Un registro compilato in fretta, con voci generiche come “gestione clienti”, è uno dei problemi più frequenti quando un’azienda deve dimostrare come tratta i dati personali. Questa guida registro trattamenti chiarisce cosa inserire, chi deve occuparsene e come trasformare un adempimento GDPR in uno strumento utile per organizzare sicurezza, fornitori e attività quotidiane.
Per uno studio professionale, un negozio, una PMI o un ufficio con dipendenti, il registro non deve essere un file dimenticato in una cartella. Deve descrivere ciò che avviene realmente: dati raccolti da clienti e collaboratori, software utilizzati, backup, posta elettronica, videosorveglianza, accessi remoti e soggetti esterni che ricevono informazioni personali.
Cos’è il registro dei trattamenti
Il registro delle attività di trattamento è il documento previsto dall’articolo 30 del GDPR che raccoglie in modo strutturato le informazioni sui trattamenti di dati personali svolti dal titolare o dal responsabile del trattamento.
In termini pratici, risponde a domande molto concrete: quali dati vengono trattati, per quale motivo, dove sono conservati, chi può accedervi, per quanto tempo restano disponibili e quali misure proteggono tali informazioni.
Non è un’informativa privacy e non è nemmeno un insieme di clausole standard. L’informativa comunica agli interessati come vengono usati i loro dati. Il registro, invece, serve all’organizzazione per mappare internamente le attività e dimostrare responsabilità in caso di verifica.
Un’azienda che gestisce contabilità, preventivi, assistenza tecnica, personale e videosorveglianza non ha un solo trattamento. Ha attività differenti, con finalità, soggetti autorizzati, tempi di conservazione e rischi diversi. Il registro aiuta a renderle leggibili e gestibili.
Chi deve predisporlo
Il registro è obbligatorio per organizzazioni con almeno 250 dipendenti. Tuttavia, fermarsi a questa soglia sarebbe un errore. Anche realtà più piccole devono tenerlo quando il trattamento può presentare rischi per i diritti e le libertà delle persone, non è occasionale oppure riguarda categorie particolari di dati o dati relativi a condanne penali e reati.
Nella pratica, molte PMI e studi professionali trattano dati in modo continuativo: anagrafiche clienti, fatture, dati dei dipendenti, candidature, e-mail, ticket di assistenza, credenziali e documenti archiviati in cloud o su NAS. Per questo motivo, predisporre il registro è quasi sempre una scelta prudente e coerente con il principio di responsabilizzazione previsto dal GDPR.
Il titolare del trattamento è responsabile della correttezza del documento. Può però affidarne la predisposizione operativa a un consulente privacy o a un partner IT, soprattutto quando è necessario verificare sistemi, backup, accessi, apparati di rete e fornitori tecnologici.
Come compilare il registro trattamenti
La compilazione efficace parte dalle attività reali, non da un modello precompilato. Copiare un fac-simile senza adattarlo può creare una falsa sensazione di conformità e lasciare fuori proprio i processi più critici.
Partire dalla mappa dei processi
Prima di scrivere, è utile individuare dove i dati entrano, vengono usati e vengono conservati. In un ufficio tipico possono essere presenti gestione clienti e fornitori, amministrazione e contabilità, personale, marketing, assistenza post-vendita, gestione del sito web, controllo accessi e videosorveglianza.
Ogni processo non deve necessariamente diventare una scheda separata. Trattamenti omogenei possono essere accorpati se hanno la stessa finalità, le stesse categorie di interessati, gli stessi dati trattati e modalità di gestione comparabili. Al contrario, è meglio distinguere attività con rischi o regole molto diverse, come la gestione delle buste paga e l’invio di newsletter.
Inserire le informazioni richieste dal GDPR
Per ciascun trattamento del titolare, il registro deve contenere almeno l’identità e i contatti del titolare, dell’eventuale contitolare, del rappresentante e del DPO se nominato. Devono poi essere indicate le finalità del trattamento, le categorie di interessati e di dati personali, i destinatari dei dati, eventuali trasferimenti verso Paesi extra UE, i tempi di cancellazione e una descrizione generale delle misure di sicurezza.
La descrizione deve essere precisa senza trasformarsi in un manuale tecnico. Scrivere “dati clienti” è troppo generico. È più utile indicare dati identificativi, recapiti, dati fiscali, informazioni sui contratti, richieste di assistenza e, se presenti, dati di accesso ai sistemi.
Anche le finalità devono essere concrete. “Gestione dell’azienda” non chiarisce nulla. Meglio distinguere, ad esempio, l’esecuzione del contratto, la fatturazione, l’assistenza tecnica, la gestione dei rapporti di lavoro, l’adempimento di obblighi fiscali e l’invio di comunicazioni commerciali quando esiste una base giuridica adeguata.
