Registro dei trattamenti: un esempio compilato, riga per riga

Il registro delle attività di trattamento è il documento previsto dall'art. 30 del Regolamento (UE) 2016/679. Per il titolare ogni scheda deve contenere sette informazioni (par. 1, lettere da a a g): chi è il titolare e come contattarlo, insieme a contitolare, rappresentante e DPO se ci sono; le finalità; le categorie di interessati e di dati; le categorie di destinatari; gli eventuali trasferimenti verso paesi terzi; ove possibile, i termini di cancellazione; ove possibile, una descrizione generale delle misure di sicurezza dell'art. 32. Il responsabile del trattamento tiene un registro distinto, con quattro informazioni (par. 2). Il registro ha forma scritta, anche elettronica (par. 3), e va messo a disposizione del Garante su richiesta (par. 4).

Sotto trovate un esempio compilato per un'impresa immaginaria, scheda per scheda, e il registro del suo consulente del lavoro come responsabile. I campi seguono la legge e le FAQ del Garante sul registro, pubblicate con il comunicato dell'8 ottobre 2018, che indicano anche come compilarli. Le stesse FAQ mettono a disposizione due modelli di «registro semplificato» per le PMI, uno per il titolare e uno per il responsabile.

Chi è obbligato a tenerlo

La regola è che tutti i titolari e i responsabili tengono il registro. L'art. 30, par. 5, esonera le imprese e le organizzazioni con meno di 250 dipendenti, ma l'esonero cade se ricorre anche una sola di tre condizioni.

Il documento di posizione del Gruppo di lavoro Articolo 29 del 19 aprile 2018 chiarisce due punti. Le tre condizioni sono alternative: ne basta una. E un trattamento è «occasionale» solo se non è svolto regolarmente e cade fuori dall'attività ordinaria dell'impresa. La gestione delle buste paga di anche un solo dipendente non è occasionale.

Per questo il Garante, nelle FAQ, indica fra gli obbligati gli esercizi commerciali e gli artigiani con almeno un dipendente, i liberi professionisti con almeno un dipendente o che trattano dati sanitari o giudiziari (cita commercialisti, notai, avvocati, medici), le associazioni che trattano categorie particolari di dati, il condominio quando ne tratta. Chi resta sotto soglia può limitare il registro ai soli trattamenti che fanno scattare l'obbligo. Fuori dai casi obbligatori, il Garante ne raccomanda comunque la redazione a tutti, richiamando il considerando 82.

Come si compila una scheda del titolare, campo per campo

L'esempio riguarda una società di servizi con 40 dipendenti, un sito con newsletter e un consulente del lavoro esterno. I dati sono inventati; la struttura è quella dell'art. 30, par. 1. Una buona pratica è una scheda per ciascuna attività di trattamento, non una per ufficio: la «gestione del personale» scritta su una sola riga mescola finalità, basi giuridiche e tempi di conservazione diversi, e in un'ispezione non regge.

Scheda 1: elaborazione delle retribuzioni

Campo (art. 30 par. 1)	Esempio compilato
a) Titolare e contatti	Alfa Servizi S.r.l., sede, PEC, e-mail privacy; DPO: nome e contatto, se designato
b) Finalità	Calcolo e pagamento delle retribuzioni, adempimenti contributivi e fiscali. Base giuridica: art. 6 par. 1 lett. b e c; per i certificati di malattia art. 9 par. 2 lett. b
c) Interessati e dati	Dipendenti; dati anagrafici, IBAN, dati retributivi, assenze, dati relativi alla salute limitati alla malattia
d) Destinatari	Enti previdenziali e assicurativi, amministrazione finanziaria, banca; consulente del lavoro come responsabile ex art. 28
e) Trasferimenti extra UE	Nessuno
f) Termini di cancellazione	Documenti contabili: 10 anni dall'ultima registrazione (art. 2220 c.c.); per il resto, il termine fissato dal titolare con il suo criterio
g) Misure di sicurezza	Accessi nominativi e profilati, cifratura dei backup, registro degli accessi; rinvio alla procedura interna di sicurezza

Tre osservazioni sui campi, tutte dalle FAQ del Garante.

• Finalità (lett. b). La base giuridica non è un campo obbligatorio dell'art. 30, ma il Garante ritiene opportuno indicarla. Per le categorie particolari va indicata la condizione dell'art. 9, par. 2; per i dati giudiziari, la norma che ne autorizza il trattamento ai sensi dell'art. 10.
• Destinatari (lett. d). I destinatari titolari autonomi si possono indicare per categoria («enti previdenziali»). Il Garante suggerisce di indicare anche i responsabili e i sub-responsabili, come il consulente esterno delle paghe.
• Termini di cancellazione (lett. f). Vanno fissati per tipologia e finalità. Il Garante usa proprio l'esempio dei 10 anni dell'art. 2220 del codice civile. Quando un termine non si può fissare in anticipo si indica il criterio, per esempio «fino alla conclusione del contenzioso».

Scheda 2: selezione del personale

Campo	Esempio compilato
b) Finalità	Valutazione delle candidature. Base giuridica: art. 6 par. 1 lett. b (misure precontrattuali)
c) Interessati e dati	Candidati; dati anagrafici e di contatto, percorso di studi e professionale
d) Destinatari	Società di selezione incaricata, come responsabile; nessuna comunicazione a terzi
e) Trasferimenti extra UE	Piattaforma di selezione con server negli Stati Uniti: decisione di adeguatezza UE-USA (Data Privacy Framework), verificando che il fornitore sia certificato
f) Termini di cancellazione	Termine fissato dal titolare dopo la chiusura della selezione, indicato nell'informativa ai candidati
g) Misure di sicurezza	Accesso ai CV limitato all'ufficio personale; cancellazione automatica alla scadenza

Il campo e) è quello che più spesso resta vuoto per errore. Ogni servizio in cloud va controllato: dove sono i server, chi è il fornitore, quale garanzia del Capo V copre il trasferimento (decisione di adeguatezza, clausole contrattuali tipo, norme vincolanti d'impresa). L'art. 30, par. 1, lett. e, chiede di identificare il paese terzo e, per i trasferimenti dell'art. 49, secondo comma, di documentare le garanzie adeguate.

