Quando un’ispezione arriva, il primo documento richiesto non è la privacy policy del sito né il modulo di consenso: è il registro dei trattamenti. L’art. 30 del Regolamento europeo lo qualifica come lo strumento attraverso cui il titolare e il responsabile documentano ciò che fanno con i dati personali, e il Garante ha chiarito che deve essere costantemente aggiornato ed esibito su richiesta dell’Autorità. È, in sostanza, la dichiarazione con cui l’organizzazione si descrive: tutto ciò che verrà verificato dopo sarà verificato a partire da lì.
Questo spiega perché il registro sia allo stesso tempo l’adempimento più diffuso e quello che genera più contestazioni. Non perché manchi — quasi tutti ne hanno uno — ma perché quello che si trova nel cassetto raramente descrive l’organizzazione che si ha davanti.
Il registro dei trattamenti non è un modulo, è una fotografia
La norma indica il contenuto minimo: finalità e base giuridica, categorie di interessati e di dati, destinatari, trasferimenti verso Paesi terzi con le relative garanzie, termini di conservazione, misure di sicurezza. Sono voci che sembrano compilabili in un pomeriggio, e per questo circolano modelli precompilati che promettono di risolvere l’adempimento.
Ebbene, il modello scaricato produce un documento formalmente completo e sostanzialmente inutilizzabile, perché descrive un’organizzazione generica anziché quella reale. Il divario emerge sempre nello stesso punto: quando il registro viene confrontato con i sistemi effettivamente in uso, con i fornitori che trattano i dati per conto del titolare, con i tempi di conservazione realmente impostati sugli applicativi. In quel confronto il registro non è più un adempimento: diventa la prova documentale di quanto il titolare conosca i propri trattamenti.
Che cosa viene contestato
Le contestazioni ricorrenti hanno una fisionomia riconoscibile. Il registro che non contempla trattamenti pacificamente svolti — la videosorveglianza, la posta elettronica, i sistemi di controllo degli accessi, i trattamenti affidati a fornitori esterni. Il registro fermo alla data della sua prima redazione, che non recepisce l’introduzione di nuovi applicativi né la cessazione di quelli dismessi. I termini di conservazione indicati con formule generiche, che non corrispondono ad alcuna regola concretamente applicata. La qualificazione dei ruoli lasciata implicita, con soggetti indicati come destinatari senza che risulti a quale titolo ricevano i dati.
Va aggiunto un profilo che sfugge di frequente: il registro è dovuto anche dal responsabile del trattamento, per le attività svolte per conto dei titolari. Molte aziende che erogano servizi ad altre imprese ritengono di essere estranee all’obbligo e si accorgono del contrario quando il proprio cliente, sotto accertamento, chiede conto della documentazione.
Perché la questione è diventata più concreta nel 2026
L’Autorità programma l’attività ispettiva con atto pubblico. La deliberazione con cui è stata pianificata l’attività per il primo semestre del 2026 prevede almeno quaranta accertamenti ispettivi, condotti anche per mezzo della Guardia di Finanza, su aree individuate in modo puntuale: violazioni di dati personali comunicate all’Autorità, banche dati pubbliche, applicativi per la gestione delle segnalazioni di whistleblowing, strumenti di intelligenza artificiale in ambito scolastico, dossier sanitario, telemarketing nel settore energetico, trattamenti di big data presso operatori di telecomunicazioni.
Chi opera in questi settori sa dunque, in anticipo, che l’accertamento è programmato. E in ognuna di queste aree la ricostruzione parte dal registro, perché è il documento che consente all’Autorità di verificare se il trattamento contestato fosse stato censito, con quale base giuridica e con quali garanzie.
Le sanzioni
La violazione dell’art. 30 rientra fra quelle punite ai sensi dell’art. 83, par. 4, del Regolamento, con sanzioni amministrative fino a dieci milioni di euro o, per le imprese, fino al due per cento del fatturato mondiale annuo, se superiore. È la fascia inferiore delle due previste dal Regolamento, il che induce talvolta a sottovalutarne il peso.
Sarebbe un errore di prospettiva. Nella pratica dei provvedimenti la carenza del registro raramente resta isolata: emerge insieme ad altre violazioni, e concorre ad aggravarle, perché documenta che il titolare non aveva contezza del trattamento. Sotto il profilo dell’art. 83, par. 2, incide sul grado di responsabilità e sulle misure tecniche e organizzative adottate, che sono fra i criteri di commisurazione della sanzione. Su questo meccanismo si è già scritto illustrando quanto costa davvero una violazione del GDPR.
Il registro come strumento di difesa
Vi è un aspetto che merita di essere ribaltato. Il registro non serve soltanto a evitare una contestazione: serve a difendersi quando la contestazione arriva. Un registro coerente, datato, aggiornato e corrispondente ai sistemi in uso è la prima prova dell’adempimento del principio di responsabilizzazione; un registro generico è, all’opposto, un elemento a carico, perché mostra che l’adempimento è stato affrontato in modo formale.
Ne discende che la sua redazione non è un’attività di compilazione, ma di ricognizione: richiede di parlare con chi gestisce i sistemi, di leggere i contratti con i fornitori, di verificare che cosa accada davvero ai dati alla scadenza dei termini dichiarati. È il lavoro che il nostro studio svolge nell’ambito della consulenza e compliance privacy per aziende ed enti pubblici, spesso in concomitanza con l’assunzione dell’incarico di responsabile della protezione dei dati esterno; una panoramica delle criticità più frequenti è nell’articolo su che cosa viene contestato alle aziende, mentre l’attività giudiziale dello studio è descritta nella pagina dello studio legale dell’avv. Elio Errichiello.
Le organizzazioni che vogliano verificare la tenuta del proprio registro prima che lo faccia l’Autorità possono contattare lo studio per un esame preliminare della documentazione: la differenza fra un registro che regge e uno che non regge si misura sui documenti, non sulle intenzioni.
