenti retributivi e di legge. Ne discende che la soglia dei duecentocinquanta dipendenti, nella prassi, assume rilievo in ipotesi del tutto residuali: lo conferma l’ampiezza dell’elenco dei soggetti obbligati che lo stesso Garante riporta nelle proprie FAQ ufficiali in materia.

Le ipotesi indicate dal Garante

Per dare conto dell’ampiezza della platea dei soggetti obbligati, il Garante annovera, tra gli altri:

• gli esercizi commerciali e gli artigiani con almeno un dipendente — bar, ristoranti, officine, negozi — ovvero che trattino dati sanitari della clientela, quali estetisti, parrucchieri e ottici;
• i liberi professionisti con almeno un dipendente, o che trattino dati sanitari o dati relativi a condanne penali e reati: si pensi a commercialisti, fisioterapisti, farmacisti e, in generale, ai medici;
• le associazioni, le fondazioni e i comitati che trattino categorie particolari di dati (associazioni sportive, per i dati sanitari che trattano, organismi a tutela di soggetti vulnerabili e simili);
• anche i condomìni, se trattano categorie particolari di dati, come nel caso di deliberazioni in materia di abbattimento delle barriere architettoniche.

Proprio per l’ampiezza di queste deroghe, il Garante raccomanda la tenuta del registro a tutti i titolari e responsabili, anche quando non è obbligatoria, in coerenza con il considerando 82 del Regolamento: è uno strumento semplice, utile per governare i trattamenti e per dialogare in modo collaborativo con l’Autorità.

Devo tenerlo? I casi tipici in una tabella

La tabella orienta, non sostituisce l’analisi del caso. Le righe sul negozio online, sul fornitore e sull’ente pubblico non sono esempi del Garante: applicano gli stessi criteri dell’art. 30, par. 5. Nei casi dubbi bastano tre domande: il trattamento è abituale? Riguarda dati delicati? Può comportare un rischio per le persone? Un solo sì fa scattare l’obbligo.

La semplificazione per le PMI

Le organizzazioni con meno di duecentocinquanta dipendenti che rientrano nell’obbligo possono limitare il registro alle sole attività di trattamento che lo fanno scattare, senza mappare l’intera operatività. Il Garante mette a disposizione sul proprio sito due modelli di «registro semplificato» per le PMI, uno per il titolare e uno per il responsabile. Sono un buon punto di partenza, purché vengano adattati alla realtà dell’organizzazione: un modello compilato in termini generici serve a poco.

La soglia dei 250 dipendenti sta per cambiare?

Forse, ma non ancora. Il 21 maggio 2025 la Commissione europea ha proposto di riscrivere l’art. 30, par. 5: l’esenzione varrebbe per imprese e organizzazioni con meno di 750 dipendenti e l’obbligo resterebbe solo per i trattamenti che possono comportare un rischio elevato ai sensi dell’art. 35. Nel parere congiunto 01/2025 (luglio 2025) il Comitato europeo per la protezione dei dati e il Garante europeo hanno condiviso l’obiettivo, ma hanno chiesto di motivare la scelta di 750 anziché 500 dipendenti e hanno ricordato che il registro serve anche ad altri adempimenti, come la trasparenza e la risposta alle richieste degli interessati. Il 9 giugno 2026 Consiglio e Parlamento europeo hanno raggiunto un accordo provvisorio sul pacchetto di semplificazione («Omnibus IV») di cui la proposta fa parte; tra gli atti interessati dall’accordo figura anche il GDPR.

Un accordo provvisorio non è una norma in vigore: le nuove regole varranno solo dopo l’adozione formale e la pubblicazione nella Gazzetta ufficiale dell’Unione, e la soglia definitiva, che nel negoziato può cambiare rispetto alla proposta, va letta sul testo finale. Fino ad allora si applica l’art. 30 attuale, con le sue tre deroghe. Anche dopo, il registro resterà utile a chiunque debba dimostrare come tratta i dati: eliminarne uno già esistente sarebbe un risparmio solo apparente.

