In breve
- Registro dei trattamenti: di fatto obbligatorio per quasi tutte le imprese e i professionisti con dipendenti o clienti.
- Ogni fornitore che tratta dati per tuo conto: contratto o nomina come responsabile.
- Dipendenti e collaboratori: autorizzazione con istruzioni scritte e formazione.
- DPO: obbligatorio per enti pubblici e per chi tratta dati delicati o monitora persone su larga scala.
- Il medico di base, il piccolo studio o il negozio non sono obbligati ad avere il DPO.
Chi è chi nella privacy
| Ruolo | Chi è | Documento |
|---|---|---|
| Titolare | L’azienda o il professionista che decide perché e come trattare i dati | Registro dei trattamenti, informative |
| Contitolari | Due soggetti che decidono insieme (per esempio due società dello stesso gruppo su un sito comune) | Accordo di contitolarità |
| Responsabile del trattamento | Il fornitore che tratta dati per conto del titolare | Contratto o atto di nomina |
| Autorizzati | Dipendenti e collaboratori che trattano dati sotto l’autorità del titolare | Lettera di autorizzazione con istruzioni |
| Amministratore di sistema | Chi gestisce server, reti e sistemi con accesso ai dati | Designazione, elenco e verifica annuale |
| DPO | Il responsabile della protezione dei dati, interno o esterno | Designazione e comunicazione al Garante |
Il registro dei trattamenti
È un documento, anche in formato elettronico, che elenca per ogni attività di trattamento:
- finalità (gestione del personale, clienti, fornitori, marketing, videosorveglianza…);
- categorie di persone e di dati;
- destinatari e fornitori coinvolti, ed eventuali trasferimenti fuori dall’Unione europea;
- tempi di conservazione;
- misure di sicurezza adottate: vedi sicurezza informatica.
L’esenzione per le aziende sotto i 250 dipendenti vale solo per trattamenti occasionali e non delicati: la gestione delle buste paga o dell’elenco clienti non è occasionale, quindi il registro serve quasi sempre. Il Garante lo considera comunque il punto di partenza di ogni adeguamento. Anche i fornitori nominati responsabili devono tenere un proprio registro delle attività svolte per i clienti.
Nominare i fornitori come responsabili
Vanno nominati tutti i soggetti esterni che trattano dati per tuo conto: consulente del lavoro e commercialista per i dati che elaborano su tuo incarico, software gestionali e cloud, assistenza informatica, hosting e agenzie web, call center, chi gestisce l’impianto di videosorveglianza. Il contratto deve indicare oggetto, durata, istruzioni, misure di sicurezza, obbligo di riservatezza, regole sui sub-fornitori, assistenza in caso di data breach e restituzione o cancellazione dei dati alla fine. I grandi fornitori cloud inseriscono queste clausole nelle condizioni di servizio: vanno lette e conservate.
Non sono responsabili i soggetti che trattano dati per finalità proprie, come banche, corrieri o un avvocato che ti difende in giudizio.
Dipendenti e collaboratori autorizzati
Chi tratta dati in azienda deve ricevere una autorizzazione scritta che indichi a quali dati può accedere e con quali istruzioni: password personali, niente copie su supporti propri, schermo bloccato, documenti riposti, cosa fare se qualcosa va storto. Vanno affiancati da una breve formazione, da ripetere quando cambiano mansioni o strumenti. Quando un collaboratore lascia l’azienda, gli accessi vanno chiusi subito. L’amministratore di sistema, interno o esterno, va designato individualmente, i suoi accessi vanno registrati e il suo operato verificato almeno una volta l’anno.
Il DPO: quando serve davvero
- Obbligatorio: per enti pubblici; per chi, come attività principale, monitora persone in modo regolare e sistematico su larga scala (per esempio app di localizzazione, programmi fedeltà con profilazione estesa); per chi tratta su larga scala dati sanitari, biometrici, giudiziari (ospedali, grandi laboratori, assicurazioni).
- Non obbligatorio: per il singolo medico, il piccolo studio professionale, il negozio, la piccola impresa.
- Quando c’è, va scelto per competenza, deve poter agire senza conflitti di interesse e i suoi dati di contatto vanno comunicati al Garante e pubblicati.
La valutazione d’impatto (DPIA)
Prima di avviare trattamenti che possono comportare un rischio elevato serve una valutazione d’impatto: per esempio videosorveglianza estesa, geolocalizzazione dei dipendenti, dati biometrici per le presenze, profilazione dei clienti, nuove tecnologie come sistemi di intelligenza artificiale che trattano dati personali. Il Garante ha pubblicato un elenco dei casi in cui è sempre richiesta. Vedi anche videosorveglianza.
La valutazione descrive il trattamento, ne verifica necessità e proporzionalità, individua i rischi per le persone e le misure per ridurli. Se il rischio resta elevato nonostante le misure, prima di iniziare va consultato il Garante. Non è un documento da fare una volta per tutte: va rivista quando cambiano strumenti o finalità.
Cosa fa il consulente su Intervento
Descrivi attività, numero di dipendenti, fornitori che usi e tipi di dati che tratti. L’orientamento gratuito ti dice quali documenti sembrano mancare. Con l’Esperto un consulente privacy verificato ti risponde per iscritto entro 4 ore: quali nomine servono, se ti serve il DPO e cosa deve contenere il tuo registro. Con il livello Soluzione prepara registro, nomine e autorizzazioni, su preventivo.
Questa guida descrive le regole generali in vigore al 20 ottobre 2026. Modelli scaricati e non adattati raramente descrivono i trattamenti reali: i documenti devono rispecchiare quello che fai davvero.
