Una visione dei Trattamenti che riflette l'operatività reale
Vigilio integra i registri dei trattamenti di dati personali nell'ambiente operativo dove gestisci asset, misure e audit — così la privacy non è più un tema separato, ma parte di una dimensione viva e coerente della sicurezza e della conformità.
Cos'è il GDPR, in breve
Il GDPR è il Regolamento (UE) 2016/679, in vigore dal 24 maggio 2016 e applicato dal 25 maggio 2018. Riguarda chiunque tratti dati personali nell'Unione e anche chi, da fuori, offre beni o servizi a persone che si trovano nell'UE o ne monitora il comportamento. In Italia lo affianca il Codice in materia di protezione dei dati personali (D.Lgs. 196/2003), adeguato dal D.Lgs. 101/2018; l'autorità di controllo è il Garante per la protezione dei dati personali. Il principio di responsabilizzazione chiede al titolare di essere in grado di dimostrare la conformità: registro dei trattamenti, misure di sicurezza adeguate al rischio, gestione delle violazioni.
Aggiornato al
Gli obblighi del GDPR, articolo per articolo.
I punti del Regolamento che determinano cosa devi fare, con il riferimento da citare nella documentazione interna e la fonte da cui verificarlo.
| Tema | Cosa prevede | Riferimento |
|---|---|---|
| Registro dei trattamenti | Titolare e responsabile tengono un registro scritto, anche elettronico: dati di contatto del titolare, degli eventuali contitolari e del DPO, finalità, categorie di interessati e di dati, destinatari, trasferimenti verso paesi terzi, termini di cancellazione e descrizione delle misure di sicurezza. Va messo a disposizione del Garante su richiesta. | Art. 30 GDPR |
| Esenzione dal registro | L'obbligo del registro non si applica a chi ha meno di 250 dipendenti, salvo che il trattamento possa presentare un rischio per i diritti degli interessati, non sia occasionale o includa categorie particolari di dati o dati su condanne e reati. Basta un trattamento non occasionale per perdere l'esenzione. | Art. 30, par. 5 GDPR |
| Sicurezza del trattamento | Misure tecniche e organizzative adeguate al rischio, tenuto conto dello stato dell'arte e dei costi: tra queste pseudonimizzazione e cifratura, riservatezza, integrità, disponibilità e resilienza dei sistemi, ripristino tempestivo dopo un incidente e una procedura per verificare regolarmente l'efficacia delle misure. | Art. 32 GDPR |
| Data breach | Notifica al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando il titolare ne è venuto a conoscenza, salvo che sia improbabile un rischio per le persone. Se il rischio è elevato vanno informati anche gli interessati. Ogni violazione si documenta, anche quando non si notifica. | Artt. 33-34 GDPR |
| Valutazione d'impatto | Obbligatoria prima di un trattamento che, in particolare con l'uso di nuove tecnologie, può presentare un rischio elevato per i diritti e le libertà delle persone. | Art. 35 GDPR |
| Nomina del DPO | Il DPO è obbligatorio per autorità e organismi pubblici e per chi, come attività principale, monitora gli interessati in modo regolare e sistematico su larga scala o tratta su larga scala categorie particolari di dati o dati su condanne e reati. | Art. 37 GDPR |
| Sanzioni | Fino a 10 milioni di euro o al 2% del fatturato mondiale annuo dell'esercizio precedente, se superiore, per gli obblighi di titolare e responsabile, tra cui registro, sicurezza e notifica delle violazioni. Fino a 20 milioni o al 4% per principi, basi giuridiche, diritti degli interessati e trasferimenti verso paesi terzi. | Art. 83 GDPR |
Fonti ufficiali
- Regolamento (UE) 2016/679 (GDPR) EUR-Lex
- Codice in materia di protezione dei dati personali (D.Lgs. 196/2003) Normattiva
- Registro delle attività di trattamento Garante Privacy
- Violazioni di dati personali (data breach) Garante Privacy
Sintesi a fini di orientamento, aggiornata al 16 ottobre 2026. Fa fede il testo delle fonti ufficiali.
Garantire la protezione dei dati personali è l'esito del presidio sistematico sulla complessità dell'organizzazione.
Tenere il registro dei trattamenti aggiornato è obbligatorio, ma non basta. Per garantire un reale presidio della protezione dei dati personali occorre avere un quadro preciso e aggiornato degli asset tecnologici che li supportano, dei processi che trattano questi dati, dei fornitori coinvolti e delle responsabilità in azienda.
Registro dei trattamenti strutturato e completo.
Ogni trattamento GDPR viene registrato in modo completo con finalità, base giuridica, aziende co-titolari/responsabili, categorie di dati personali, categorie di interessati, nazioni coinvolte. Il registro è esportabile in Excel in qualsiasi momento, pronto per l'autorità di controllo o per la revisione interna. La criticità di ciascun Trattamento censito può essere valutata e discussa con l'IA integrata.
I trattamenti sono collegati a processi e asset tecnologici, non isolati.