Cosa deve contenere il registro

Il contenuto minimo è puntualmente fissato dall’articolo 30, paragrafo 1, del Regolamento. Il registro del titolare deve recare, per ciascun trattamento:

• la denominazione e i dati di contatto del titolare e, ove nominati, dell’eventuale contitolare, del rappresentante e del responsabile della protezione dei dati (DPO);
• le finalità del trattamento, distinte per tipologia (a titolo esemplificativo: gestione del rapporto di lavoro dei dipendenti; gestione degli ordini ai fornitori). È opportuno dar conto altresì della base giuridica ai sensi dell’art. 6;
• le categorie di interessati e di dati personali: i soggetti coinvolti (clienti, fornitori, dipendenti) e la tipologia di dati trattati (anagrafici, sanitari, biometrici e simili);
• le categorie di destinatari cui i dati sono o saranno comunicati, ivi compresi i soggetti esterni designati responsabili del trattamento;
• gli eventuali trasferimenti verso Paesi terzi od organizzazioni internazionali, con indicazione del Paese e delle garanzie prestate;
• i termini di conservazione, ossia i tempi previsti per la cancellazione delle diverse categorie di dati; ove non sia possibile fissare un termine, vanno indicati i criteri per determinarlo;
• una descrizione generale delle misure di sicurezza tecniche e organizzative adottate ai sensi dell’art. 32. L’elencazione dell’art. 32 ha carattere aperto: spetta al titolare valutare, in concreto, il livello di sicurezza adeguato ai rischi.

Va precisato che gli ultimi due contenuti — i termini di conservazione e la descrizione delle misure di sicurezza — sono richiesti dall’art. 30, par. 1, lett. f) e g) «ove possibile»: compilarli resta tuttavia buona pratica, e le FAQ del Garante trattano entrambi i campi come contenuti da indicare nel registro.

Nulla osta all’inserimento di informazioni ulteriori di utilità, quali le valutazioni d’impatto (DPIA) effettuate o i referenti interni individuati per taluni trattamenti.

Registro del titolare e registro del responsabile

L’articolo 30 distingue due documenti. Il registro del titolare (par. 1) descrive i trattamenti decisi e svolti dall’organizzazione per finalità proprie. Il registro del responsabile (par. 2) concerne, invece, chi tratta dati per conto altrui — un fornitore di servizi informatici, una società di elaborazione delle retribuzioni, una software house — e censisce le categorie di attività svolte per ciascun titolare committente.

Chi operi quale responsabile per una pluralità di clienti dovrà articolare il proprio registro in sezioni distinte, una per ciascun titolare, potendo richiamare, nella descrizione dei trattamenti, quanto già definito nell’atto di nomina, che ai sensi dell’art. 28 deve precisare natura, finalità, tipologie di dati, categorie di interessati e durata del trattamento. Va soggiunto che un medesimo soggetto può rivestire la qualità di titolare per taluni trattamenti e di responsabile per altri: in tali ipotesi occorrono entrambi i registri.

In che forma si tiene e come si aggiorna

Il registro deve rivestire forma scritta, anche elettronica. Non è prescritto un formato vincolato: sono idonei un foglio di calcolo adeguatamente strutturato o un documento di testo, purché il contenuto risponda ai requisiti dell’art. 30. Su richiesta, va esibito all’Autorità.

Il profilo di maggiore delicatezza attiene all’aggiornamento. Il registro è documento «vivo»: deve corrispondere, in ogni momento, ai trattamenti effettivamente posti in essere. Ogni variazione rilevante — una nuova finalità, una nuova categoria di dati o di interessati, un nuovo fornitore esterno — va registrata subito. Per questo le FAQ del Garante chiedono che il registro rechi, in modo verificabile, la data di prima istituzione (o di creazione di ciascuna scheda) e quella dell’ultimo aggiornamento, con annotazioni del tipo «scheda creata il…» e «ultimo aggiornamento il…». Un registro non aggiornato non assolve alla propria funzione.

Un esempio di scheda compilata

Ecco come può presentarsi, nel registro del titolare, la scheda «gestione del personale» di una piccola impresa con otto dipendenti. È un esempio da adattare, non un modello da copiare.

Ogni scheda segue la stessa logica: una finalità per scheda, mai un elenco indistinto di «dati dei clienti».

