Registro de Actividades de Tratamiento — España

El Registro de Actividades de Tratamiento es, en España, el documento de registro regulado por Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD), que deja constancia ordenada de datos o actos.

El Artículo 30.1 del RGPD especifica el contenido obligatorio del RAT para los responsables del tratamiento — nombre y datos de contacto de la organización, nombre y datos de contacto del Delegado de Protección de Datos (DPD) cuando proceda, las finalidades de cada actividad de tratamiento, una descripción de las categorías de interesados y datos personales, las categorías de destinatarios a quienes se comunican o pueden comunicarse los datos personales, los detalles de las transferencias a terceros países y las garantías aplicadas, los plazos de supresión, y una descripción general de las medidas técnicas y organizativas de seguridad. El Artículo 30.2 especifica el contenido equivalente para los encargados del tratamiento — los mismos elementos adaptados a su función, más la identificación de los responsables en cuyo nombre tratan los datos.

La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) complementa el RGPD en España con especificaciones nacionales. La AEPD ha publicado una extensa orientación sobre la elaboración del RAT, incluida una herramienta de registro modelo (Facilita RGPD para pymes y la herramienta RAT detallada para organizaciones más grandes) disponible en el sitio web de la AEPD en aepd.es. La AEPD también mantiene el Registro de Actividades del Sector Público (RASP) — un registro público de las actividades de tratamiento realizadas por las autoridades públicas españolas, previsto en el Artículo 31 de la LOPDGDD además de la obligación general del Artículo 30 del RGPD.

La exención del Artículo 30.5 del RGPD — que permite a las organizaciones con menos de 250 empleados no mantener un RAT completo — es muy restrictiva: se aplica únicamente a aquellas cuyo tratamiento de datos personales no sea probable que entrañe riesgos para los derechos y libertades de los interesados, sea ocasional y no incluya categorías especiales de datos del Artículo 9 del RGPD ni datos relativos a condenas penales. En la práctica, casi todas las empresas españolas — con independencia de su tamaño — deben mantener un RAT porque su tratamiento de datos de RRHH de empleados, datos de clientes o datos de marketing implica regularmente un tratamiento no ocasional que puede presentar riesgos. La AEPD ha confirmado que la exención de los 250 empleados no debe interpretarse de forma amplia.

El RAT debe mantenerse por escrito (en papel o en formato electrónico) y debe ponerse a disposición de la AEPD cuando lo solicite conforme al Artículo 30.4 del RGPD. La AEPD puede solicitar el RAT durante una auditoría proactiva, en respuesta a una reclamación de un interesado, o como parte de una investigación formal tras una violación de la seguridad de los datos personales. El incumplimiento de la obligación de mantener un RAT conforme o de aportarlo a la AEPD cuando lo solicite constituye una infracción del Artículo 30 del RGPD, sancionable conforme al Artículo 83.4 del RGPD con multas de hasta 10.000.000 euros o el 2 % del volumen de negocio anual total a nivel mundial, si fuera superior. En la práctica, la AEPD centra sus investigaciones en las infracciones sustantivas de protección de datos más que en los fallos de documentación procedimental, pero la ausencia o inadecuación del RAT agrava significativamente la situación jurídica de una organización que sufre una brecha de seguridad.

El RAT debe mantenerse actualizado — toda nueva actividad de tratamiento, cambio en los plazos de conservación de datos, nueva relación con un encargado o nueva transferencia de datos debe reflejarse en el RAT con prontitud. El Artículo 5.1(e) del RGPD exige minimización de datos y limitación del plazo de conservación — el RAT es el mecanismo a través del cual se implementan y documentan estos principios, convirtiéndolo a la vez en registro de cumplimiento y herramienta operativa para la gestión del ciclo de vida de los datos.

El Registro de Actividades de Tratamiento en España es necesario para prácticamente toda organización en España que trate datos personales — el Artículo 30 del RGPD es aplicable desde el primer día en que la organización comienza a tratar datos personales, con independencia de si cuenta con un programa formal de protección de datos.

