Cómo registrar actividades de tratamiento según RGPD

Una inspección no empieza preguntando por una política de privacidad bonita. Empieza por saber qué datos trata su empresa, para qué los utiliza, quién accede a ellos y cuánto tiempo los conserva. Por eso, entender cómo registrar actividades de tratamiento es una de las tareas más rentables para reducir riesgos de incumplimiento del RGPD y de la LOPDGDD.

El Registro de Actividades de Tratamiento, conocido como RAT, no es un documento decorativo ni un formulario estándar que pueda copiarse de otra empresa. Debe reflejar la operativa real de cada organización. Si contiene datos genéricos, desactualizados o procesos que no existen, no aporta seguridad jurídica y puede dejarle sin capacidad de respuesta ante un requerimiento de la Agencia Española de Protección de Datos.

Qué es el Registro de Actividades de Tratamiento

El artículo 30 del RGPD exige que los responsables y, cuando proceda, los encargados del tratamiento mantengan un registro interno de las actividades que realizan con datos personales. No se envía de forma periódica a la AEPD, pero debe estar disponible cuando la autoridad de control lo solicite.

En términos prácticos, el RAT es el mapa de datos de la empresa. Describe tratamientos como la gestión de clientes, nóminas, selección de personal, proveedores, videovigilancia, formularios web, campañas comerciales, control horario o atención de solicitudes de derechos.

No confunda una categoría de datos con una actividad de tratamiento. Por ejemplo, una asesoría puede tratar datos identificativos y económicos de sus clientes, pero también datos de empleados para nóminas y datos de candidatos en procesos de selección. Cada finalidad y proceso diferenciado requiere analizarse y documentarse adecuadamente.

Quién está obligado a mantenerlo

La obligación alcanza con claridad a empresas, autónomos, asociaciones, comunidades de propietarios y entidades que tratan datos de manera no ocasional. Aunque el RGPD contempla una excepción para organizaciones de menos de 250 trabajadores, esta excepción es limitada y suele interpretarse mal.

Una microempresa no queda liberada automáticamente. Debe llevar el registro si el tratamiento puede implicar un riesgo para los derechos y libertades de las personas, si trata categorías especiales de datos, si incluye datos relativos a condenas o infracciones penales o si el tratamiento no es ocasional. La gestión ordinaria de clientes, empleados o usuarios normalmente no puede considerarse ocasional.

Además, aunque una entidad pudiera encajar en la excepción, disponer de un RAT sigue siendo una decisión prudente. Sin ese inventario, es difícil acreditar la base jurídica, controlar plazos de conservación, redactar cláusulas informativas coherentes o atender una reclamación. El ahorro aparente de no documentar se convierte pronto en carga administrativa y exposición a sanciones.

Cómo registrar actividades de tratamiento paso a paso

El registro debe construirse desde la realidad de la empresa, no desde una plantilla descargada sin revisar. Un comercio electrónico, una clínica, una comunidad de propietarios y un despacho profesional manejan datos distintos, con finalidades y proveedores diferentes.

1. Identifique todos los procesos que usan datos personales

Empiece por recorrer las áreas de la organización. Pregunte qué formularios se utilizan, qué información se recoge, dónde se guarda y a quién se comunica. No se limite al correo electrónico o a una hoja de cálculo: también existen tratamientos en cámaras, plataformas de facturación, sistemas de fichaje, aplicaciones de mensajería, programas de gestión y copias de seguridad.

Una empresa pequeña puede tener, como mínimo, tratamientos de clientes, proveedores, personal, candidaturas y contactos comerciales. Si dispone de videovigilancia, página web con formularios, newsletters o un canal interno de información, habrá que valorar actividades adicionales.

2. Defina la finalidad concreta de cada tratamiento

La finalidad responde a la pregunta: ¿para qué necesita la empresa esos datos? Debe ser específica y comprensible. Expresiones como gestionar la empresa o fines administrativos son demasiado amplias si no se detallan.

En un tratamiento de clientes, la finalidad puede incluir gestionar presupuestos, prestar el servicio contratado, facturar, atender incidencias y cumplir obligaciones fiscales. Si después se usan los mismos datos para enviar publicidad, esa finalidad comercial debe aparecer separada y contar con una base jurídica adecuada.

Documentar bien la finalidad evita uno de los errores más habituales: reutilizar datos para objetivos que la persona no esperaba cuando los facilitó.

3. Determine la base jurídica y las categorías de datos

Cada actividad debe apoyarse en una base de legitimación del artículo 6 del RGPD. Las más frecuentes son la ejecución de un contrato, el cumplimiento de una obligación legal, el consentimiento, el interés legítimo y, en algunos casos, una misión realizada en interés público.

