Registro de actividades de tratamiento: qué elementos lo hacen realmente útil

01

Qué debe contener el registro

• Nombre y datos de contacto del responsable del tratamiento, del corresponsable, del representante y del delegado de protección de datos, cuando corresponda
• Las finalidades del tratamiento
• Categorías de interesados y categorías de datos personales tratados
• Categorías de destinatarios, incluidos los de terceros países u organizaciones internacionales
• Transferencias fuera de la UE, plazos de supresión y medidas de seguridad, cuando sea posible

02

Quién debe mantenerlo y en qué forma

La obligación afecta tanto al responsable del tratamiento como al encargado, quien mantiene un registro de las categorías de actividades realizadas por cuenta del responsable. Ambos registros deben mantenerse por escrito, incluso en formato electrónico.

Las obligaciones no se aplican a empresas con menos de 250 empleados, a menos que el tratamiento pueda entrañar un riesgo para los derechos de los interesados, no sea ocasional o incluya categorías especiales de datos o condenas penales.

03

Cómo construir el registro paso a paso

Pasos

1. Enumerar al responsable, corresponsable, representante y delegado de protección de datos con sus datos de contacto
2. Documentar cada finalidad de tratamiento por separado
3. Describir las categorías de interesados y de datos para cada finalidad
4. Indicar los destinatarios y las transferencias a terceros países, con las garantías adecuadas
5. Añadir, cuando sea posible, los plazos de supresión y las medidas de seguridad técnicas y organizativas

04

Ejemplo hipotético

Hipótesis: una empresa con más de 250 empleados registra el tratamiento de los datos del personal para la gestión de nóminas. En el registro se indica la finalidad, las categorías de empleados implicados, el proveedor externo de nóminas como destinatario y la transferencia de datos a un proveedor de nube fuera de la UE con las garantías correspondientes.

Si la gestión de nóminas se encarga a un encargado externo, el contrato especifica el objeto y la duración del tratamiento, su naturaleza y finalidad, el tipo de datos y las categorías de interesados, así como las obligaciones y derechos del responsable.

05

Verificación antes de considerarlo completo

• El nombre y los datos de contacto del responsable, del representante y del delegado de protección de datos están presentes
• Cada finalidad de tratamiento está documentada individualmente
• Las categorías de interesados, datos, destinatarios y transferencias están indicadas
• El registro está en forma escrita o electrónica y listo para la autoridad de control
• Los contratos con encargados externos contienen los elementos requeridos

06

Qué se puede configurar en un software de gestión

Una empresa puede pedir a su socio de software que configure campos dedicados al responsable, las finalidades, las categorías de datos, los destinatarios y las transferencias, para mantener la información siempre actualizada y consultable.

Es útil definir roles distintos para quienes introducen las entradas del registro y quienes las revisan, con un historial de cambios en el tiempo, para poder mostrar el registro a solicitud de la autoridad competente.

07

Preguntas frecuentes sobre el registro

¿El registro es solo para grandes empresas? No: se aplica a responsables y encargados, con una exención limitada para organizaciones con menos de 250 empleados si el tratamiento no es riesgoso u ocasional.

¿Basta un archivo electrónico? Sí, la forma escrita, incluso electrónica, está expresamente permitida por el reglamento.

¿Qué ocurre si falta un elemento como los plazos de supresión? El reglamento exige estos datos 'cuando sea posible', por lo que deben incluirse cuando estén disponibles.

08

Siguiente paso práctico

Revise su registro actual comparándolo con los elementos enumerados en este artículo y compruebe que cada finalidad de tratamiento tenga una entrada completa y actualizada.