El RAT es necesario cuando una organización contrata a su primer empleado — desde ese momento, trata datos de RRHH (expedientes laborales, datos de nómina, datos de Seguridad Social, datos de salud para bajas médicas) que deben documentarse como actividad de tratamiento. La LOPDGDD y el ET imponen requisitos adicionales de documentación para el tratamiento de datos de RRHH que quedan recogidos en el RAT.

El RAT es necesario cuando una empresa lanza un sitio web con formulario de contacto, seguimiento de cookies o suscripción a boletín informativo — cada uno de ellos crea una actividad de tratamiento de datos personales (recogida de direcciones de correo electrónico, direcciones IP, datos de navegación) que debe registrarse en el RAT con su base jurídica, plazo de conservación y medidas de seguridad.

El Registro de Actividades de Tratamiento es necesario antes de implementar cualquier nueva tecnología que trate datos personales — un sistema de gestión de relaciones con clientes (CRM), una plataforma de contabilidad con datos de clientes, un sistema de gestión de RRHH o un sistema de videovigilancia. La entrada en el RAT debe crearse como parte del proceso de Evaluación de Impacto en la Protección de Datos (EIPD) exigido por el Artículo 35 del RGPD para tratamientos de alto riesgo.

El RAT es necesario antes de compartir datos personales con proveedores de servicios terceros (encargados del tratamiento) — proveedores de computación en la nube, gestorías de nóminas, agencias de marketing, empresas de soporte informático. Para cada proveedor es obligatorio un contrato de encargo del tratamiento conforme al Artículo 28 del RGPD, y el RAT documenta la relación.

El RAT es necesario cuando una organización recibe una notificación de inspección de la AEPD, una solicitud de acceso de un interesado o una obligación de notificación de brecha de seguridad conforme al Artículo 33 del RGPD — en cada caso, el RAT es el documento de referencia principal para demostrar el cumplimiento.

El Registro de Actividades de Tratamiento también es necesario al incorporar nuevos encargados del tratamiento conforme al Artículo 28 del Reglamento (UE) 2016/679 — cada nueva relación con un encargado debe reflejarse en el registro como nueva actividad de tratamiento o como actualización de una existente, con referencia al contrato de encargo del tratamiento. La AEPD puede solicitar el registro completo y todos los contratos de encargo asociados durante una inspección conforme al Artículo 57.1(h) del RGPD, y las discrepancias entre el registro y las actividades de tratamiento reales se citan con frecuencia como infracciones en los informes de inspección de la AEPD.

Un Registro de Actividades de Tratamiento conforme en España bajo el Artículo 30 del RGPD debe contener los siguientes elementos obligatorios para cada actividad de tratamiento, complementados por las orientaciones de la AEPD sobre buenas prácticas.

Identidad del responsable/encargado del tratamiento: nombre y datos de contacto de la organización (responsable o encargado del tratamiento), incluido su NIF, domicilio social y los datos de contacto del Delegado de Protección de Datos (DPD) cuando sea exigido por el Artículo 37 del RGPD — las organizaciones que traten categorías especiales de datos, realicen seguimiento masivo o actúen como autoridades públicas deben designar un DPD. El nombre, correo electrónico y teléfono del DPD deben incluirse en el RAT y comunicarse a la AEPD conforme al Artículo 34 de la LOPDGDD.

Nombre y descripción de la actividad de tratamiento: nombre y descripción clara de cada actividad de tratamiento — por ejemplo, «Gestión de expedientes de RRHH de empleados», «Gestión de facturación y cobros a clientes», «Analítica web y seguimiento de cookies», «Videovigilancia de las instalaciones de la empresa». Cada finalidad diferenciada debe tener una entrada separada en el RAT.

