In breve
- È previsto dall’articolo 30 del GDPR: va tenuto per iscritto, anche in formato elettronico, ed esibito al Garante se lo chiede.
- Non è l’informativa: l’informativa la dai alle persone, il registro resta a te e serve a dimostrare cosa fai.
- Una riga per ogni attività: personale, clienti, fornitori, telecamere, newsletter, sito.
- Deve avere la data di creazione e dell’ultimo aggiornamento, e va aggiornato quando cambia qualcosa.
- Se manca, la sanzione può arrivare fino a 10 milioni di euro o al 2% del fatturato: in pratica emerge quasi sempre durante un controllo per altro.
Come compilarlo, passo per passo
- Scarica il modello del Garante
È un file Excel con una riga di intestazione per titolare e DPO e otto colonne. Va benissimo anche un foglio di calcolo tuo, purché contenga le stesse informazioni.
- Elenca le attività, non i programmi
Pensa a cosa fai con i dati, non a dove li tieni: gestione del personale, gestione dei clienti, fatturazione, fornitori, videosorveglianza, newsletter, contatti dal sito. Ogni attività è una riga.
- Per ogni riga, rispondi a sette domande
Perché lo fai e su quale base? Di chi sono i dati? Quali dati? A chi li dai? Escono dall’Unione europea? Per quanto li tieni? Come li proteggi?
- Controlla i fornitori
Per ogni destinatario chiediti se tratta i dati per conto tuo, come il gestionale in cloud, e in quel caso serve il contratto da responsabile. Annota anche dove si trovano i suoi server.
- Data e firma
Scrivi la data di creazione e quella dell’ultimo aggiornamento. Conserva le versioni precedenti, salvandole con la data nel nome del file.
- Fissa un controllo periodico
Rileggilo almeno una volta l’anno e ogni volta che cambi gestionale, apri un sito, metti una telecamera o assumi qualcuno.
Cos’è e a cosa serve davvero
Il registro è la mappa dei dati della tua attività. L’articolo 30 del GDPR lo chiede a chi decide come trattare i dati (il titolare: l’azienda, lo studio, l’associazione) e anche ai fornitori che li trattano per suo conto (i responsabili).
Serve a tre cose concrete:
- capire cosa fai con i dati: compilandolo scopri spesso trattamenti dimenticati, come il gruppo WhatsApp con i clienti o il vecchio elenco di newsletter;
- dimostrare di essere in regola: è il primo documento che il Garante chiede in un controllo o dopo un reclamo;
- reagire in fretta: dopo un data breach devi dire subito quali dati e quante persone sono coinvolti, e il registro ti dà la risposta.
Non va confuso con l’informativa, che spiega alle persone come usi i loro dati e va consegnata o pubblicata. Né con il registro delle violazioni, dove annoti gli incidenti. Sono tre documenti diversi, ma devono dire le stesse cose: se l’informativa ai clienti parla di newsletter, nel registro deve esserci la riga sulla newsletter.
Chi è obbligato: i casi dubbi
Il GDPR esonera chi ha meno di 250 dipendenti, ma solo se i trattamenti sono occasionali, senza rischi e senza dati sanitari o giudiziari. Per questo il Garante considera obbligati, tra gli altri, negozi, artigiani e professionisti con almeno un dipendente o con dati sanitari, e le associazioni con dati particolari: il quadro generale è in GDPR per piccole aziende. Qui i casi su cui si hanno più dubbi:
| Situazione | Registro |
|---|---|
| Negozio senza dipendenti, con fatture e clienti abituali | La gestione dei clienti è continuativa, quindi secondo l’orientamento prevalente non è occasionale: tenerlo è la scelta prudente, e comunque il Garante lo raccomanda. |
| Parrucchiere, estetista, ottico, tatuatore senza dipendenti | Sì se annoti allergie, condizioni della pelle, problemi alla vista: sono dati sanitari. |
| Avvocato o medico che lavora da solo | Sì: tratta dati giudiziari o sanitari. |
| Condominio | Sì se tratta dati particolari, per esempio dati sanitari per l’abbattimento delle barriere architettoniche. Titolare è il condominio; in pratica lo predispone l’amministratore. |
| Associazione sportiva o di volontariato | Sì se raccoglie certificati medici o dati su salute e convinzioni dei soci. |
| Azienda con più di 250 dipendenti | Sempre, per tutti i trattamenti. |
Chi ha meno di 250 dipendenti può limitare il registro alle attività che fanno scattare l’obbligo. In pratica conviene inserirle tutte: fa poca differenza di lavoro e il documento diventa davvero utile.
