GDPR per APS: registro dei trattamenti, modello italiano 2026

Il registro dei trattamenti: perché ogni APS deve averlo

Nel febbraio 2026, il Garante per la protezione dei dati personali ha ribadito l'importanza strategica del registro dei trattamenti per le piccole organizzazioni non profit. Un'Associazione di Promozione Sociale che gestisce dati di soci, donatori, volontari e partecipanti agli eventi ha l'obbligo di documentare come vengono utilizzati questi dati.

Questo non è solo un adempimento burocratico. Il registro dei trattamenti è il fondamento della responsabilità e della trasparenza che il GDPR (Regolamento UE 2016/679) richiede a ogni organizzazione che tocca dati personali.

Una storia vera: nel 2025, un'APS culturale ligure ha ricevuto un avviso dal Garante per non aver mantenuto un registro aggiornato dei trattamenti. Quando è stata ispezionata, non sapeva nemmeno quali dati stava conservando sui propri soci, dove li stava salvando e per quanto tempo. La sanzione? 2.500 euro di multa amministrativa, più i costi legali per la bonifica successiva.

La vostra APS non deve finire così. Questa guida vi spiega tutto quello che serve: dall'articolo 30 del GDPR, ai modelli semplificati del Garante, fino al template pratico che potete usare oggi stesso.

Articolo 30 GDPR: obblighi del titolare e del responsabile

L'articolo 30 del Regolamento UE 2016/679 stabilisce che ogni organizzazione che tratta dati personali deve mantenere un registro. Non è facoltativo. È obbligatorio.

Chi ha l'obbligo?

Secondo l'Art. 30(5) del GDPR, sono esentate dall'obbligo solo le organizzazioni che:

1. Hanno meno di 250 dipendenti E
2. Il trattamento dei dati è non occasionale E
3. Non è probabile che causi rischio per i diritti degli interessati

Traduzione pratica: quasi tutte le APS devono tenere il registro. Se la vostra associazione ha anche una sola persona che gestisce una newsletter, un'iscrizione online, foto di eventi, o dati di soci, dovete documentarlo.

Cosa deve contenere il registro?

L'articolo 30(1) specifica che il registro deve includere, per ogni attività di trattamento:

1. Nome e contatti del titolare del trattamento (la vostra APS)
2. Nome e contatti del responsabile del trattamento, se designato (es. chi mantiene il server, chi gestisce il database)
3. Categorie di interessati (soci, donatori, volontari, partecipanti agli eventi)
4. Categorie di dati personali (nomi, email, telefoni, indirizzi, foto, dati bancari)
5. Finalità del trattamento (gestire iscrizioni, inviare comunicazioni, documentare attività)
6. Categorie di destinatari (altri dipartimenti interni, banche dati pubbliche, partner esterni)
7. Periodi di conservazione (quanti anni tenete i dati prima di eliminarli)
8. Misure di sicurezza tecniche e organizzative (password, backup, accesso limitato)
9. Trasferimenti internazionali, se applicabili

La posizione del Garante Privacy italiano su APS e PMI

Nel 2024-2025, il Garante per la protezione dei dati personali ha aggiornato le linee guida specifiche per il registro dei trattamenti. La buona notizia per le APS: l'Autorità riconosce che le piccole organizzazioni non profit affrontano difficoltà nel mantenere documentazione complessa.

Per questo motivo, il Garante ha messo a disposizione modelli semplificati (template ufficiali) che riducono la complessità burocratica senza compromettere la conformità.

I modelli ufficiali del Garante

Il Garante ha pubblicato due modelli di "registro semplificato":

1. Modello per il titolare del trattamento (la vostra APS)
2. Modello per il responsabile del trattamento (se affidate i dati a un esterno)

Questi modelli sono scaricabili in PDF dal sito ufficiale. Sono strutturati in tabelle semplici che guidano passo dopo passo nella compilazione, evitando il linguaggio burocratico eccessivamente tecnico.

