Il Registro delle Attività di Trattamento — comunemente chiamato RoPA (Record of Processing Activities) — è uno dei documenti fondamentali previsti dall'articolo 30 del GDPR. Nonostante molte PMI italiane lo ignorino o lo ritengano opzionale, nella pratica quasi tutte le aziende che dispongono di un sito web, un CRM o anche solo una mailing list sono obbligate a tenerlo. L'assenza del registro è uno degli elementi che il Garante Privacy verifica nei controlli ispettivi.
Chi È Obbligato a Tenere il Registro dei Trattamenti?
L'articolo 30 del GDPR prevede un'esenzione formale per le organizzazioni con meno di 250 dipendenti, ma questa esenzione è quasi sempre inapplicabile in pratica. Essa decade — e l'obbligo scatta — se si verifica anche solo una delle seguenti condizioni:
- Il trattamento rischia di ledere i diritti e le libertà degli interessati
- Il trattamento non è occasionale (e praticamente nessun trattamento aziendale lo è)
- Il trattamento riguarda categorie particolari di dati (salute, dati biometrici, convinzioni religiose, ecc.)
- Il trattamento riguarda dati relativi a condanne penali o reati
In concreto, qualsiasi azienda che gestisce un sito web con modulo di contatto, invia newsletter, conserva dati clienti in un gestionale o utilizza sistemi di videosorveglianza è obbligata a tenere il registro. La soglia dei 250 dipendenti, quindi, non è una vera porta di uscita per la maggior parte delle PMI.
Cosa Deve Contenere il Registro?
Il RoPA non ha un formato obbligatorio: il GDPR definisce i contenuti minimi, ma la forma è libera (Excel, PDF, software dedicato). Per il titolare del trattamento, ogni attività di trattamento deve indicare:
- Nome e contatti del titolare e, se nominato, del DPO
- Finalità del trattamento: per cosa vengono usati i dati (es. gestione clienti, marketing, fatturazione)
- Categorie di interessati: clienti, fornitori, dipendenti, visitatori del sito
- Categorie di dati personali: anagrafici, contatti, dati di navigazione, dati di pagamento, ecc.
- Eventuali destinatari: chi riceve i dati (partner commerciali, fornitori IT, consulenti)
- Trasferimenti verso paesi terzi extra-UE e garanzie adottate
- Termini di conservazione: per quanto tempo vengono conservati i dati
- Misure di sicurezza tecniche e organizzative adottate
Trattamenti Tipici per una PMI con Sito Web
| Attività di Trattamento | Base Giuridica | Conservazione Tipica |
|---|---|---|
| Gestione richieste di contatto (form sito) | Consenso / Esecuzione contratto | 24 mesi o fino a evasione |
| Invio newsletter e comunicazioni marketing | Consenso esplicito | Fino a revoca consenso |
| Gestione clienti e fatturazione | Esecuzione contratto / Obbligo legale | 10 anni (obblighi fiscali) |
| Analisi traffico sito web (es. Google Analytics) | Consenso / Legittimo interesse | 14-26 mesi (impostazioni GA) |
| Gestione dipendenti e collaboratori | Esecuzione contratto / Obbligo legale | Durata rapporto + 10 anni |
| Videosorveglianza locali aziendali | Legittimo interesse | Massimo 7 giorni (24h in alcuni casi) |
Il Registro dei Trattamenti e il Sito Web: Punti di Attenzione
Un sito web moderno genera numerosi trattamenti che vanno documentati nel registro. Oltre ai moduli di contatto e alla newsletter, occorre considerare:
- Cookie e pixel di tracciamento (Google Ads, Meta Pixel, LinkedIn Insight Tag): ogni strumento che trasmette dati a terze parti deve essere censito
- Live chat e chatbot: raccolgono dati degli utenti e spesso li condividono con provider esterni
- Portali clienti e aree riservate: trattano dati più sensibili, spesso con autenticazione e log accessi
- E-commerce: gestione ordini, dati di pagamento (anche solo tokenizzati), indirizzi di spedizione
Un sito web progettato professionalmente tiene in considerazione questi aspetti fin dalla fase di sviluppo, predisponendo le misure tecniche — gestione consensi, log, minimizzazione dei dati — che rendono più semplice la compilazione e il mantenimento del registro.
Responsabili del Trattamento: Quando Nominarli
Ogni volta che un'azienda esterna accede ai dati personali per conto dell'azienda titolare, deve essere nominata Responsabile del Trattamento tramite un apposito accordo (DPA – Data Processing Agreement). Esempi tipici per una PMI con sito web:
- Provider di hosting e server
- Web agency che gestisce il sito (accesso al CMS, database, form)
- Piattaforme di email marketing (Mailchimp, Brevo, ecc.)
- CRM in cloud (HubSpot, Salesforce, ecc.)
- Commercialista con accesso ai dati contabili
Tutti questi soggetti vanno censiti nel registro e, soprattutto, va verificata la firma del DPA prima di condividere qualsiasi dato personale.
Cosa Rischia Chi Non Ha il Registro?
L'assenza del registro o una sua compilazione superficiale espone a sanzioni amministrative che possono raggiungere i 10 milioni di euro o il 2% del fatturato mondiale (la soglia più elevata tra le due). Nelle ispezioni del Garante Privacy — sempre più frequenti anche nei confronti delle PMI — il registro è il primo documento richiesto. La sua assenza viene interpretata come un segnale di gestione complessivamente non conforme, con conseguente approfondimento dell'indagine su tutti gli altri aspetti della privacy aziendale.
Come Procedere: l'Approccio Corretto
La compilazione del registro non è un'operazione una tantum: va mantenuto aggiornato ogni volta che cambia un trattamento, si adotta un nuovo strumento digitale o si avvia una nuova attività di marketing. L'approccio corretto prevede:
- Mappatura dei trattamenti in essere (interviste con i responsabili di funzione)
- Identificazione delle basi giuridiche per ciascun trattamento
- Verifica dei responsabili esterni e dei contratti DPA
- Definizione dei tempi di conservazione e delle procedure di cancellazione
- Documentazione delle misure di sicurezza adottate
- Revisione periodica (almeno annuale) e aggiornamento ad ogni variazione
Se non hai ancora avviato questo percorso o vuoi verificare la conformità del tuo registro esistente, il team di NEO WEB può supportarti sia sul fronte tecnico — implementando soluzioni web conformi e sicure — sia orientandoti verso i professionisti legali giusti. Contattaci per una consulenza senza impegno.