Cosa scrivere, colonna per colonna
In testa vanno il nome e i contatti del titolare e, se c’è, del responsabile della protezione dei dati (DPO). Poi, per ogni attività:
| Colonna | Cosa scrivere |
|---|---|
| Finalità e base giuridica | Perché tratti i dati e su quale base: contratto, obbligo di legge, consenso, interesse legittimo. Il GDPR chiede la finalità; il Garante raccomanda di indicare anche la base. |
| Categorie di interessati | Di chi sono i dati: dipendenti, candidati, clienti, pazienti, iscritti, fornitori, visitatori. |
| Categorie di dati | Anagrafici, di contatto, bancari, immagini, e in particolare quelli sanitari o giudiziari, da evidenziare. |
| Destinatari | A chi li dai: consulente del lavoro, commercialista, gestionale, enti pubblici, banche, assicurazioni. Distingui chi è tuo responsabile da chi li riceve per scopi propri. |
| Trasferimenti fuori dall’UE | Se un fornitore tiene i dati fuori dall’Unione europea: Paese e garanzia usata, per esempio decisione di adeguatezza o clausole contrattuali standard. Se non ce ne sono, scrivi «nessuno». |
| Termini di cancellazione | Per quanto tempo tieni i dati, o il criterio: «10 anni dalla fattura», «24 ore», «fino alla revoca del consenso». |
| Misure di sicurezza | Una descrizione generale: accessi personali con password, verifica in due passaggi, backup, cifratura, armadi chiusi a chiave. Vedi sicurezza informatica. |
Puoi aggiungere colonne utili, come dove sono i dati (programma, cartella, archivio) o chi in azienda vi accede: il Garante lo ammette e rende il registro più pratico.
Un esempio compilato: la palestra di Marta
Marta gestisce una piccola palestra con due istruttori dipendenti, un collaboratore per la reception, circa 300 iscritti, una telecamera all’ingresso e una newsletter. Chiede ai nuovi iscritti il certificato medico. Ecco alcune righe del suo registro, in forma semplificata:
| Attività | Finalità e base | Interessati e dati | Destinatari | Conservazione |
|---|---|---|---|---|
| Personale | Gestire il rapporto di lavoro; contratto e obblighi di legge | Dipendenti e collaboratori: anagrafici, IBAN, presenze, certificati di malattia | Consulente del lavoro (responsabile), INPS, INAIL, Agenzia delle Entrate | Per i tempi previsti da norme fiscali e contributive, di regola fino a 10 anni dalla fine del rapporto |
| Iscritti | Gestire abbonamenti e accessi; contratto | Iscritti: anagrafici, contatti, foto per la tessera, certificato medico | Gestionale in cloud per abbonamenti (responsabile) | Durata dell’iscrizione più 12 mesi; certificato fino alla scadenza |
| Contabilità | Fatturare e tenere la contabilità; obbligo di legge | Iscritti e fornitori: anagrafici, codice fiscale, importi | Commercialista (responsabile), Agenzia delle Entrate | 10 anni |
| Videosorveglianza | Tutela del patrimonio; interesse legittimo | Iscritti, dipendenti, visitatori: immagini | Installatore che gestisce l’impianto (responsabile) | Cancellazione automatica dopo 48 ore |
| Newsletter | Promuovere corsi ed eventi; consenso | Iscritti che hanno aderito: nome ed email | Piattaforma di invio email (responsabile) | Fino alla revoca del consenso |
Nelle colonne su trasferimenti e misure Marta scrive, per la newsletter, che la piattaforma ha server negli Stati Uniti ed è certificata secondo il Data Privacy Framework UE-USA; per tutte le righe, password personali, verifica in due passaggi sul gestionale, backup giornaliero e certificati cartacei in un armadio chiuso. Per la telecamera, che riprende anche i dipendenti, servono anche l’accordo sindacale o l’autorizzazione dell’Ispettorato: vedi telecamere e dipendenti.
