El registro de actividades de tratamiento (RAT) es el inventario de los datos personales que trata una organización: para cada actividad, la finalidad, la base jurídica, las categorías de datos y de interesados, los destinatarios, las transferencias internacionales, la conservación y las medidas de seguridad. El artículo 30 del RGPD lo exige a responsables y encargados, y la LGPD de Brasil prevé un deber similar (art. 37). Es la base de la EIPD y de la atención de derechos.
Cómo usar
- Indica la organización, su rol (responsable o encargado) y el canal del delegado de protección de datos.
- Agrega una fila por actividad de tratamiento, con finalidad, base jurídica y categorías de datos e interesados.
- Completa destinatarios, transferencia internacional, conservación y medidas de seguridad.
- Lee la revisión de completitud y los avisos, y corrige lo que falta.
- Exporta en CSV para mantener la hoja de cálculo o en DOCX para circular y aprobar.
Qué pide cada campo
| Campo | Qué completar |
|---|---|
| Organización | Nombre del responsable o del encargado que lleva el registro. |
| Rol de la organización | El responsable decide sobre el tratamiento; el encargado trata datos por cuenta de otro. |
| Delegado de protección de datos y canal de contacto | Cargo o función y un canal, nunca datos personales innecesarios. |
| Actividad | Ej.: inscripción de estudiantes |
| Finalidad | Ej.: inscribir estudiantes y cobrar las cuotas |
| Base jurídica | |
| Categorías de datos | Ej.: nombre, correo electrónico, datos de pago |
| Interesados | Ej.: estudiantes |
| Destinatarios | Ej.: procesador de pagos (encargado) |
| Transferencia internacional | |
| Conservación | Ej.: 5 años después del fin del contrato |
| Medidas de seguridad | Ej.: cifrado y acceso por perfil |
Ejemplo
Una escuela de idiomas en línea ficticia registra tres actividades: inscripción de estudiantes (contrato), boletín por correo electrónico (consentimiento) y análisis de uso de la plataforma (interés legítimo). La herramienta muestra 3 actividades, 2 completas y una completitud del 67%. El análisis de uso queda marcado porque falta la conservación, recibe el aviso para registrar la evaluación de interés legítimo y la alerta de transferencia internacional sin garantía definida.
Cuándo usar
- Al iniciar el programa de privacidad, como primer inventario de datos personales.
- Antes de una EIPD, para saber qué actividades tienen mayor riesgo.
- Cuando la autoridad, un cliente o una auditoría pide el registro de actividades.
- En la revisión anual, o cuando cambia un sistema, un proveedor o una finalidad.
Preguntas frecuentes
¿El registro de actividades de tratamiento es obligatorio?
Sí. El artículo 30 del RGPD exige a responsables y encargados llevar un registro de actividades de tratamiento y ponerlo a disposición de la autoridad de control cuando lo solicite. La excepción para organizaciones pequeñas es limitada, como se explica más abajo.
¿Qué debe contener el registro?
Para el responsable: nombre y datos de contacto del responsable y del delegado, finalidades, categorías de interesados y de datos, categorías de destinatarios, transferencias internacionales y garantías, plazos de supresión y, cuando sea posible, una descripción general de las medidas de seguridad. Muchas organizaciones también registran la base jurídica.
¿En qué se diferencia el registro del encargado?
El responsable registra sus propias actividades y finalidades. El encargado registra las categorías de tratamientos que realiza por cuenta de cada responsable, con transferencias y medidas de seguridad. Una organización puede ser ambas cosas y llevar los dos registros.
¿Las empresas pequeñas están exentas?
La excepción del RGPD para menos de 250 empleados (art. 30.5) no se aplica cuando el tratamiento puede entrañar un riesgo, no es ocasional o incluye categorías especiales o datos penales, lo que en la práctica alcanza a casi todas. La LGPD de Brasil prevé un registro simplificado para agentes pequeños, no una exención.
¿Por qué la herramienta avisa sobre el interés legítimo?
El interés legítimo exige una prueba de ponderación documentada, la evaluación de interés legítimo (LIA), que muestre la finalidad, la necesidad y el equilibrio con las expectativas razonables de los interesados. El selector de base jurídica te ayuda a armarla.
¿El resultado es asesoría legal?
No. Es una herramienta educativa que ordena el registro y señala vacíos. Revisa el contenido con el delegado de protección de datos y con la asesoría jurídica, y verifica las normas vigentes antes de adoptarlo.
¿Qué certificación de DPCert cubre el registro de actividades?
La DPAI (Data Protection & AI Professional) evalúa las herramientas de responsabilidad proactiva, entre ellas el registro de actividades de tratamiento y la EIPD, además de las bases jurídicas y los derechos de los interesados.