Come si compila il registro dei trattamenti dell'articolo 30 scheda per scheda senza copiare modelli?

Il registro dell'articolo 30 si compila mappando le attività reali dello studio: clienti, amministrazione, personale, selezione, sicurezza, sistemi informatici e fornitori. Un modello aiuta a non dimenticare campi, ma non decide quali dati lo studio raccoglie, perché li usa e quanto li conserva.

Ogni scheda deve essere leggibile da chi svolge il processo e da chi verifica la conformità. Se descrive pratiche irriconoscibili o mescola attività diverse, il registro diventa formale e fragile. TrattamentiInRegola costruisce registro, nomine e informative passo passo, con documenti pronti da mostrare al Garante.

Che cosa chiede l'articolo 30 e in quale forma

L'articolo 30 GDPR richiede al titolare, o al suo rappresentante quando applicabile, un registro delle attività svolte sotto la propria responsabilità. Deve essere scritto, anche in formato elettronico, disponibile e aggiornato su richiesta dell'autorità di controllo. Non è un allegato da inviare periodicamente al Garante.

Per il titolare, il paragrafo 1 richiede almeno dati identificativi e contatti di titolare, eventuali contitolari, rappresentante e RPD designato; finalità; categorie di interessati, dati e destinatari; eventuali trasferimenti verso paesi terzi o organizzazioni internazionali; termini di cancellazione, quando possibile; descrizione generale delle misure di sicurezza, quando possibile.

Il paragrafo 2 riguarda il responsabile del trattamento, che tratta dati per conto di uno o più titolari. Il suo registro elenca anche le categorie di trattamenti svolti per ciascun titolare, oltre a trasferimenti e misure di sicurezza. Un consulente può essere titolare per la propria attività e responsabile per servizi eseguiti sulle banche dati del cliente.

L'esenzione per talune organizzazioni con meno di 250 persone non è automatica. Occorre valutare non occasionalità del trattamento, rischi per diritti e libertà e presenza di categorie particolari di dati o dati relativi a condanne penali e reati. Per studi e PMI, il registro resta normalmente la scelta più prudente e dimostrabile.

Partire dalle attività dello studio, non dai modelli scaricati

Prima del foglio di calcolo o dell'applicativo, serve un inventario dei flussi. Si parte dalle attività, non dai software: il gestionale non è una finalità, mentre gestione incarichi, fatturazione e amministrazione del personale sono trattamenti riconoscibili. Un'attività può usare strumenti cartacei e digitali senza generare schede identiche.

La ricognizione coinvolge titolare, segreteria, amministrazione, IT e responsabili di area. Occorre chiedere da chi arrivano i dati, dove sono inseriti, chi li consulta o riceve, quali archivi restano dopo la chiusura della pratica e chi può ripristinarli.

• Gestione di clienti, mandati, pratiche, contatti e comunicazioni professionali.
• Fatturazione, contabilità, adempimenti fiscali, pagamenti e recupero crediti.
• Gestione di dipendenti, collaboratori, presenze, candidature e formazione.
• Gestione di fornitori, assistenza tecnica, servizi cloud, backup e ticket.
• Sicurezza fisica e digitale, inclusi videosorveglianza, log e controlli di accesso.

I trattamenti più dimenticati sono quelli laterali alla prestazione principale: candidature via email, telecamere, backup, log, recupero crediti e assistenza remota. Non vanno creati come schede autonome solo per riempire il registro, ma devono comparire se costituiscono flussi organizzati con dati personali e finalità proprie.

Lo strumento si sceglie dopo la mappatura. Per ruoli, versioni, accessi e collegamenti tra documenti è utile Conviene tenere il registro dei trattamenti su foglio di calcolo o su un software dedicato?. Conta la capacità di mantenere informazioni attendibili, leggibili e disponibili.

Finalità e base giuridica: la coppia che regge ogni scheda

La finalità indica il perché concreto del trattamento; la base giuridica la condizione dell'articolo 6 GDPR che lo rende lecito. Scrivere solo “adempimenti GDPR” o “gestione dati” non chiarisce processo, ragione giuridica e dati necessari.

Per prestazioni al cliente, la base può essere l'esecuzione di un contratto o di misure precontrattuali richieste dall'interessato, se il trattamento è necessario al rapporto. Per fatturazione, obblighi contabili e comunicazioni previste dalla disciplina fiscale o del lavoro, è normalmente l'adempimento di un obbligo legale. Il legittimo interesse può valere per sicurezza, prevenzione di abusi, tutela di un credito o contatti professionali, dopo verifica di necessità, bilanciamento e garanzie.

Il consenso non è una formula residuale: se l'attività è necessaria per contratto o legge, chiederlo può essere fuorviante. Per categorie particolari di dati, oltre alla base dell'articolo 6, occorre individuare una condizione dell'articolo 9 GDPR. La scheda deve mostrarlo senza diventare un parere legale generico.

Un controllo rapido prima di confermare la scheda

1. Scrivere la finalità con un verbo concreto: erogare, fatturare, selezionare, proteggere, recuperare.
2. Chiedersi se il processo può svolgersi senza quel dato e quella operazione.
3. Associare la base giuridica del caso, senza copiare quella di trattamenti vicini.
4. Verificare che informativa, contratti, nomine e istruzioni agli autorizzati descrivano la stessa realtà.