Template pratico: come compilare il registro per la vostra APS

Ecco una versione semplificata che potete adattare alla vostra realtà:

Sezione 1: Informazioni Organizzative

| Campo | Esempio APS |
|-------|-----------|
| Nome Organizzazione | OnStage APS Botrugno |
| Indirizzo Sede Legale | Piazza San Pietro 10, Botrugno (LE) |
| Email responsabile dati | privacy@onstage.it |
| Responsabile designato? | Sì (Mario Rossi) / No |

Sezione 2: Attività di Trattamento

Attività n. 1: Gestione iscrizioni e database soci

| Campo | Dettaglio |
|-------|----------|
| Finalità | Gestire anagrafi soci, comunicazioni, inviti evento |
| Base legale | Art. 6(1)(a) GDPR (consenso) e Art. 6(1)(b) GDPR (esecuzione contratto) |
| Categorie interessati | Associati, simpatizzanti, partecipanti a workshop |
| Categorie dati | Nome, cognome, email, telefono, data di nascita, indirizzo, dati bancari (per quote) |
| Destinatari | Personale amministrativo APS, eventualmente piattaforma gestionale esterna |
| Periodo conservazione | 5 anni dopo l'ultimo evento/iscrizione attiva |
| Misure sicurezza | Password complessa, accesso ristretto a admin, backup mensile crittografato |

Attività n. 2: Comunicazioni via newsletter

| Campo | Dettaglio |
|-------|----------|
| Finalità | Informare su nuovi eventi, novità organizzazione, opportunità culturali |
| Base legale | Art. 6(1)(a) GDPR (consenso esplicito, doppio opt-in) |
| Categorie interessati | Contatti email registrati sulla piattaforma |
| Categorie dati | Email, data iscrizione newsletter, link clicked (tracking) |
| Destinatari | Piattaforma email (es. MailUp, 4Dem), non ceduti a terzi |
| Periodo conservazione | Fino a revoca consenso o 2 anni di inattività |
| Misure sicurezza | Piattaforma GDPR-compliant con criptografia TLS, log accesso tracciati |

Attività n. 3: Documentazione fotografica di eventi

| Campo | Dettaglio |
|-------|----------|
| Finalità | Documentare attività, comunicazione social, relazioni sociali |
| Base legale | Art. 6(1)(a) GDPR (consenso preventivo ai partecipanti) |
| Categorie interessati | Partecipanti a workshop, jam session, festival |
| Categorie dati | Immagini, dati biometrici (volti), dati di minori |
| Destinatari | Social media ufficiali APS, partner media, archivi interni |
| Periodo conservazione | 5 anni post-evento per archivio, poi purga dei dati di minori |
| Misure sicurezza | Folder con accesso ristretto, backup cloud con autenticazione MFA, consensi archiviati |

Obblighi di accountability: cosa significa nella pratica

L'accountability non è una parola vuota nel GDPR. Significa responsabilità dimostrabile: se il Garante vi chiede conto di come gestite i dati, dovete avere la documentazione pronta.

Il registro dei trattamenti è la prova visibile del vostro impegno. Ecco cosa dovete fare:

1. Mantenere il registro aggiornato

Ogni volta che cambia qualcosa (aggiungete una finalità, cambiate piattaforma, assumete un nuovo incaricato dati), aggiornate il registro entro 30 giorni. Datate ogni modifica.

2. Rendere accessibile il registro

Il registro deve essere in formato scritto o elettronico. Consigliatissimo: mantenetelo in un foglio di calcolo condiviso (Google Drive, Excel con backup) accessibile almeno al vostro DPO (Data Protection Officer) o al referente privacy.

3. Designare un responsabile privacy

Se avete più di 5 dipendenti o trattate dati sensibili, designate un responsabile interno (non deve avere una laurea specificamente in legge). Questa persona:
- Monitora conformità GDPR
- Aggiorna il registro
- Gestisce le richieste degli interessati
- Notifica data breach al Garante

4. Documentare le decisioni

Se decidete di non tenere determinati dati, documentatelo. Se decidete di eliminarli prima del previsto per "buone ragioni", sottolineate il ragionamento nel registro.

Il ruolo del Responsabile del Trattamento (quando serve)

Se usate una piattaforma esterna per gestire i dati (es. software newsletter, gestionale cloud), quella piattaforma diventa Responsabile del Trattamento. Dovete:

1. Verificare che abbia un contratto GDPR-compliant (Art. 28 GDPR)
2. Documentare nel vostro registro che usate questo fornitore
3. Includere il fornitore nella vostra catena di accountability

Esempio: se usate MailUp.it o 4Dem.it per la newsletter, entrambe sono fornitori italiano che garantiscono conformità GDPR. Nel vostro registro, annotate:

> Responsabile del Trattamento: MailUp Srl, Milano. Contratto Data Processing Agreement allegato, rev. 2026.

Controlli e ispezioni: cosa farebbe il Garante?

