Guide

Registro delle attività di trattamento (art. 30 GDPR): contenuto e quando serve una DPIA

A cura del Team NexoDocs · come realizziamo e verifichiamo i contenuti

Il registro delle attività di trattamento elenca tutto ciò che un'organizzazione fa con i dati personali: per quale finalità, di quali persone, quali dati, chi li riceve, se escono dall'UE, per quanto tempo sono conservati e come sono protetti. Il GDPR lo richiede all'art. 30 sia al titolare sia al responsabile del trattamento; l'esenzione per le organizzazioni con meno di 250 dipendenti è molto limitata. Il registro è anche la base della norma ISO/IEC 27701 e della valutazione d'impatto sulla protezione dei dati (DPIA), che l'art. 35 impone quando un trattamento può presentare un rischio elevato. Questa guida è solo informativa e non costituisce consulenza legale.

Le colonne del registro del titolare

L'art. 30, paragrafo 1, del GDPR indica il contenuto minimo. Il formato più pratico è un foglio di calcolo con una riga per attività di trattamento (per esempio «paghe», «clienti del negozio online», «videosorveglianza») e queste colonne:

Oltre al minimo di legge, conviene aggiungere la base giuridica, il sistema in cui stanno i dati, il referente interno e una colonna «DPIA necessaria?»: così lo stesso registro aiuta a rispondere alle richieste degli interessati e a superare gli audit.

Il registro del responsabile del trattamento

Se l'azienda tratta dati per conto dei clienti (per esempio un fornitore SaaS o un consulente paghe), l'art. 30, paragrafo 2, richiede un registro proprio: i propri dati di contatto e quelli di ogni titolare per cui si agisce, le categorie di trattamenti svolti per ciascuno, i trasferimenti extra UE e una descrizione generale delle misure di sicurezza. Molte aziende sono sia titolari (per i propri dipendenti e clienti) sia responsabili (per i dati dei clienti) e devono tenere entrambi i registri.

Il modello, pronto all’uso

Kit ISO 27701: la documentazione del tuo sistema di gestione della privacy

34 documenti Word · 14 strumenti Excel · 78 controlli dell'Appendice A

Vedi il kit ISO 27701 con i modelli di registro e DPIA

Chi è esentato?

L'art. 30, paragrafo 5, esenta le organizzazioni con meno di 250 dipendenti, ma solo se il trattamento non presenta rischi per gli interessati, è occasionale e non riguarda categorie particolari di dati o dati su condanne penali. Paghe e gestione clienti non sono occasionali: in pratica quasi ogni azienda attiva deve tenere il registro, almeno per queste attività.

Quando serve una DPIA

L'art. 35 del GDPR richiede una DPIA prima di un trattamento che può presentare un rischio elevato per i diritti e le libertà delle persone. Indica tre casi in cui è sempre necessaria:

• Valutazione sistematica e globale di aspetti personali basata su un trattamento automatizzato, compresa la profilazione, che produce effetti giuridici o analogamente significativi.
• Trattamento su larga scala di categorie particolari di dati o di dati relativi a condanne penali e reati.
• Sorveglianza sistematica su larga scala di una zona accessibile al pubblico (per esempio una videosorveglianza estesa).

Il Garante per la protezione dei dati personali ha inoltre pubblicato un elenco delle tipologie di trattamenti soggetti a DPIA. La DPIA descrive il trattamento e le finalità, valuta necessità e proporzionalità, i rischi per gli interessati e le misure per ridurli (art. 35, paragrafo 7). Se il rischio residuo resta elevato, prima di iniziare va consultata l'autorità (art. 36). La colonna «DPIA necessaria?» del registro serve a individuare questi casi.

Il collegamento con ISO 27701

La ISO/IEC 27701:2025 chiede un sistema di gestione delle informazioni sulla privacy che individui e documenti i trattamenti di dati personali, ne valuti i rischi e applichi controlli per il ruolo di titolare e per quello di responsabile. Un registro completo e un metodo di DPIA sono le evidenze principali di questo sistema e servono allo stesso tempo per il GDPR.

• Tenere un unico registro indicando su ogni riga se si agisce come titolare o come responsabile.
• Rivedere il registro a ogni cambio di sistema, fornitore o finalità, e almeno una volta l'anno.
• Collegare ogni riga alla sua analisi dei rischi o DPIA, ai contratti con i responsabili e all'informativa.

Errori frequenti

• Impostare il registro per sistema («il gestionale», «il CRM») invece che per finalità: un sistema serve di solito più attività con termini e basi giuridiche diversi.
• Scrivere conservazione «illimitata» o «per il tempo necessario» senza un criterio.
• Dimenticare i fornitori cloud tra i destinatari e i relativi trasferimenti extra UE.
• Compilarlo una volta e non aggiornarlo più: il registro deve riflettere i trattamenti attuali.
• Non segnalare le categorie particolari di dati, che cambiano le basi giuridiche possibili e l'obbligo di DPIA.

Prossimo passo

Prova gratis o vai direttamente alla soluzione completa.

Kit ISO 27701: la documentazione del tuo sistema di gestione della privacy

34 documenti Word · 14 strumenti Excel · 78 controlli dell'Appendice A

Vedi il kit ISO 27701 con i modelli di registro e DPIA

Campione gratuito

Scarichi gratuitamente una versione ridotta della matrice dei rischi del kit (Excel, 10 scenari, mappa di calore; campione in inglese). Veda come vengono calcolati livello e categoria prima di decidere.

Scarica il campione gratuito (in inglese)

Domande frequenti

Guide correlate

Aggiornato: 2026-10-25