Il registro è interno, l'informativa comunica all'interessato: la coerenza è essenziale. Per gli errori più frequenti nell'informativa, può essere utile Perché le informative dell'articolo 13 sbagliano sempre sugli stessi sette punti e come si correggono?.

Categorie di interessati e di dati: come si descrivono senza inventare

Le categorie di interessati vanno indicate in base alla relazione con lo studio: clienti, referenti, potenziali clienti, dipendenti, collaboratori, candidati, fornitori, utenti del sito o visitatori. Etichette artificiose non servono, ma “persone fisiche” è troppo generico.

Per i dati, vanno riportati quelli che transitano realmente: identificativi e di contatto, amministrativi e fiscali, relativi a incarichi e comunicazioni, coordinate di pagamento, credenziali e dati tecnici di accesso. Dati sanitari, appartenenza sindacale e altre categorie particolari vanno indicati solo se trattati. Lo stesso vale per dati relativi a condanne penali e reati, soggetti all'articolo 10.

È utile distinguere personale e candidature, anche se alcune informazioni coincidono: finalità, base giuridica, destinatari e conservazione possono differire. Il registro non migliora aggiungendo ogni campo del database, ma descrivendo categorie sufficienti a comprenderne portata, rischio e regole.

Tempi di conservazione: indicare un criterio, non una speranza

“Fino a quando necessario” non è verificabile se resta isolato. L'articolo 30 richiede, ove possibile, i termini di cancellazione delle categorie di dati e l'articolo 5 impone la limitazione della conservazione. La scheda deve quindi collegare l'archivio a una regola concreta, a un evento di chiusura o a un obbligo normativo.

Il criterio può essere durata del rapporto e prescrizione per la tutela dei diritti, tenuta delle scritture contabili prevista dalla legge, chiusura della selezione, cessazione dell'incarico o termine tecnico ragionevole per log e backup. Il termine va verificato rispetto alla disciplina applicabile e agli obblighi settoriali: non esiste una durata universale.

Vanno distinti dati attivi, archivi storici, backup e log. Cancellare dal gestionale non implica l'eliminazione immediata dalla copia di backup, ma ciclo di sovrascrittura e ripristino devono essere governati. La scheda può indicare il criterio e rinviare alla procedura di conservazione, se reale e consultabile.

Destinatari, responsabili esterni e trasferimenti nella scheda

I destinatari ricevono comunicazioni di dati personali. Possono essere banche, assicurazioni, enti pubblici, amministrazione finanziaria, consulenti, clienti, fornitori tecnici o incaricati del recupero crediti, se pertinenti. Un destinatario non coincide automaticamente con un responsabile: un ente pubblico che riceve dati per obbligo di legge opera normalmente nel proprio ruolo.

Hosting, assistenza IT, gestionale, archiviazione documentale e payroll possono essere responsabili ai sensi dell'articolo 28 GDPR e richiedere un atto idoneo. Le persone interne sotto l'autorità del titolare ricevono autorizzazioni e istruzioni, non sono responsabili esterni. Per distinguere i ruoli è utile Che differenza c'è tra titolare, responsabile e autorizzato al trattamento dentro uno studio professionale?.

Se i dati sono trasferiti fuori dallo Spazio economico europeo, anche tramite cloud, assistenza remota o subfornitori, la scheda deve indicare paese o organizzazione internazionale e garanzie adottate, quando richieste. Non basta la sede italiana del fornitore: va verificato dove avviene il trattamento e chi accede ai dati.

• Indicare destinatari effettivi e coerenti con la finalità, non un elenco indistinto di partner.
• Allineare registro, contratto con il responsabile ed elenco dei subresponsabili comunicati.
• Verificare trasferimenti, basi di trasferimento e documentazione prevista dal capo V del GDPR.

Quando aggiornare il registro e come tenerne traccia

Il registro non si aggiorna solo dopo un'ispezione o a fine anno. Va rivisto quando nasce un'attività, cambia una finalità, arriva un nuovo gestionale o fornitore, si attiva una telecamera, cambiano autorizzati, destinatari o conservazione, oppure emerge un trasferimento internazionale non considerato.

È buona pratica associare ogni modifica a data, responsabile interno e breve motivazione. Lo storico delle versioni dimostra la manutenzione del documento e facilita l'allineamento con informative, valutazioni dei fornitori, nomine, backup e istruzioni operative. La revisione serve anche a chiudere schede obsolete e intercettare trattamenti informali.

Chi coordina il lavoro deve spiegare ogni riga: dove sono i file, chi li consulta, come avviene la comunicazione, quando scatta la cancellazione e quale documento disciplina il fornitore. L'attenzione editoriale di Jimenez Julien è utile per trasformare gli obblighi privacy in strumenti leggibili da titolari, collaboratori e consulenti.

Conclusione

Compilare il registro dell'articolo 30 senza copiare modelli significa descrivere le attività effettive dello studio, scegliere finalità e basi giuridiche coerenti, delimitare interessati e dati, fissare criteri verificabili di conservazione e chiarire destinatari, responsabili e trasferimenti. Un registro scritto, aggiornato e disponibile su richiesta prova il governo del trattamento, non è una formalità. Per costruire o rivedere schede aderenti alla vostra operatività, scrivete dal modulo di contatto.