01
La respuesta breve
Un registro útil contiene siempre: identidad y datos de contacto del responsable (y del DPO, si lo hay), las finalidades de cada tratamiento, las categorías de interesados y de datos, los destinatarios a quienes se comunican los datos, las eventuales transferencias fuera de la UE con las garantías documentadas, los plazos previstos de supresión y una descripción de las medidas de seguridad aplicadas.
02
Por qué estos elementos y no otros
El RGPD distingue dos registros: el del responsable, que recoge finalidades y destinatarios, y el del encargado, que enumera las categorías de tratamientos realizados por cuenta de cada responsable. Ambos deben llevarse por escrito, también en formato electrónico, y ponerse a disposición de la autoridad de control cuando se solicite. La obligación no se aplica a organizaciones con menos de 250 empleados, salvo que el tratamiento entrañe riesgos, no sea ocasional o afecte a categorías especiales de datos.
03
El procedimiento por roles
Pasos
- El responsable identifica cada actividad de tratamiento y registra sus finalidades, categorías de interesados y de datos.
- El responsable documenta los destinatarios de los datos, incluidos los de terceros países, con las garantías adoptadas.
- El responsable o el DPO estima, cuando sea posible, los plazos de supresión para cada categoría de datos.
- El encargado del tratamiento lleva un registro separado de las categorías de tratamientos realizados por cuenta del responsable.
- El encargado no recurre a otro encargado sin la autorización previa por escrito del responsable, y cada encargo se rige por un contrato que especifica objeto, duración, naturaleza y finalidad del tratamiento.
04
Un caso hipotético
Ejemplo hipotético: una pyme con 180 empleados utiliza un proveedor en la nube externo para la gestión de nóminas. El responsable registra la finalidad (gestión de personal), las categorías de datos (datos retributivos) y el destinatario (el proveedor en la nube). El proveedor, como encargado, lleva su propio registro de las categorías de tratamientos realizados para ese responsable y actúa sobre la base de un contrato escrito que define duración y naturaleza.
05
Comprobaciones antes de considerar el registro completo
- Cada tratamiento tiene indicadas finalidades, categorías de interesados y de datos.
- Los destinatarios, incluidas eventuales organizaciones de terceros países, están enumerados con las garantías documentadas.
- Los plazos de supresión están indicados cuando es posible.
- Las medidas de seguridad técnicas y organizativas se describen en términos generales.
- El registro está por escrito, también en formato electrónico, y listo para mostrarse a la autoridad de control cuando se solicite.
06
Cómo un software puede apoyar este procedimiento
Una empresa puede pedir a su proveedor de software que configure un área dedicada donde se registren, para cada tratamiento, finalidades, categorías de datos y destinatarios, con un campo que registre quién introdujo o modificó cada entrada. Asignar roles distintos a quien completa el registro (el responsable o su delegado) y a quien lo revisa (el DPO, si lo hay) favorece la trazabilidad requerida y facilita mostrar el registro cuando se solicite.
07
Preguntas frecuentes sobre el contenido del registro
El registro del responsable y el del encargado tienen contenidos distintos: el primero se centra en finalidades y destinatarios, el segundo en las categorías de tratamientos realizados por cuenta del responsable.
El umbral de 250 empleados no exime automáticamente de la obligación si el tratamiento presenta riesgos o afecta a categorías especiales de datos.
08
Siguiente paso
Pasos
- Enumere todas las actividades de tratamiento activas en la empresa, una por una.
- Asigne a cada una un responsable interno que se encargue de su actualización.
- Verifique que cada entrada contenga todos los elementos previstos por el artículo 30.
- Planifique una revisión periódica junto con el DPO, si lo hay.
FAQ
Preguntas frecuentes
¿Qué información no puede faltar en un registro de actividades de tratamiento?
Nombre y datos de contacto del responsable, finalidad del tratamiento, categorías de interesados y datos, destinatarios, eventuales transferencias fuera de la UE, plazos de supresión y medidas de seguridad, cuando sea posible indicarlas.
¿El registro del encargado es igual al del responsable?
No: el encargado lleva un registro de las categorías de tratamientos realizados por cuenta de cada responsable, con sus propios datos de contacto y los del responsable, no las mismas entradas detalladas del responsable.
¿Una pyme con menos de 250 empleados está siempre exenta del registro?
No: la exención no se aplica si el tratamiento entraña riesgos para los interesados, no es ocasional o afecta a categorías especiales de datos o a datos sobre condenas penales.
✓