Definire tempi di conservazione realistici
La conservazione è una delle sezioni più sottovalutate. Indicare “fino a revoca del consenso” può avere senso per alcune attività di marketing, ma non per documenti fiscali, rapporti contrattuali o dati del personale, che seguono obblighi e tempi differenti.
Se non è possibile indicare un numero di anni identico per tutte le casistiche, va definito almeno un criterio chiaro: durata del rapporto, termini di prescrizione applicabili, obblighi normativi e necessità di difesa in caso di contestazioni. Il punto decisivo è che il criterio sia documentato e applicato anche sui sistemi informatici, non soltanto scritto nel registro.
Le misure di sicurezza da collegare al registro
Un registro trattamenti ben costruito fa emergere subito le priorità tecniche. Se i dati vengono gestiti su PC condivisi, account personali, cartelle senza permessi, backup non verificati o router non aggiornati, la criticità non è solo documentale.
Le misure da descrivere possono includere gestione degli account individuali, password adeguate e autenticazione a più fattori, livelli di autorizzazione, cifratura dei dispositivi portatili, backup separati e testati, aggiornamenti di sistemi e software, antivirus o protezione endpoint, firewall e segmentazione della rete. Devono essere proporzionate al rischio: un piccolo ufficio non necessita della stessa architettura di una grande azienda, ma non può affidarsi a misure improvvisate.
Particolare attenzione serve per NAS, servizi cloud, posta elettronica e accesso remoto. Un NAS QNAP usato per archiviare documenti, ad esempio, deve avere utenti nominativi, permessi coerenti, backup esterni, firmware aggiornato e accessi da remoto configurati in modo controllato. Lo stesso vale per firewall, Wi-Fi aziendale e VPN: il registro deve riflettere ciò che è davvero attivo nell’infrastruttura.
Fornitori IT, cloud e responsabili del trattamento
Molte imprese affidano parti del trattamento a soggetti esterni: commercialista, consulente del lavoro, provider di posta, software gestionale, piattaforme cloud, società di videosorveglianza, assistenza informatica o hosting del sito.
Non tutti i fornitori sono automaticamente responsabili del trattamento. La qualifica dipende dal ruolo effettivo e dalle istruzioni ricevute. Un fornitore che tratta dati personali per conto dell’azienda, secondo le sue istruzioni, deve normalmente essere nominato responsabile mediante un accordo conforme all’articolo 28 del GDPR.
Nel registro vanno riportate le categorie di destinatari e, quando applicabile, i trasferimenti internazionali. Questo passaggio è essenziale per i servizi cloud: anche se l’interfaccia è in italiano e il pagamento avviene in euro, occorre verificare dove i dati sono ospitati, quale soggetto eroga il servizio e quali garanzie regolano eventuali trasferimenti fuori dallo Spazio economico europeo.
Errori che rendono il registro poco utile
Il primo errore è compilare il documento una volta e non aggiornarlo più. Ogni cambiamento rilevante può richiedere una revisione: introduzione di un nuovo gestionale, migrazione in cloud, attivazione di telecamere, apertura di una sede, nuovo servizio di e-commerce, smart working o nuovo fornitore IT.
Il secondo è confondere il registro con la conformità completa. Il documento è centrale, ma deve essere coerente con informative, nomine, istruzioni agli autorizzati, procedure di gestione degli incidenti, backup e configurazioni tecniche.
Il terzo è descrivere misure di sicurezza che non esistono. In caso di incidente o controllo, una voce come “backup giornaliero” deve poter essere dimostrata con una configurazione funzionante, registri di verifica e procedure di ripristino. Dichiarare più di quanto si applica espone a un rischio inutile.
Come mantenerlo aggiornato nel tempo
La soluzione più pratica è assegnare una responsabilità interna, anche se il supporto viene affidato all’esterno. Chi coordina amministrazione, personale o sistemi informatici deve sapere quando segnalare una variazione al titolare o al consulente incaricato.
È utile prevedere una verifica almeno annuale e una revisione straordinaria dopo modifiche tecniche o organizzative significative. Durante il controllo, conviene confrontare il registro con l’elenco dei software in uso, gli account cloud, i contratti con fornitori, le cartelle condivise, le procedure di backup e l’inventario di PC, Mac, smartphone e dispositivi di rete.
Per molte realtà di Roma e provincia, il punto critico non è la mancanza di volontà ma la stratificazione: vecchi computer, e-mail personali usate per lavoro, archivi duplicati, accessi lasciati a ex collaboratori e backup gestiti senza una verifica periodica. In questi casi serve prima un controllo operativo dell’infrastruttura e poi un registro che rappresenti la situazione corretta.
MacWin 2005 può affiancare aziende e studi professionali nella verifica dei sistemi IT collegati agli adempimenti GDPR, dalla sicurezza degli accessi alla gestione di backup, NAS, rete e lavoro da remoto. Un registro trattamenti utile nasce infatti da un’organizzazione che conosce i propri dati e sa proteggerli ogni giorno.