In Vigilio i trattamenti di dati personali sono relazionati ai processi che li utilizzano ed agli asset che li supportano. Audit, mappature di rischio sugli asset o l'introduzione di misure di sicurezza diventano pertanto valutazioni e azioni che riguardano anche i Trattamenti in una logica di sistema integrato. In tal modo la conformità GDPR non è più separata dalle valutazioni o azioni messe in campo per NIS 2 o ISO27001: è la stessa fotografia, vista da angolazioni diverse.
Una sola misura di sicurezza, NIS 2 e GDPR soddisfatti insieme.
La gestione della compliance di Vigilio è trasversale ai framework: una misura di sicurezza può soddisfare requisiti NIS 2, ISO 27001 e GDPR contemporaneamente; niente doppioni, niente file separati per ogni normativa. Vigilio tiene traccia delle misure di sicurezza messe in campo in un'ottica multi-normativa.
Privacy integrata, non più un silo isolato.
Trattamenti in relazione a processi e asset
I trattamenti GDPR vivono in un ecosistema integrato.
Registri dei trattamenti accessibili ed esportabili
Ricerca e filtro su una varietà di parametri, esportazione Excel in un clic, pronto per le autorità.
Basi giuridiche e cataloghi GDPR
Finalità generali, categorie di dati, categorie di interessati, nazioni: tutto strutturato e coerente.
Misure di sicurezza trasversali NIS 2/ISO27001 + GDPR
Una misura soddisfa requisiti di più framework: niente duplicazioni, massimo riuso.
Domande frequenti su GDPR e Vigilio
La normativa
Chi deve tenere il registro dei trattamenti?
Il titolare e il responsabile del trattamento, ciascuno per i trattamenti di sua competenza (art. 30 GDPR). Chi ha meno di 250 dipendenti è esentato solo se i trattamenti sono occasionali, non presentano rischi per gli interessati e non riguardano categorie particolari di dati o dati su condanne e reati: basta gestire con regolarità i dati del personale per doverlo tenere.
Entro quanto va notificata una violazione di dati personali?
Senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando il titolare ne è venuto a conoscenza (art. 33 GDPR). Una notifica oltre le 72 ore deve indicare i motivi del ritardo. Dal 1° luglio 2021 si invia con la procedura telematica del Garante. Se la violazione presenta un rischio elevato, vanno informati anche gli interessati (art. 34).
Un incidente NIS 2 con dati personali va notificato anche al Garante?
Sì, se è anche una violazione di dati personali che presenta un rischio per le persone. La notifica al CSIRT Italia prevista dal D.Lgs. 138/2024 e quella al Garante prevista dall'art. 33 GDPR sono obblighi distinti, con destinatari, termini e contenuti propri: l'una non sostituisce l'altra.
Quando è obbligatorio nominare il DPO?
Per autorità e organismi pubblici, e per chi come attività principale monitora gli interessati in modo regolare e sistematico su larga scala o tratta su larga scala categorie particolari di dati o dati su condanne e reati (art. 37 GDPR). Negli altri casi la nomina è facoltativa.
Quali sanzioni prevede il GDPR?
L'art. 83 prevede due fasce: fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore, per gli obblighi di titolare e responsabile come registro, sicurezza e notifica delle violazioni; fino a 20 milioni o al 4% per principi, basi giuridiche, diritti degli interessati e trasferimenti verso paesi terzi.
Vigilio
Il registro dei trattamenti è importabile da applicativo esterno?
Sì. Puoi importare in autonomia i dati del registro, una tantum, attraverso un template Excel messo a disposizione dal software. È possibile anche alimentare sistematicamente il registro di Vigilio con i dati inseriti in un altro applicativo sfruttando opportune interfacce applicative (API).
Il registro dei trattamenti è esportabile?
Sì. Puoi esportare il registro in Excel in qualsiasi momento. Ogni trattamento ha un codice progressivo e i metadati richiesti dall'art. 30 GDPR (finalità, basi giuridiche, categorie di dati, categorie di interessati, nazioni, co-titolari).
Come si collegano i Trattamenti agli asset tecnologici?
Nel descriverli sul registro, sono censite le relazioni tra i trattamenti di dati personali e gli asset strumentali all'effettivo esercizio del loro trattamento. Qualunque criticità emergente o misura di sicurezza implementata per mitigare rischi su un asset strumentale al trattamento mostra immediatamente i suoi effetti sul Trattamento.
Il DPO può usare Vigilio autonomamente?
Sì. Il DPO lavora nell'ambiente del proprio gruppo aziendale, con accesso all'inventario dei trattamenti, alle basi giuridiche, alle categorie di dati e al registro esportabile. Le funzioni sono integrate con l'operatività di chi gestisce asset e misure.
I dati di diversi clienti di Vigilio sono separati?
Sì, in modo rigoroso e automatico. Ogni dato appartiene al gruppo aziendale del cliente e non è mai accessibile ad altri gruppi. La segregazione informativa è garantita in ogni elenco, ricerca e salvataggio.
Vigilio sulle piattaforme di recensioni.
Approfondisci
Vuoi vedere come Vigilio integra la gestione della privacy nell'organizzazione aziendale?
Una demo guidata di 30 minuti mostra come Vigilio gestisce il registro trattamenti e come integra GDPR, NIS 2 e ISO 27001 in un unico ambiente.