Il registro dei trattamenti (art. 30 GDPR) è l'inventario di tutti i modi in cui l'organizzazione usa dati personali: per ogni trattamento – paghe, clienti, newsletter, videosorveglianza, log dei sistemi – finalità, categorie di dati e interessati, destinatari, trasferimenti extra-UE, tempi di conservazione, misure di sicurezza.
Sulla carta è obbligatorio sopra i 250 dipendenti, ma l'eccezione è mangiata dalle sue eccezioni (trattamenti non occasionali, dati particolari…): in pratica serve a quasi tutti, e il Garante lo chiede come prima cosa in ogni ispezione. È il documento di accountability per eccellenza: senza, non puoi dimostrare nulla del resto.
Il lato utile, oltre l'obbligo: compilarlo costringe a scoprire cosa si tratta davvero – i fogli Excel dimenticati, i log conservati per sempre, il fornitore mai censito. Formato libero: una tabella tenuta aggiornata batte il faldone perfetto e fossile.