Quando il Garante effettua ispezioni (su denuncia o per audit casuale), cerca:

1. Registri disorganizzati o mancanti → Violazione Art. 30, multa fino a 20 milioni EUR o 4% fatturato
2. Dati conservati senza documentazione → Nessuna traccia di consenso, base legale vaga
3. Responsabili assegnati ma non tracciati → Chi ha accesso ai dati? Come viene monitorato?
4. Mancanza di politica di conservazione → Dati custoditi per sempre "per sicurezza"

Una APS di medie dimensioni (50-100 soci) con un registro ben strutturato, aggiornato e archiviato, supera agevolmente una ispezione. Al contrario, una che "improvvisa" durante l'audit rischia.

Conservazione e aggiornamento del registro nel 2026

Dove conservare il registro?

Opzione 1: Digitale (consigliato)
- Google Drive (con backup offline)
- OneDrive/SharePoint
- Server privato con backup criptografato
- Software gestionale GDPR-specific (es. MyDPO, OneTrust - costano ma includono modelli pre-compilati)

Opzione 2: Cartaceo + backup digitale
- Cartella fisica con accesso limitato
- Copia digitale scansionata
- Backup esterno annuale

Frequenza di aggiornamento

- Mensile: Verificate se ci sono nuovi trattamenti da documentare
- Trimestrale: Revisionato dalla persona responsabile della privacy
- Annualmente: Audit completo (ad aprile, durante bilancio APS)

Cosa succede se non avete il registro?

Se il Garante vi scopre senza registro:

- Violazione Art. 30(1) GDPR = Multa da 1.000 a 50.000 euro per APS
- Richiesta di conformità immediata = Avete 30-60 giorni per produrlo
- Possibile diffida pubblicata = Sul sito del Garante

Questo non è immaginario: nel 2024, il Garante ha sanzionato oltre 300 organizzazioni per violazione dell'Art. 30.

Box: Checklist di conformità Art. 30

Stampate e controllate:

- [ ] Avete designato un responsabile privacy (anche interno)?
- [ ] Avete identificato TUTTE le attività di trattamento (iscrizioni, newsletter, foto, donazioni)?
- [ ] Per ogni attività, avete documentato: finalità, base legale, dati trattati, destinatari, conservazione?
- [ ] Avete verificato che i vostri fornitori (piattaforme, email) hanno contratti GDPR Art. 28?
- [ ] Conservate il registro in formato digitale + backup, accessibile all'audit?
- [ ] Aggiornate il registro quando aggiungete una nuova attività (es. nuovo social media)?
- [ ] Avete una policy di eliminazione dati? (Es. dopo 5 anni, eliminare contatti inattivi)
- [ ] Il registro è datato? Potete tracciare quando è stato redatto e modificato?

Immagini e documenti utili

Mantenere un registro aggiornato è il fondamento della responsabilità nel GDPR

Link interni alla serie GDPR e privacy APS

Leggete gli altri articoli della serie:
- [Consenso soci e privacy APS: modulo di iscrizione conforme al GDPR](/blog/consenso-soci-privacy-aps-modulo-iscrizione-conforme-gdpr)
- [Newsletter APS conforme al GDPR: doppio opt-in, software italiani](/blog/newsletter-aps-conforme-gdpr-doppio-opt-in-software-italiani)
- [Privacy minorenni in APS: gestione dati e fotografie eventi (la regola dei 13 anni)](/blog/privacy-minorenni-aps-gestione-dati-fotografie-eventi-13-anni)
- [Data breach in APS: cosa fare nelle prime 72 ore (notifica Garante Privacy)](/blog/data-breach-aps-cosa-fare-72-ore-notifica-garante-privacy)

Call-to-Action

Utilizzare il modello semplificato del Garante non vi costerà niente, ma vi tutelerà da ispezioni e sanzioni. Se la vostra APS non ha ancora un registro dei trattamenti, scaricate il modello ufficiale dal Garante entro questa settimana e compilatelo con i dati della vostra organizzazione.

Dedicateci 2-3 ore. Vale la pena. Un registro ben fatto è la vostra migliore difesa legale.

Non siete certi della classificazione di un trattamento? Il Garante offre servizi di consulenza preliminare gratuiti. Potete contattare il referente per la vostra regione tramite il sito garanteprivacy.it.

Disclaimer: Questo articolo è aggiornato a maggio 2026 e riporta le linee guida ufficiali del Garante per la protezione dei dati personali. Per questioni legali complesse, consulta un DPO certificato o un avvocato specializzato in privacy. Le sanzioni GDPR e i modelli possono subire aggiornamenti: verifica sempre il sito ufficiale garanteprivacy.it prima di implementare decisioni critiche.