El consentimiento no es la respuesta automática para todo. Por ejemplo, no suele ser la base correcta para conservar facturas o elaborar nóminas, porque estas actuaciones derivan de obligaciones contractuales y legales. Usar una base incorrecta debilita toda la documentación de cumplimiento.

También debe indicar qué datos se tratan: identificativos, de contacto, bancarios, laborales, académicos, imágenes o datos de salud, entre otros. Los datos de salud, afiliación sindical, biométricos o relativos a la vida sexual tienen una protección reforzada y requieren especial cautela. Si su actividad los maneja, no conviene improvisar el registro.

4. Identifique destinatarios, encargados y transferencias

El RAT debe reflejar a quién se comunican los datos. Pueden ser administraciones públicas, entidades financieras, aseguradoras, mutuas, clientes o proveedores, según el tratamiento.

También deben identificarse los encargados del tratamiento: proveedores que acceden a datos por cuenta de la empresa. Un proveedor de nóminas, alojamiento web, mantenimiento informático, gestión de correo electrónico o software en la nube puede ser encargado. No basta con anotarlo en el registro: la relación debe estar respaldada por el correspondiente contrato de encargo de tratamiento.

Si los datos se alojan o acceden desde fuera del Espacio Económico Europeo, hay que comprobar si existe una transferencia internacional y qué garantías resultan aplicables. Este punto merece revisión específica, especialmente cuando se contratan herramientas digitales sin analizar sus condiciones.

5. Fije plazos de conservación realistas

Los datos no pueden conservarse indefinidamente por si acaso. En el registro debe constar, cuando sea posible, el plazo previsto para su supresión o los criterios utilizados para determinarlo.

No todos los plazos son iguales. Los datos de clientes pueden mantenerse mientras exista relación contractual y, posteriormente, durante los periodos necesarios para atender responsabilidades legales. Los currículos no deben almacenarse durante años sin una finalidad vigente. Las imágenes de videovigilancia, salvo incidencias concretas, tienen un plazo ordinario especialmente breve.

La clave es que el plazo descrito en el RAT coincida con la práctica. Si el documento indica una conservación de doce meses, pero nadie elimina información desde hace cinco años, el registro evidencia el incumplimiento en lugar de proteger a la empresa.

6. Describa las medidas de seguridad y revise el documento

El RGPD exige aplicar medidas técnicas y organizativas apropiadas al riesgo. En el RAT no siempre es necesario detallar toda la configuración interna de seguridad, pero sí debe quedar constancia de las medidas generales adoptadas.

Entre ellas pueden encontrarse el control de accesos, contraseñas seguras, copias de seguridad, cifrado cuando proceda, gestión de permisos, acuerdos de confidencialidad, formación del personal y protocolos para responder a brechas de seguridad. La medida adecuada depende del volumen de datos, su sensibilidad, los sistemas utilizados y el impacto que tendría un acceso no autorizado.

El registro es un documento vivo. Debe revisarse cuando se abre una nueva línea de negocio, se implanta un programa, se cambia de proveedor, se instalan cámaras, se contrata personal, se activa una campaña comercial o se incorpora un canal interno de información. Revisarlo una vez y olvidarlo no cumple la finalidad del RGPD.

Errores que pueden dejar su RAT sin valor

El error más común es usar una plantilla genérica sin adaptar las actividades al negocio. También son frecuentes las bases jurídicas mal elegidas, la omisión de proveedores tecnológicos, los plazos de conservación ambiguos y la falta de coordinación entre el RAT, las cláusulas informativas, los contratos con encargados y las medidas de seguridad.

Otro fallo relevante consiste en registrar únicamente los datos de clientes. El cumplimiento debe abarcar también a empleados, candidatos, proveedores, contactos comerciales, usuarios de la web y cualquier otra persona física cuyos datos se traten. Si existe videovigilancia o gestión de denuncias internas, esos tratamientos requieren una documentación particularmente cuidada.

Cuándo conviene externalizar la elaboración del registro

Una plantilla puede servir como punto de partida, pero no sustituye un análisis profesional cuando existen datos sensibles, varios centros de trabajo, proveedores tecnológicos, tratamientos de menores, videovigilancia, recursos humanos o servicios prestados a terceros.

Externalizar la adaptación permite revisar el circuito completo: qué datos se recogen, qué información se entrega a las personas, qué contratos deben firmarse, qué medidas deben aplicarse y qué documentación debe mantenerse disponible. Así se evita el coste de corregir deprisa una deficiencia cuando ya existe una reclamación o un requerimiento.

El Registro de Actividades de Tratamiento no debe vivirse como otro papel obligatorio. Bien elaborado, le permite saber qué ocurre con los datos en su negocio, tomar decisiones con criterio y demostrar que su empresa actúa de forma responsable antes de que una incidencia se convierta en un problema económico.