Registro delle attività di trattamento (art. 30 GDPR): che cos’è e quali documenti legali deve mostrare il tuo sito

Se il tuo studio o la tua azienda tratta dati personali di clienti, dipendenti, fornitori o utenti di un sito web, il Regolamento (UE) 2016/679 (GDPR) richiede qualcosa in più di un’informativa: ti chiede di poter dimostrare che cosa fai con quei dati. Uno degli strumenti centrali è il registro delle attività di trattamento dell’articolo 30.

Che cos’è il registro delle attività di trattamento

È un documento, cartaceo o elettronico, che descrive in modo ordinato tutti i trattamenti di dati personali svolti da un’organizzazione. Non va depositato presso alcuna autorità: è un documento interno che deve essere disponibile e aggiornato quando un’autorità di controllo, come il Garante per la protezione dei dati personali in Italia o l’AEPD in Spagna, lo richiede.

Devono tenerlo i titolari del trattamento e, con un contenuto proprio, anche i responsabili del trattamento (art. 30, par. 2). In Spagna, la legge organica 3/2018 (LOPDGDD) completa il quadro.

E se ho meno di 250 dipendenti?

Il GDPR prevede una deroga per le organizzazioni con meno di 250 dipendenti, ma le sue condizioni la svuotano in gran parte di significato: non si applica se il trattamento può presentare un rischio per i diritti degli interessati, se non è occasionale o se include categorie particolari di dati o dati relativi a condanne penali e reati. Qualsiasi studio che gestisca abitualmente paghe, fascicoli dei clienti o una rubrica di contatti rientra nell’obbligo.

Che cosa deve contenere, secondo l’articolo 30, paragrafo 1

• Il nome e i dati di contatto del titolare (e, se del caso, del contitolare, del rappresentante e del responsabile della protezione dei dati).
• Le finalità del trattamento.
• Una descrizione delle categorie di interessati e di dati personali.
• Le categorie di destinatari, compresi quelli di paesi terzi o organizzazioni internazionali.
• I trasferimenti internazionali e le garanzie applicate, se del caso.
• Ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati.
• Una descrizione generale delle misure di sicurezza tecniche e organizzative (art. 32, par. 1).

Come predisporlo, passo per passo

1. Fai l’inventario dei trattamenti. Percorri ogni area (clienti, risorse umane, fatturazione, marketing, sito web) e annota quali dati si raccolgono e perché.
2. Individua la base giuridica di ciascuno (contratto, obbligo legale, legittimo interesse, consenso…). Non è un campo obbligatorio dell’art. 30, ma ti servirà per l’informativa sulla privacy.
3. Elenca i terzi: commercialisti, fornitori di hosting, strumenti di posta o di analisi. Con chi agisce come responsabile serve il contratto dell’articolo 28.
4. Definisci i tempi di conservazione coerenti con gli obblighi di legge applicabili alla tua attività.
5. Descrivi le misure di sicurezza in termini generali: controllo degli accessi, backup, cifratura, formazione del personale.
6. Assegna un responsabile dell’aggiornamento e prevedi una revisione periodica, oltre a una ogni volta che cambia un trattamento.

I documenti legali che il tuo sito deve mostrare

Il registro è interno, ma da esso discendono i testi pubblici del tuo sito. Come minimo, rivedi questi:

• Note legali: i dati identificativi del prestatore richiesti per i servizi della società dell’informazione (in Spagna la legge 34/2002, LSSI-CE; in Italia il d.lgs. 70/2003).
• Informativa sulla privacy: le informazioni degli articoli 13 e 14 del GDPR (identità, finalità, base giuridica, destinatari, trasferimenti, conservazione, diritti e diritto di reclamo all’autorità).
• Cookie policy: necessaria se usi cookie o tecnologie simili non esentati, con il consenso richiesto.
• Condizioni di vendita, se vendi prodotti o servizi online.

Errori frequenti

• Copiare il registro di un’altra azienda senza adattarlo ai tuoi trattamenti reali.
• Redigerlo una volta e non aggiornarlo mai: un registro che non riflette la realtà non dimostra nulla.
• Un’informativa che dice cose diverse dal registro.
• Dimenticare i trattamenti “invisibili”: videosorveglianza, canale di segnalazione, moduli di contatto o strumenti di analisi.

Mantenere tutto coerente

Il rischio maggiore non è non avere un registro, ma che ogni testo racconti una storia diversa. Centralizzare i documenti legali, versionarli e servirli da un unico punto — ciò che fa una piattaforma come LegalCloud — aiuta a far dire le stesse cose a sito, informativa e registro e conserva lo storico delle modifiche.

Puoi consultare il testo integrale del regolamento su EUR-Lex e le guide e i modelli dell’AEPD su aepd.es. Questo articolo ha scopo informativo e non sostituisce una consulenza legale sul tuo caso specifico.