# Estratto: GDPR Art. 30 - Registri delle attivita' di trattamento

**Fonte**: `sources.yaml` id `gdpr-it-garante-2018`
**Documento**: Reg. UE 2016/679 - testo italiano arricchito con considerando, Garante Privacy, aggiornato alle rettifiche GUUE 127 del 23/05/2018
**Data consultazione**: 2026-05-10 (verificato SHA256 - coincide con hash dichiarato)
**Hash SHA256**: 16c0bb358414707b194678bdf80d7e4ba721a0d9cb0e76965569257b75be3e58
**Licenza**: testo regolamentare UE in pubblico dominio.
**Testo di riferimento**: `references/fonti/gdpr-it-garante-2018.md`

---

## Articolo 30 - Registri delle attivita' di trattamento (Cons. 82)

**1.** Ogni titolare del trattamento e, ove applicabile, il suo rappresentante tengono un registro delle attivita' di trattamento svolte sotto la propria responsabilita'. Tale registro contiene tutte le seguenti informazioni:

- **a)** il nome e i dati di contatto del titolare del trattamento e, ove applicabile, del contitolare del trattamento, del rappresentante del titolare del trattamento e del responsabile della protezione dei dati;
- **b)** le finalita' del trattamento;
- **c)** una descrizione delle categorie di interessati e delle categorie di dati personali;
- **d)** le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, compresi i destinatari di paesi terzi od organizzazioni internazionali;
- **e)** ove applicabile, i trasferimenti di dati personali verso un paese terzo o un'organizzazione internazionale, compresa l'identificazione del paese terzo o dell'organizzazione internazionale e, per i trasferimenti di cui al secondo comma dell'articolo 49, la documentazione delle garanzie adeguate;
- **f)** ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati;
- **g)** ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all'articolo 32, paragrafo 1.

**2.** Ogni responsabile del trattamento e, ove applicabile, il suo rappresentante tengono un registro di tutte le categorie di attivita' relative al trattamento svolte per conto di un titolare del trattamento, contenente:

- **a)** il nome e i dati di contatto del responsabile o dei responsabili del trattamento, di ogni titolare del trattamento per conto del quale agisce il responsabile del trattamento, del rappresentante del titolare del trattamento o del responsabile del trattamento e, ove applicabile, del responsabile della protezione dei dati;
- **b)** le categorie dei trattamenti effettuati per conto di ogni titolare del trattamento;
- **c)** ove applicabile, i trasferimenti di dati personali verso un paese terzo o un'organizzazione internazionale, compresa l'identificazione del paese terzo o dell'organizzazione internazionale e, per i trasferimenti di cui al secondo comma dell'articolo 49, la documentazione delle garanzie adeguate;
- **d)** ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all'articolo 32, paragrafo 1.

**3.** I registri di cui ai paragrafi 1 e 2 sono tenuti **in forma scritta, anche in formato elettronico**.

**4.** Su richiesta, il titolare del trattamento o il responsabile del trattamento e, ove applicabile, il rappresentante del titolare del trattamento o del responsabile del trattamento mettono il registro a disposizione dell'autorita' di controllo.

**5.** Gli obblighi di cui ai paragrafi 1 e 2 **non si applicano alle imprese o organizzazioni con meno di 250 dipendenti**, a meno che:
- il trattamento che esse effettuano possa presentare un rischio per i diritti e le liberta' dell'interessato,
- il trattamento non sia occasionale,
- o includa il trattamento di categorie particolari di dati di cui all'articolo 9, paragrafo 1, o i dati personali relativi a condanne penali e a reati di cui all'articolo 10.

> **Nota interpretativa**: la deroga del par. 5 e' interpretata in modo restrittivo dal Garante e dall'EDPB. La condizione "trattamento non occasionale" copre praticamente tutte le aziende che gestiscono dati di dipendenti, clienti, fornitori in modo strutturato. **In pratica, quasi tutte le organizzazioni in Italia devono tenere il Registro.**

---

## Sintesi operativa: i 7 contenuti minimi del Registro (titolare)

Per ogni trattamento iscritto:

1. Identificazione (titolare, contitolare, rappresentante, DPO)
2. Finalita'
3. Categorie di interessati e di dati personali
4. Destinatari (anche extra-UE)
5. Trasferimenti extra-UE con relative garanzie
6. Tempi di conservazione (termini di cancellazione)
7. Misure di sicurezza tecniche e organizzative (rinvio art. 32)

Per il responsabile del trattamento (par. 2): 4 contenuti minimi (1, 2, 5, 7 della lista del titolare).

## Considerando rilevante

**Cons. 82** - "Allo scopo di dimostrare il rispetto del presente regolamento, il titolare del trattamento o il responsabile del trattamento dovrebbe tenere un registro delle attivita' di trattamento svolte sotto la sua responsabilita'. Ciascun titolare del trattamento e responsabile del trattamento dovrebbe essere tenuto a cooperare con l'autorita' di controllo e a mettere a sua disposizione, su richiesta, detti registri, in modo che possano servire per monitorare detti trattamenti."

## Sanzioni connesse

Violazione art. 30: sanzione amministrativa **fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale annuo dell'esercizio precedente, se superiore** (art. 83 par. 4 GDPR).