Scheda 3: newsletter ai clienti

Campo	Esempio compilato
b) Finalità	Invio di comunicazioni su servizi analoghi a quelli già acquistati. Base: art. 130 c. 4 D.Lgs 196/2003, con diritto di opposizione in ogni momento
c) Interessati e dati	Clienti; nome, indirizzo e-mail, storico dei servizi acquistati
d) Destinatari	Fornitore della piattaforma di invio, come responsabile
f) Termini di cancellazione	Fino all'opposizione dell'interessato o alla cessazione del rapporto, secondo il criterio fissato dal titolare

Il campo a) si scrive una volta in testa al registro e vale per tutte le schede. Il Garante chiede invece che ogni scheda riporti, in modo verificabile, la data di prima istituzione e quella dell'ultimo aggiornamento («scheda creata in data…», «ultimo aggiornamento in data…»). Il registro può contenere anche altre informazioni utili, come le modalità di raccolta del consenso o le valutazioni d'impatto effettuate. Per capire quando una scheda richiede una DPIA, vedete la guida su quando la DPIA è obbligatoria.

Nel catalogo Legisboard questa è un'attività continua del titolare, perché il registro non ha una scadenza: va aggiornato ogni volta che cambia un trattamento.

Che cosa cambia nel registro del responsabile (art. 30.2)

Il consulente del lavoro di Alfa Servizi tratta i dati dei dipendenti per conto di Alfa, e di molti altri clienti. Il suo registro come responsabile ha quattro campi.

Campo (art. 30 par. 2)	Esempio compilato
a) Responsabile, titolari, DPO	Studio del consulente, contatti, DPO se designato; per ciascun cliente titolare: denominazione e contatti
b) Categorie di trattamenti	Elaborazione dei cedolini, invio delle denunce contributive e fiscali per conto del titolare
c) Trasferimenti extra UE	Nessuno; il software paghe è ospitato nell'Unione
d) Misure di sicurezza	Autenticazione a due fattori, cifratura delle comunicazioni, backup giornaliero

Le FAQ del Garante danno tre indicazioni pratiche per il responsabile. Chi lavora per più titolari divide il registro in tante sezioni quanti sono i titolari; se sono troppi, può rinviare a schede o banche dati dei clienti, purché contengano tutte le informazioni dell'art. 30, par. 2. Per la descrizione dei trattamenti (lett. b) può rinviare al contratto di nomina dell'art. 28, che deve già indicare natura, finalità, tipo di dati, categorie di interessati e durata. Lo stesso vale per il sub-responsabile rispetto al contratto con il responsabile.

Se il consulente ha anche propri dipendenti, tiene in più un registro come titolare per i trattamenti propri. Sono due registri distinti, non due sezioni dello stesso.

Chi lo controlla, e che cosa si rischia

Il registro è del titolare e del responsabile: la responsabilità della tenuta non si trasferisce. Il DPO, se designato, ha il compito di sorvegliare l'osservanza del Regolamento (art. 39, par. 1, lett. b), e le linee guida sul DPO (WP 243 rev. 01) precisano che nulla impedisce al titolare di affidargli materialmente la tenuta del registro, che resta comunque un obbligo del titolare.

La verifica del DPO, in pratica, confronta il registro con tre documenti: le informative (finalità e tempi devono coincidere), i contratti con i responsabili (ogni fornitore in d) deve avere la sua nomina) e l'inventario dei sistemi (ogni servizio in cloud deve comparire in e) se tratta dati fuori dall'Unione).

La violazione dell'art. 30 rientra nell'art. 83, par. 4, lett. a: sanzione fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo dell'esercizio precedente, se superiore. È il massimo edittale; l'importo concreto dipende dagli elementi del par. 2. Il rischio più frequente, però, è indiretto: il registro è il primo documento chiesto in un'ispezione, e un registro incompleto rende difficile dimostrare il resto (art. 5, par. 2).

Cosa fare in pratica

1. Verificate se siete obbligati con le tre condizioni dell'art. 30, par. 5. Con anche un solo dipendente, la risposta è quasi sempre sì.
2. Fate l'inventario per attività, non per ufficio: una scheda per ogni trattamento con una finalità e una base giuridica proprie.
3. Compilate i sette campi e aggiungete la base giuridica, come suggerisce il Garante. Partite dai modelli semplificati delle FAQ se siete una PMI.
4. Controllate i fornitori in cloud per il campo dei trasferimenti, e collegate ogni responsabile al suo contratto ex art. 28.
5. Datate ogni scheda (creazione e ultimo aggiornamento) e aggiornatela a ogni cambiamento del trattamento.
6. Seguite l'Omnibus IV: quando il testo sarà pubblicato in Gazzetta ufficiale, la soglia dell'esonero cambierà. Il registro resterà comunque lo strumento più semplice per dimostrare l'accountability.

Le cadenze degli altri adempimenti di titolare, responsabile e DPO sono raccolte nella pagina sugli adempimenti GDPR. Sulla qualificazione di un trattamento specifico, sulla base giuridica o sui trasferimenti verso un fornitore extra UE, serve il parere di un professionista che conosca il caso.