Il registro del responsabile: se sei tu il fornitore
Se tratti dati per conto dei clienti, come una software house, un’assistenza informatica, un consulente del lavoro per le buste paga o un’agenzia che gestisce newsletter, devi tenere anche un secondo registro, più snello. Contiene:
- il tuo nome e i contatti, e quelli di ogni cliente per cui lavori, oltre all’eventuale DPO;
- le categorie di trattamenti che fai per ciascun cliente;
- gli eventuali trasferimenti fuori dall’Unione europea, con le garanzie;
- la descrizione generale delle misure di sicurezza.
Il Garante ammette che con molti clienti il registro rimandi all’anagrafica clienti e ai contratti di nomina, invece di riscrivere tutto. Attenzione: per i tuoi dipendenti e la tua contabilità sei titolare, quindi ti serve anche il registro del titolare.
Gli errori più comuni
- Copiare un modello generico. Un registro preso da Internet che parla di «trattamenti sanitari» in un negozio di scarpe, o che non nomina la videosorveglianza che hai davvero, dimostra solo che non hai guardato la tua attività.
- Non aggiornarlo. Registro del 2018, gestionale cambiato nel 2023, newsletter aperta nel 2025: per il Garante va aggiornato ogni volta che cambia qualcosa, e la data dell’ultimo aggiornamento deve essere verificabile.
- Confonderlo con l’informativa o pensare che un’informativa ben fatta basti: sono obblighi distinti.
- Elencare i programmi invece delle attività. «Excel, Gmail, gestionale» non è un registro: le righe sono le finalità.
- Termini vaghi. «Per il tempo necessario» non dice nulla: scrivi un numero o un criterio preciso.
- Dimenticare i fornitori o non distinguere chi è responsabile: nel registro deve risultare a chi passano i dati, e per i responsabili deve esserci il contratto. Vedi nomine e registri.
Controlli, sanzioni e cosa sta cambiando
Il Garante può chiedere il registro in qualsiasi momento, e lo fa di solito durante un’ispezione, spesso svolta con il Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza, o quando esamina un reclamo o un data breach. Va esibito subito: un registro preparato in fretta dopo la richiesta si riconosce dalle date.
La mancata tenuta, o un registro incompleto, rientra nelle violazioni punite con sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale. Per le piccole realtà le cifre reali sono molto più basse e il Garante valuta gravità, collaborazione e misure prese; ma un registro mancante pesa in negativo su tutto il resto dell’istruttoria.
A livello europeo è in discussione la proposta Omnibus IV, che alzerebbe la soglia di esenzione. Finché non è approvata e pubblicata vale la regola attuale; lo stato della proposta è spiegato in GDPR per piccole aziende.
Cosa fa il consulente privacy su Intervento
Descrivi la tua attività, quante persone lavorano con te, che programmi e fornitori usi, e allega il registro se ne hai già uno. L’orientamento gratuito ti dice se sei obbligato e quali righe sembrano mancare. Con l’Analisi ottieni una lettura automatica del documento che carichi. Con l’Esperto un consulente privacy verificato ti risponde per iscritto: cosa correggere, quali termini di conservazione usare, quali fornitori nominare. Con il livello Soluzione, su preventivo, prepara il registro completo insieme a nomine e informative.
Norme e fonti
Regole controllate il 9 novembre 2026 sui testi ufficiali.
- Regolamento (UE) 2016/679 (GDPR), articoli 30 e 83
- Garante per la protezione dei dati personali, Registro delle attività di trattamento: FAQ e chi è obbligato
- Garante per la protezione dei dati personali, Modello di «registro semplificato» delle attività di trattamento del titolare per PMI (file Excel)
Questo articolo fa parte della guida
Registro dei trattamenti e nomine privacy: responsabili, autorizzati, DPORegistro dei trattamenti, nomina dei responsabili esterni, autorizzati, DPO e amministratori di sistema: chi è obbligato e come prepararli nel 2026.Le regole descritte valgono al 9 novembre 2026. Le righe di esempio e i tempi di conservazione sono indicativi: vanno adattati alla tua attività e alle norme del tuo settore. La proposta UE di semplificazione del registro non è ancora in vigore.
