¿Están exentas las empresas de menos de 250 personas?

En la práctica casi nunca. La excepción del artículo 30.5 del RGPD no se aplica si el tratamiento no es ocasional, y gestionar nóminas o clientela es un tratamiento habitual. Por eso la gran mayoría de pymes y autónomos con personal o clientela deben tenerlo.

¿Tiene que estar en un formato concreto?

No. Debe constar por escrito, también en formato electrónico, y estar a disposición de la AEPD si lo solicita. Lo importante es que esté completo y actualizado.

¿Cada cuánto hay que revisarlo?

La norma no fija una periodicidad, pero debe reflejar la realidad en todo momento. Una revisión anual, y cada vez que cambie un tratamiento o un proveedor, es una buena práctica.

Registro de actividades de tratamiento: cómo revisarlo

Mujer revisando en el ordenador archivos de datos protegidos

Lo importante en breve

El registro de actividades es obligatorio según el artículo 30 del RGPD.
Es lo primero que suele pedir la AEPD en una inspección.
Cada nueva herramienta o proveedor puede exigir actualizarlo.

El artículo 30 del Reglamento General de Protección de Datos (RGPD) obliga a las organizaciones a llevar un registro de las actividades de tratamiento que realizan. Es el documento que la Agencia Española de Protección de Datos (AEPD) suele pedir en primer lugar cuando inicia una inspección.

Qué debe recoger

Nombre y datos de contacto de la persona responsable y, si existe, de la persona delegada de protección de datos.
Finalidades de cada tratamiento (nóminas, clientela, videovigilancia, marketing...).
Categorías de personas interesadas y de datos personales.
Destinatarios, incluidas las transferencias internacionales.
Plazos de conservación previstos.
Descripción general de las medidas de seguridad.

Por qué revisarlo ahora

Durante el año es habitual incorporar nuevas herramientas (programas de gestión, plataformas de correo, asistentes de IA, sistemas de fichaje) o cambiar de gestoría. Cada cambio puede suponer un nuevo tratamiento o un nuevo encargado del tratamiento que debe figurar en el registro y contar con su contrato.

Lista rápida de comprobación

¿Están todas las herramientas que tratan datos personales?
¿Tienes firmado el contrato de encargo con cada proveedor?
¿Los plazos de conservación son realistas y se cumplen?
¿La información que das a clientela y plantilla coincide con lo que de verdad haces?

A quién afecta

Empresas, autónomos y entidades que tratan datos personales de clientela, plantilla o socios.

Qué conviene hacer

Revisar el registro, añadir nuevos tratamientos y proveedores y comprobar que hay contrato con cada encargado del tratamiento.

Preguntas frecuentes

¿Están exentas las empresas de menos de 250 personas?: En la práctica casi nunca. La excepción del artículo 30.5 del RGPD no se aplica si el tratamiento no es ocasional, y gestionar nóminas o clientela es un tratamiento habitual. Por eso la gran mayoría de pymes y autónomos con personal o clientela deben tenerlo.
¿Tiene que estar en un formato concreto?: No. Debe constar por escrito, también en formato electrónico, y estar a disposición de la AEPD si lo solicita. Lo importante es que esté completo y actualizado.
¿Cada cuánto hay que revisarlo?: La norma no fija una periodicidad, pero debe reflejar la realidad en todo momento. Una revisión anual, y cada vez que cambie un tratamiento o un proveedor, es una buena práctica.