Come impostarlo: cinque passi e tempi indicativi

Per una piccola organizzazione il lavoro si misura di norma in settimane, non in mesi. I tempi sono indicativi: dipendono dal numero di uffici, programmi e fornitori.

1. Censire i trattamenti (una o due settimane). Si parte dalle attività reali: chi raccoglie dati, con quali moduli e programmi, per quale scopo. Un colloquio con ciascun ufficio e l’elenco dei software in uso fanno emergere quasi tutto.
2. Elencare i fornitori che accedono ai dati. Consulente del lavoro, assistenza informatica, servizi cloud, agenzia che gestisce il sito: ciascuno va riportato tra i destinatari e deve avere un contratto da responsabile del trattamento.
3. Compilare una scheda per ogni finalità (alcuni giorni). Con le voci dell’art. 30, la base giuridica e le date.
4. Verificare la coerenza con gli altri documenti. Ciò che è scritto nel registro deve coincidere con le informative, con le nomine e con i tempi di conservazione dichiarati.
5. Fissare la manutenzione. Aggiornamento a ogni novità (nuovo programma, nuovo fornitore, nuova finalità) e una revisione completa almeno una volta l’anno, con data annotata.

Gli errori più frequenti

Nella prassi alcuni errori ricorrono con regolarità:

• Ritenersi esonerati in ragione dei duecentocinquanta dipendenti. È l’equivoco più diffuso: come si è visto, le deroghe dell’art. 30, par. 5, coinvolgono pressoché tutti.
• Adottare un modello generico e ometterne l’aggiornamento. Un registro riprodotto in modo standardizzato e mai più rivisto non rispecchia la realtà e non regge a un controllo.
• Confondere finalità e basi giuridiche, ovvero trascurare queste ultime. L’indicazione della base giuridica di ciascun trattamento è ciò che rende il registro effettivamente utile.
• Descrivere le misure di sicurezza in termini vaghi, o, all’opposto, dichiararne l’assenza. Le misure vanno indicate in sintesi, ma in modo coerente con quanto in concreto attuato.
• Omettere il registro del responsabile. Chi tratta dati per conto altrui ne ignora sovente la stessa esistenza.
• Non datare istituzione e aggiornamenti. In difetto di tali annotazioni è impossibile dimostrare la tenuta del registro nel tempo.

Cosa si rischia: il quadro sanzionatorio

Sul piano sanzionatorio, la violazione degli obblighi in materia di registro è ascritta alla fascia di cui all’articolo 83, paragrafo 4, lettera a) del Regolamento: fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo dell’esercizio precedente, se superiore. Si tratta della fascia «inferiore» rispetto a quella riservata alle violazioni più gravi (art. 83, par. 5), ma tutt’altro che simbolica.

Va, peraltro, precisato che la violazione dell’art. 30 può non essere contestata da sola: come mostra il primo dei casi esaminati di seguito, la mancata o carente tenuta del registro può emergere nell’ambito di accertamenti di più ampio respiro e concorrere, unitamente ad altre carenze, a definire la gravità della condotta e la misura della sanzione.

Cosa dice la giurisprudenza

Ne offre conferma il provvedimento del Garante n. 278 del 17 dicembre 2020 (doc. web n. 9529527), con cui è stata irrogata una sanzione di 100.000 euro nei confronti dell’Azienda USL Toscana Sud Est. Tra le diverse violazioni contestate, all’atto dell’accertamento l’ente non aveva ancora adottato il registro delle attività di trattamento di cui all’art. 30; a ciò si aggiungevano un atto di designazione del responsabile privo delle istruzioni richieste dall’art. 28, misure di sicurezza inadeguate e l’omessa effettuazione della valutazione d’impatto.

Particolarmente istruttivo è il profilo temporale. L’azienda aveva adottato il registro solo il 30 novembre 2018, tre giorni dopo l’ispezione. Il Garante ha osservato che l’obbligo decorreva dalla piena applicazione del Regolamento (25 maggio 2018) e che i due anni precedenti dovevano servire proprio all’adeguamento: l’adempimento tardivo, dunque, non ha escluso la violazione dell’art. 30, che figura tra quelle dichiarate nel provvedimento ed è stata considerata nel determinare la sanzione. È la conferma di un principio tanto elementare quanto cogente: il registro va istituito e mantenuto aggiornato per tempo, non ricostruito ex post, quando l’accertamento è già in corso.

