Ejemplo de registro de actividades para una pyme

Una pyme puede tener pocos trabajadores y, aun así, tratar datos personales todos los días: los de su plantilla, clientes, proveedores, contactos comerciales o candidatos. El ejemplo de registro de actividades de tratamiento para pyme no es un formulario de relleno. Es el documento que permite demostrar qué datos maneja la empresa, por qué los utiliza, dónde los guarda y con quién los comparte.

Cuando la Agencia Española de Protección de Datos solicita información, no basta con afirmar que se cumple el RGPD. Hay que acreditarlo con documentación coherente, actualizada y adaptada a la actividad real del negocio. Un registro genérico descargado de internet, que no refleja los procesos de la empresa, puede generar más problemas que no tener ninguno.

¿Qué es el registro de actividades de tratamiento?

El Registro de Actividades de Tratamiento, conocido como RAT, es una relación organizada de los tratamientos de datos personales realizados por una organización. Su contenido principal está regulado en el artículo 30 del Reglamento General de Protección de Datos, RGPD.

Cada tratamiento responde a una finalidad concreta. Por ejemplo, gestionar nóminas no es lo mismo que enviar campañas comerciales, atender solicitudes recibidas desde una web o gestionar imágenes de cámaras de videovigilancia. Aunque los datos pertenezcan a la misma persona, cada uso debe analizarse por separado porque puede tener distinta base jurídica, distintos destinatarios y diferentes plazos de conservación.

El RAT debe estar disponible por escrito, también en formato electrónico, y mantenerse actualizado. No se presenta de forma periódica ante la AEPD, pero debe poder facilitarse si la autoridad lo requiere.

¿Una pyme está obligada a tener RAT?

Existe una idea equivocada muy extendida: que las empresas de menos de 250 trabajadores están exentas. La norma contempla una excepción limitada, pero no elimina la obligación para la mayoría de pymes españolas.

Una empresa de menos de 250 personas trabajadoras debe disponer de registro si el tratamiento puede implicar un riesgo para los derechos y libertades de las personas, si no es ocasional o si incluye categorías especiales de datos, como salud, afiliación sindical o discapacidad. En la práctica, la gestión continuada de clientes, empleados, proveedores, facturación, nóminas o contactos comerciales difícilmente puede considerarse ocasional.

Además, una clínica, una asesoría, una academia, una comunidad de propietarios, una asociación o un comercio con videovigilancia suelen realizar tratamientos que exigen un análisis documental especialmente cuidadoso. No conviene utilizar el tamaño de la empresa como argumento para dejar esta obligación sin cubrir.

Ejemplo de registro de actividades de tratamiento para pyme

Una pequeña empresa de servicios con cuatro trabajadores puede necesitar varios tratamientos diferenciados. El siguiente modelo es orientativo. Debe ajustarse a la operativa concreta de cada negocio, sus herramientas, contratos y comunicaciones reales.

Tratamiento: Gestión de clientes y prestación del servicio

Responsable del tratamiento: Empresa, autónomo o sociedad que presta el servicio.

Finalidad: Gestionar presupuestos, altas de clientes, ejecución de servicios, facturación, cobros, atención de incidencias y comunicaciones relacionadas con la relación contractual.

Categorías de interesados: Clientes, personas de contacto de empresas clientes y potenciales clientes que solicitan información.

Categorías de datos: Nombre y apellidos, DNI si procede, teléfono, correo electrónico, dirección, datos bancarios, información de facturación y datos necesarios para prestar el servicio contratado.

Base jurídica: Ejecución de un contrato o aplicación de medidas precontractuales solicitadas por la persona interesada. El cumplimiento de obligaciones legales respalda la conservación de datos fiscales y contables.

Destinatarios: Entidad bancaria para la gestión de cobros, asesoría fiscal o contable, proveedor de facturación y administraciones públicas cuando exista obligación legal. Si estos proveedores acceden a datos por cuenta de la empresa, debe existir el correspondiente contrato de encargo de tratamiento.

Transferencias internacionales: No previstas, salvo que alguna herramienta tecnológica contratada implique accesos o almacenamiento fuera del Espacio Económico Europeo. Este punto debe comprobarse, no marcarse automáticamente como “no”.

Plazo de conservación: Durante la relación comercial y, después, durante los plazos legales aplicables en materia fiscal, contable o de responsabilidad contractual.

Medidas de seguridad: Acceso con usuario y contraseña, permisos limitados según funciones, copias de seguridad, equipos actualizados, documentación custodiada y formación básica del personal que accede a la información.

Este tratamiento suele existir en casi cualquier pyme. El error habitual es incluir datos bancarios o copias de documentos de identidad sin valorar si son necesarios para el servicio. El principio de minimización obliga a recoger solo la información adecuada, pertinente y limitada a la finalidad.

Tratamiento: Gestión laboral y de recursos humanos

Finalidad: Gestionar contratos, nóminas, seguros sociales, control horario, formación, prevención de riesgos laborales y obligaciones laborales de la empresa.