Finalidad(es) del tratamiento: declaración específica y explícita de por qué se tratan los datos personales para cada actividad — por ejemplo, «Cumplimiento de las obligaciones derivadas del contrato de trabajo conforme al Artículo 8 ET», «Gestión de la facturación a clientes y cumplimiento fiscal ante la AEAT», «Comunicaciones comerciales a clientes que han dado su consentimiento». La finalidad debe corresponderse con una de las bases jurídicas del Artículo 6.1 del RGPD.

Base jurídica: la base jurídica específica del Artículo 6 del RGPD para cada actividad de tratamiento — consentimiento conforme al Artículo 6.1(a), ejecución de un contrato conforme al Artículo 6.1(b), obligación legal conforme al Artículo 6.1(c), intereses vitales conforme al Artículo 6.1(d), misión de interés público conforme al Artículo 6.1(e), o intereses legítimos conforme al Artículo 6.1(f). Para categorías especiales de datos (datos de salud, datos biométricos, afiliación sindical, etc.) debe citarse la base adicional del Artículo 9.2.

Categorías de interesados y datos personales: los tipos de personas cuyos datos se tratan (empleados, clientes, proveedores, visitantes del sitio web, personas captadas por cámaras de videovigilancia) y las categorías de datos personales (nombres, direcciones de correo electrónico, datos financieros, datos de salud, datos de localización). Esta matriz debe ser específica — «datos personales» es demasiado vago; deben identificarse todas las categorías de datos.

Destinatarios y transferencias: las categorías de destinatarios a quienes se comunican los datos personales — departamentos internos, empresas filiales, autoridades tributarias (AEAT), inspectores de trabajo (ITSS), entidades financieras, agencias de marketing, proveedores de TI. Para las transferencias fuera de la UE/EEE (a terceros países u organizaciones internacionales), debe indicarse el mecanismo de transferencia — decisión de adecuación, Cláusulas Contractuales Tipo (CCT), Normas Corporativas Vinculantes (NCV) u otra garantía del Artículo 46.

Plazos de conservación: el plazo de conservación específico para cada categoría de datos dentro de cada actividad de tratamiento — por ejemplo, «Expedientes de empleo: durante la relación laboral + 4 años por prescripción laboral + 5 años de Seguridad Social»; «Datos de facturación a clientes: 5 años conforme al plazo de prescripción tributaria del Artículo 66 LGT»; «Consentimiento de marketing: hasta su revocación + 3 años». Los plazos de conservación deben ajustarse a los mínimos y máximos legales aplicables a cada categoría de datos conforme al Derecho español (ET, LGT, LOPDGDD, Ley de Prevención de Riesgos Laborales, etc.).

Medidas técnicas y organizativas de seguridad: descripción de las medidas de seguridad aplicadas a cada actividad de tratamiento — cifrado, seudonimización, controles de acceso, procedimientos de copia de seguridad, formación del personal, medidas de seguridad de red y seguridad física para los documentos en papel. El nivel de detalle debe ser proporcional al perfil de riesgo de la actividad de tratamiento.

Forms-legal.com ofrece este modelo de Registro de Actividades de Tratamiento para España como marco de partida. Toda organización debe personalizar el RAT para reflejar sus actividades de tratamiento específicas y revisarlo al menos anualmente, o siempre que se produzca un cambio significativo en el tratamiento. Un Delegado de Protección de Datos (DPD) cualificado o un consultor externo en protección de datos debe revisar el RAT completado para verificar su conformidad con las orientaciones actuales de la AEPD.

Autoridades y referencias clave en materia de protección de datos en España: AEPD (Agencia Española de Protección de Datos) — autoridad supervisora nacional. Facilita RGPD — herramienta gratuita en línea de la AEPD para la elaboración del RAT en pymes. Artículo 30 RGPD — obligación del RAT. Artículo 31 LOPDGDD — obligaciones adicionales del sector público. Artículo 83.4 RGPD — sanciones por infracciones del RAT. La plataforma forms-legal.com ofrece esta plantilla adaptada a la legislación española vigente para facilitar la elaboración de este documento con todas las garantías legales.