Registro dei trattamenti
Il documento (o sistema) che elenca i trattamenti di dati personali dell'organizzazione: finalità, categorie, destinatari, tempi di conservazione.
Anche: registro trattamenti, registro dei trattamenti GDPR, ROPA, record of processing activities, art. 30 GDPR, elenco trattamenti
Definizione
Il registro dei trattamenti è l’elenco strutturato dei trattamenti di dati personali di un’organizzazione: per ciascuno tipicamente figurano finalità, categorie di interessati e di dati, destinatari, eventuali trasferimenti, tempi di conservazione e misure di sicurezza rilevanti. Nel quadro GDPR corrisponde, in sintesi, al registro delle attività di trattamento (spesso citato come art. 30): non è un «permesso» a trattare, ma una mappa aggiornata di cosa si fa con i dati. Per molte organizzazioni sotto soglia dimensionale l’obbligo non è automatico, salvo eccezioni (rischio elevato, trattamenti non occasionali, categorie particolari, ecc.): va verificato caso per caso. Nelle PMI può vivere in foglio, software privacy o tool del consulente; resta utile allinearlo a CRM, ticket, marketing, HR e fornitori. Il DPO, quando nominato, spesso lo usa per assessment, DPIA e risposte: non sostituisce informative o contratti, ma li rende coerenti. Se nasce un nuovo workflow (chat, form, archivio cloud), il registro va aggiornato, altrimenti resta un documento scollegato dai processi.
Esempi
In uno studio di consulenza privacy, il consulente apre il registro dei trattamenti del cliente PMI e verifica se lead dal sito, ticket e backup del CRM sono descritti con finalità e tempi coerenti. Se manca un canale nuovo, lo aggiunge prima dell’assessment successivo.
In una clinica ambulatoriale, reception e gestionale trattano anagrafiche e appuntamenti. Il titolare, con il DPO, tiene nel registro le finalità (prenotazione, richiamo, fatturazione), chi accede e quanto a lungo si conservano i dati, così un cambio di software non lascia buchi nella mappa.