Inicio/Protección de datos/Registro de actividades
Registro de actividades de tratamiento
Es el documento central del cumplimiento en protección de datos y el primero que solicita la Agencia cuando abre una actuación. Su ausencia constituye por sí misma una infracción y, además, revela que el resto del cumplimiento probablemente tampoco existe.
Contenido de cada tratamiento
- Responsable y, en su caso, corresponsable, representante y delegado de protección de datos, con sus datos de contacto.
- Fines del tratamiento, descritos con precisión y no en términos genéricos.
- Categorías de interesados y de datos personales tratados.
- Categorías de destinatarios a quienes se comunican o se comunicarán los datos.
- Transferencias internacionales, con identificación del país u organización y de las garantías aplicadas.
- Plazos de supresión previstos para cada categoría de datos.
- Descripción general de las medidas técnicas y organizativas de seguridad.
Aunque el artículo 30 no la exige literalmente, incluir la base jurídica de cada tratamiento convierte el registro en una herramienta útil y en la mejor prueba de análisis previo. Es práctica recomendada por las autoridades de control.
Tratamientos que casi siempre faltan
| Tratamiento | Por qué se olvida |
|---|---|
| Candidatos y procesos de selección | Se gestiona informalmente por correo |
| Videovigilancia | Se considera seguridad, no tratamiento de datos |
| Control de accesos y presencia | Se ve como asunto de recursos humanos |
| Canal de denuncias | Se implanta desde compliance sin coordinar con datos |
| Contactos comerciales y CRM | Se asume incluido en clientes |
| Grabación de llamadas | Se hereda del sistema telefónico |
| Datos de contacto de proveedores | Se consideran datos de empresa |
| Datos de salud por bajas o prevención | Se gestionan a través de terceros |
Quién está obligado
La obligación alcanza a responsables y encargados, con una excepción para organizaciones de menos de doscientos cincuenta empleados que decae —y por tanto no exime— cuando el tratamiento puede entrañar un riesgo para los derechos y libertades, no es ocasional o incluye categorías especiales de datos o datos relativos a condenas e infracciones penales. Como prácticamente cualquier empresa con plantilla trata datos de forma no ocasional, en la práctica la excepción casi nunca se aplica.
Mantenimiento
El registro debe mantenerse actualizado, lo que exige un procedimiento sencillo: cualquier tratamiento nuevo —una herramienta que se contrata, un canal de captación que se abre, una cámara que se instala— pasa por una comprobación previa antes de ponerse en marcha. Ese control de entrada es más eficaz que revisar el registro una vez al año intentando recordar qué ha cambiado.
Esta página describe el marco general vigente en España y no sustituye al análisis del caso concreto. La normativa mercantil, laboral, penal y de protección de datos se modifica con frecuencia, y existen especialidades sectoriales y autonómicas: antes de tomar decisiones conviene verificar la redacción vigente de las normas citadas. Consúltenos su caso.
Sobre el registro de actividades
¿Hay que presentarlo en algún sitio?
No se presenta ni se inscribe: se mantiene y se pone a disposición de la autoridad de control cuando esta lo solicite. La antigua obligación de notificar ficheros desapareció con el RGPD y fue sustituida precisamente por esta obligación de documentación interna. Lo que sí conviene es tenerlo en un formato que se pueda entregar de inmediato, porque el plazo de respuesta a un requerimiento es corto.
¿Vale una plantilla descargada?
Como estructura, sí; como contenido, no. El registro debe describir los tratamientos que hace esa empresa concreta, con sus finalidades, sus proveedores y sus plazos. Un registro genérico que menciona tratamientos inexistentes y omite los reales no cumple la obligación y, además, es una prueba en contra: acredita que se conocía la exigencia y se resolvió con un documento vacío.
¿Y si somos encargados de tratamiento de nuestros clientes?
Entonces hay que llevar además el registro de las categorías de actividades realizadas por cuenta de cada responsable, con su contenido específico: identificación de los responsables, categorías de tratamientos efectuados, transferencias internacionales y descripción de las medidas de seguridad. Es habitual en empresas tecnológicas, gestorías, agencias y proveedores de servicios que manejan datos de terceros.
¿Quién controla hoy las obligaciones legales de su empresa?
Si la respuesta es «cada uno un poco» o «el despacho, cuando le llamamos», hay riesgo acumulado que nadie está midiendo. Cuéntenos cómo está organizada su empresa y le devolvemos un diagnóstico con lo que falta, lo que está desactualizado, lo que puede sancionarse y en qué orden conviene resolverlo, con una propuesta de honorarios cerrada.