- Los responsables y encargados del tratamiento o, en su caso, sus representantes deberán mantener el registro de actividades de tratamiento al que se refiere el artículo 30 del Reglamento (UE) 2016/679, salvo que sea de aplicación la excepción prevista en su apartado 5.
El registro, que podrá organizarse en torno a conjuntos estructurados de datos, deberá especificar, según sus finalidades, las actividades de tratamiento llevadas a cabo y las demás circunstancias establecidas en el citado reglamento.
Cuando el responsable o el encargado del tratamiento hubieran designado un delegado de protección de datos deberán comunicarle cualquier adición, modificación o exclusión en el contenido del registro.
- Los sujetos enumerados en el artículo 77.1 de esta ley orgánica harán público un inventario de sus actividades de tratamiento accesible por medios electrónicos en el que constará la información establecida en el artículo 30 del Reglamento (UE) 2016/679 y su base legal.
1. ¿Qué es el Registro de Actividades de Tratamiento?
El registro de actividades de tratamiento es un documento, electrónico o físico, donde se detallan todas las actividades de tratamiento de datos personales que realiza una organización. Debe contener información específica sobre cada tratamiento, lo que permite a las autoridades de protección de datos (como la Agencia Española de Protección de Datos, AEPD) verificar el cumplimiento de la normativa.
2. ¿Quiénes están obligados a llevar este registro?
- Responsables del tratamiento: Toda organización (empresa, administración pública, ONG, etc.) que determine los fines y medios del tratamiento de datos personales está obligada a llevar un registro de actividades de tratamiento.
- Encargados del tratamiento: Las organizaciones que tratan datos personales en nombre de un responsable (como proveedores de servicios) también deben mantener un registro de las actividades de tratamiento que realizan.
Excepciones:
- Las organizaciones con menos de 250 empleados están exentas de llevar este registro, salvo que:
- El tratamiento de datos pueda suponer un riesgo para los derechos y libertades de los interesados.
- El tratamiento no sea ocasional.
- Se traten categorías especiales de datos (como datos de salud, ideología, etc.) o datos relativos a condenas e infracciones penales.
3. Contenido del Registro de Actividades de Tratamiento
El contenido del registro debe incluir al menos la siguiente información:
Para el Responsable del Tratamiento:
- Nombre y datos de contacto del responsable y, en su caso, del representante y del delegado de protección de datos.
- Finalidad del tratamiento: Una descripción clara de los fines para los cuales se tratan los datos.
- Categorías de interesados y de datos personales tratados: Especificar los grupos de personas cuyos datos se tratan (clientes, empleados, usuarios, etc.) y el tipo de datos (nombre, dirección, datos bancarios, etc.).
- Categorías de destinatarios a quienes se comunicarán los datos personales, incluidos destinatarios en terceros países u organizaciones internacionales.
- Transferencias internacionales de datos: Indicar si se transfieren datos a un tercer país u organización internacional y la documentación que justifica dicha transferencia (como cláusulas contractuales tipo o decisiones de adecuación).
- Plazos previstos para la supresión de las distintas categorías de datos.
- Descripción general de las medidas técnicas y organizativas de seguridad aplicadas para proteger los datos personales.
Para el Encargado del Tratamiento:
- Nombre y datos de contacto del encargado del tratamiento y, en su caso, del responsable del tratamiento, del representante y del delegado de protección de datos.
- Categorías de tratamientos realizados por cuenta de cada responsable.
- Transferencias internacionales de datos.
- Descripción general de las medidas de seguridad técnicas y organizativas.
4. Importancia del Registro de Actividades de Tratamiento
- Transparencia: Ayuda a garantizar que se informa a los interesados sobre cómo se tratan sus datos.
- Cumplimiento normativo: Facilita la supervisión por parte de las autoridades de protección de datos y demuestra que la organización cumple con las obligaciones impuestas por la normativa de protección de datos.
- Gestión de riesgos: Permite identificar y gestionar los riesgos asociados al tratamiento de datos personales.
- Auditorías: Es una herramienta clave en las auditorías de protección de datos, facilitando la identificación de posibles áreas de mejora o incumplimientos.
5. Consecuencias del Incumplimiento
No llevar un registro de actividades de tratamiento o hacerlo de manera incorrecta puede suponer sanciones por parte de la AEPD, ya que se considera una infracción del RGPD. Las sanciones pueden ser económicas y, en casos graves, pueden afectar a la reputación de la organización.