Chi deve tenere un registro?
In Svizzera titolari e responsabili del trattamento tengono ciascuno un registro delle proprie attività di trattamento (art. 12 cpv. 1 LPD). Secondo l'art. 24 OPDa sono esentate le aziende che al 1° gennaio di un anno occupano meno di 250 collaboratori, nonché le persone fisiche – a meno che trattino su vasta scala dati personali degni di particolare protezione o effettuino una profilazione a rischio elevato.
Nell'UE vale l'art. 30 GDPR. L'eccezione per le imprese con meno di 250 dipendenti (art. 30 cpv. 5 GDPR) è ristretta: non si applica se il trattamento presenta un rischio, non è occasionale o riguarda categorie particolari di dati. Chi tratta regolarmente dati di clienti o del personale è quindi di norma obbligato. L'UE intende ampliare questa eccezione; una modifica in tal senso è in corso di adozione, ma non è ancora in vigore (situazione: ottobre 2026).
Che cosa deve contenere il registro?
LPD e GDPR richiedono quasi le stesse informazioni:
| Informazione | LPD (art. 12 cpv. 2) | GDPR (art. 30 cpv. 1) |
|---|---|---|
| Identità del titolare del trattamento | sì | sì, con dati di contatto e responsabile della protezione dei dati |
| Scopo del trattamento | sì | sì |
| Categorie di persone interessate e di dati personali | sì | sì |
| Categorie di destinatari | sì | sì |
| Durata di conservazione o criteri per determinarla | se possibile | se possibile |
| Descrizione delle misure di sicurezza | se possibile | se possibile |
| Comunicazione all'estero con Stato e garanzie | sì | sì |
Perché il registro invecchia così in fretta?
Molti registri nascono una volta da interviste e questionari e poi vivono in una tabella. Si aggiungono nuove applicazioni, servizi cloud e strumenti di IA, nascono esportazioni, i responsabili cambiano – e nessuno aggiorna le modifiche.
A ciò si aggiunge un secondo problema: i termini di conservazione figurano sì nel registro, ma nei sistemi non si cancella comunque. Il documento descrive allora un ordine che nella realtà non esiste.
Dall'elenco Excel al registro vivo
Un registro resta aggiornato se è collegato ai sistemi e non solo alle persone che lo curano:
- 1Gestire i sistemi con persone responsabili, criticità e stato.
- 2Confrontare i rilevamenti di una ricerca tecnica, così che emergano anche archivi sconosciuti.
- 3Far confermare dai responsabili di settore i luoghi con dati personali.
- 4Approvare i termini di conservazione con motivazione e base giuridica secondo il principio dei quattro occhi.
- 5Trasmettere i termini approvati alla cancellazione, affinché valgano nei sistemi.
- 6Rendere visibili le lacune: sistemi senza responsabili, voci non confermate, termini senza base.