Un provvedimento più recente mostra l’altra faccia della questione. Con il provvedimento n. 755 del 18 dicembre 2025 (doc. web n. 10213711) il Garante ha sanzionato per 120.000 euro una società che raccoglieva, con dispositivi telematici installati sui veicoli aziendali, dati sullo stile di guida dei dipendenti. Il registro c’era: dagli accertamenti risultava predisposto e aggiornato nei primi tre mesi di ogni anno. La sanzione ha riguardato altro — informativa inadeguata, legittimo interesse non correttamente bilanciato, dati resi accessibili a soggetti terzi non designati responsabili del trattamento, garanzie sui controlli a distanza dei lavoratori non attivate — e la stessa valutazione d’impatto prodotta dalla società non è stata ritenuta utilmente valutabile. L’indicazione è chiara: il registro è necessario, non sufficiente. Serve se descrive trattamenti che sono, a loro volta, leciti e documentati in modo coerente.

Il registro non è un documento da compilare e archiviare: è lo specchio del modo in cui un’organizzazione governa i dati personali. Tenerlo con cura oggi permette di muoversi con sicurezza domani — nel rispondere a un interessato, nel gestire un data breach o nell’affrontare un controllo. Predisporlo correttamente, o rimettere in ordine quello esistente, è una parte essenziale dell’adeguamento al GDPR di imprese, professionisti ed enti; dal registro emergono anche i trattamenti che richiedono una valutazione d’impatto (DPIA). Per impostare il registro o rivedere quello esistente offriamo supporto nell’ambito della consulenza GDPR per aziende e professionisti.

Domande frequenti

La soglia dei 250 dipendenti esonera dal registro? Quasi mai: le tre deroghe dell’art. 30, par. 5 — trattamenti che presentano un rischio per i diritti, trattamenti non occasionali, categorie particolari di dati o dati relativi a condanne penali e reati — riconducono nell’obbligo la quasi totalità dei titolari. La gestione ordinaria di clienti, fornitori e dipendenti è, per sua natura, non occasionale.

Un libero professionista senza dipendenti deve tenere il registro? Sì, se tratta dati sanitari o dati relativi a condanne penali e reati: è uno dei casi indicati dal Garante. Negli altri casi l’obbligo dipende dal carattere non occasionale del trattamento, e la gestione abituale dei dati dei clienti raramente è occasionale: tenerlo è la scelta più prudente, oltre che quella raccomandata dal Garante.

In quale forma va tenuto il registro? In forma scritta, anche elettronica: sono idonei un foglio di calcolo o un documento di testo adeguatamente strutturati, purché il contenuto risponda ai requisiti dell’art. 30 e il registro sia esibibile all’Autorità su richiesta.

Chi tratta dati per conto di altri deve tenerne uno? Sì: il responsabile tiene il registro di cui all’art. 30, par. 2, articolato per ciascun titolare committente. Poiché un medesimo soggetto può essere titolare per alcuni trattamenti e responsabile per altri, in tali casi occorrono entrambi i registri.

La soglia salirà a 750 dipendenti? È ciò che la Commissione europea ha proposto il 21 maggio 2025, limitando l’obbligo ai trattamenti a rischio elevato; il 9 giugno 2026 Consiglio e Parlamento europeo hanno raggiunto un accordo provvisorio sul pacchetto di cui la proposta fa parte. Finché il nuovo testo non è adottato, pubblicato nella Gazzetta ufficiale dell’Unione e applicabile, valgono la soglia dei 250 dipendenti e le tre deroghe attuali.

Il presente approfondimento ha finalità informative e fotografa la disciplina vigente alla data di pubblicazione; non sostituisce una valutazione del caso concreto.

Questo approfondimento ha finalità informative e divulgative e non costituisce un parere legale sul caso concreto. Contenuto verificato dal Dott. Giuseppe Foti, consulente legale — ultima verifica: 30 settembre 2026.

← Tutti gli approfondimenti