Categorías de interesados: Personas trabajadoras, candidatos y, cuando corresponda, familiares o beneficiarios comunicados para determinadas gestiones laborales.

Categorías de datos: Datos identificativos y de contacto, información bancaria, datos de cotización, historial profesional, registros de jornada y datos necesarios para cumplir obligaciones laborales. Puede incluir datos de salud en supuestos concretos vinculados a la vigilancia de la salud o a bajas médicas, lo que exige mayores cautelas.

Base jurídica: Ejecución del contrato de trabajo, cumplimiento de obligaciones legales y, en situaciones específicas, obligaciones en materia laboral, de Seguridad Social y prevención de riesgos laborales.

Destinatarios: Asesoría laboral, mutua colaboradora, servicio de prevención, entidades financieras, Seguridad Social, Agencia Tributaria y organismos públicos competentes.

Plazo de conservación: Durante la vigencia de la relación laboral y posteriormente durante los plazos exigidos por la normativa laboral, fiscal, de Seguridad Social y de prevención.

Una pyme no debe usar el consentimiento como base jurídica general para tratar los datos de sus trabajadores. En la relación laboral existe un desequilibrio entre las partes y, normalmente, el tratamiento se apoya en el contrato o en una obligación legal. Pedir consentimientos innecesarios no corrige una mala gestión documental.

Tratamiento: Videovigilancia

Si la empresa tiene cámaras, necesita reflejar este tratamiento de manera independiente. No basta con colocar el cartel informativo.

Finalidad: Preservar la seguridad de personas, bienes e instalaciones y, cuando esté justificado, controlar el cumplimiento de obligaciones laborales dentro de los límites legales.

Categorías de interesados: Trabajadores, clientes, visitantes y personas que accedan a la zona videovigilada.

Categorías de datos: Imagen y, excepcionalmente, otros datos vinculados a incidencias de seguridad.

Base jurídica: Interés legítimo del responsable en proteger sus instalaciones y personas, con respeto a la normativa laboral y de protección de datos.

Plazo de conservación: Con carácter general, un máximo de un mes, salvo que las imágenes deban conservarse para acreditar hechos que puedan afectar a personas, bienes o instalaciones ante la autoridad competente.

Las cámaras no pueden grabar vía pública de manera indiscriminada, zonas de descanso, aseos o vestuarios. Tampoco deben instalarse sin informar adecuadamente a trabajadores y visitantes. El RAT debe coincidir con la realidad: número de cámaras, sistema de grabación, empresa mantenedora y acceso a las imágenes.

Errores que dejan el registro sin valor

El primer error es copiar un modelo sin adaptar las actividades de la empresa. Si el RAT dice que no hay marketing, pero se envían campañas por correo electrónico o mensajería, existe una contradicción evidente.

El segundo es olvidar a los encargados de tratamiento. Una gestoría, una plataforma de correo, un programa de nóminas, una empresa de mantenimiento informático o un proveedor de almacenamiento pueden acceder a datos personales. Cada relación debe analizarse y, cuando proceda, documentarse mediante contrato de encargo.

El tercero es no revisar el registro. Abrir un canal de contacto en la web, implantar fichaje digital, instalar cámaras, contratar una nueva aplicación o empezar a seleccionar personal son cambios que pueden obligar a modificar el RAT y otros documentos de cumplimiento.

También es frecuente confundir el registro con toda la adaptación al RGPD. El RAT es una pieza esencial, pero no sustituye los textos informativos, los contratos con proveedores, el análisis de riesgos, las medidas de seguridad, el protocolo de brechas ni la formación del personal.

Cómo preparar un RAT que proteja realmente a su empresa

Empiece por identificar todos los momentos en que su negocio recoge, consulta, almacena, modifica o comunica datos personales. No piense solo en archivos físicos. Revise correos electrónicos, hojas de cálculo, aplicaciones de gestión, formularios web, móviles de empresa, cámaras y servicios en la nube.

Después, agrupe esos usos por finalidades reales y determine para cada uno qué datos se tratan, quién accede, con qué base jurídica, durante cuánto tiempo se conservan y qué medidas evitan accesos no autorizados. Si no puede responder con claridad a estas preguntas, el tratamiento no está correctamente controlado.

Por último, contraste el documento con el funcionamiento cotidiano. Un RAT útil no debe quedarse archivado para una inspección: sirve para saber qué proveedores requieren contrato, qué personal necesita permisos de acceso y qué datos deben eliminarse cuando ya no son necesarios.

En Consultoría Rosario Polo trabajamos la adaptación al RGPD desde la operativa real de cada empresa, no desde plantillas impersonales. Contar con un Registro de Actividades de Tratamiento bien elaborado reduce carga administrativa, mejora el control interno y permite responder con seguridad ante un requerimiento. La mejor decisión es revisar su documentación antes de que una incidencia, una reclamación o una inspección obligue a hacerlo con prisas.