Registro de actividades de tratamiento: qué es y por qué también lo necesita tu negocio

"Eso es para empresas grandes." Es lo que más se oye. El RGPD, en cambio, dice algo distinto, y la AEPD suele pedir este documento lo primero cuando abre una inspección.

Qué es

Es una lista de todo lo que haces con datos personales en tu negocio: clientes, proveedores, empleados, candidatos, huéspedes, contactos de la web. Para cada actividad, qué datos tratas, para qué, a quién los comunicas y cuánto tiempo los guardas.

¿Y si tengo menos de 250 empleados?

El artículo 30 del RGPD exime a las empresas de menos de 250 trabajadores, pero con excepciones que en la práctica lo anulan para casi todos. La exención no vale si el tratamiento no es ocasional, si puede suponer riesgo para las personas o si incluye datos sensibles. Llevar nóminas, tener una cartera de clientes o hacer facturas ya es un tratamiento habitual. Así que, si tienes un negocio normal, lo necesitas.

Qué tiene que incluir cada actividad

• Nombre de la actividad, por ejemplo "gestión de clientes" o "nóminas".
• Finalidad: para qué usas los datos.
• Qué personas afectan (clientes, empleados) y qué datos tratas de ellas.
• A quién los comunicas: gestoría, banco, aseguradora, software.
• Si hay transferencias fuera de la Unión Europea.
• Plazos de conservación.
• Medidas de seguridad.

Para qué sirve de verdad

No es solo burocracia. Cuando lo rellenas por primera vez, descubres cosas: datos que guardas sin necesidad, un proveedor al que mandas información sin contrato, un fichero de Excel con datos de clientes en un portátil sin contraseña. Ordena el resto de tu cumplimiento.

Qué pasa si no lo tienes

Es una infracción por sí sola, sancionable según el nivel que establece el RGPD, y además deja sin base cualquier otra defensa. Si la AEPD te lo pide y no existe, empiezas con mal pie.

Cómo mantenerlo vivo

Revísalo una vez al año y cada vez que empieces a usar un programa nuevo, contrates a alguien o abras un servicio. Un registro de 2022 que no menciona tu CRM de hoy no sirve.

En Guardián de Datos lo elaboramos contigo en una sesión y lo dejamos adaptado a tu actividad.