El documento que la AEPD pide primero en cualquier inspección
Cuando la Agencia Española de Protección de Datos inicia una actuación de investigación o una inspección a una empresa, una de las primeras cosas que solicita es el registro de actividades de tratamiento. No es casual. El RAT es el mapa de todo lo que hace una organización con datos personales, y su estado revela rápidamente el nivel real de cumplimiento del RGPD.
Un registro inexistente, incompleto o claramente desactualizado es señal de que el cumplimiento es superficial. Uno bien estructurado demuestra que la organización conoce sus tratamientos, ha evaluado los riesgos y tiene los mecanismos necesarios para responder ante cualquier incidencia.
Qué es el RAT y qué dice el artículo 30 del RGPD
El artículo 30 del RGPD obliga tanto al responsable del tratamiento como al encargado del tratamiento a llevar un registro de las actividades de tratamiento que realizan bajo su responsabilidad.
Para el responsable del tratamiento, el registro debe contener: el nombre y los datos de contacto del responsable y, en su caso, del corresponsable, del representante y del DPO; los fines del tratamiento; una descripción de las categorías de interesados y de las categorías de datos personales; las categorías de destinatarios a quienes se hayan comunicado o vayan a comunicarse los datos; las transferencias internacionales de datos y sus garantías; los plazos previstos de supresión; y una descripción general de las medidas técnicas y organizativas de seguridad.
Para el encargado del tratamiento, el registro incluye los tratamientos realizados por cuenta de cada responsable, las categorías de tratamientos, las transferencias internacionales y las medidas de seguridad aplicadas.
Quién está obligado y quién está exento
El RGPD establece que las empresas con menos de 250 empleados quedan exentas de esta obligación salvo que el tratamiento que realicen entrañe un riesgo para los derechos de los interesados, no sea ocasional, o incluya categorías especiales de datos o datos relacionados con condenas penales.
En la práctica, esta excepción tiene menos alcance del que parece. La mayoría de las empresas, por pequeñas que sean, realizan tratamientos que no son ocasionales: gestionar nóminas, mantener una base de datos de clientes, registrar el historial de compras o atender solicitudes de derechos son actividades continuadas. Eso las obliga a llevar el RAT con independencia de su tamaño.
La AEPD ha dejado claro en varias resoluciones que la excepción de las 250 personas es la excepción, no la regla, y que cualquier empresa que realice tratamientos habituales está obligada. La recomendación práctica es que todas las organizaciones mantengan un RAT actualizado, porque su ausencia nunca favorece la posición de la empresa ante una investigación.
Cómo estructurarlo de forma útil
El artículo 30 lista los campos mínimos obligatorios, pero no dice cómo organizar el registro. En la práctica, la forma más operativa es estructurarlo por actividades de tratamiento, donde cada actividad es una entrada con sus propios campos.
Una actividad de tratamiento es un conjunto coherente de operaciones sobre datos que persiguen una misma finalidad. La gestión de nóminas es una actividad. La atención al cliente es otra. El sistema de videovigilancia, otra. Cada una tiene sus propias categorías de datos, sus propios legitimados, sus propios plazos de conservación y sus propias medidas de seguridad.
Los campos que debe incluir cada entrada del RAT, además de los obligatorios por ley, son los que hacen que el documento sea realmente útil para gestionar el cumplimiento: la base jurídica del tratamiento, la ubicación de los datos (servidor propio, nube, proveedor externo), el nombre del encargado del tratamiento si lo hay con referencia al contrato del artículo 28, y la persona interna responsable de esa actividad.
Los errores más frecuentes en el RAT
El primero es tratar el RAT como un documento estático que se elabora una vez y no se actualiza. El RGPD exige que refleje la realidad actual de los tratamientos. Cuando una empresa contrata un nuevo CRM, implanta un sistema de videovigilancia o lanza una newsletter, el RAT debe actualizarse.
El segundo es un nivel de detalle insuficiente. Un registro que lista “gestión de clientes” como actividad sin especificar qué datos concretos se tratan, qué base jurídica ampara el tratamiento o cuánto tiempo se conservan no cumple el artículo 30 ni sirve como herramienta de gestión.
El tercero es no distinguir entre responsable y encargado. Una empresa puede ser responsable de algunos tratamientos y encargada de otros, y el registro debe reflejar esa distinción. Una gestoría que trata datos de nóminas de sus clientes actúa como encargada respecto a esos datos, y su registro debe diferenciarlo de los tratamientos que realiza como responsable para gestionar su propio negocio.
El cuarto es no incluir los encargados del tratamiento. Cada proveedor que accede a datos personales por cuenta de la empresa debe figurar en el RAT junto al contrato del artículo 28 que ampara ese tratamiento. Sin ese contrato, el tratamiento carece de cobertura legal.
El RAT como herramienta de gestión, no solo de cumplimiento
Las organizaciones que mejor aplican el RGPD no tienen el RAT como documento de cajón que sacan en inspecciones. Lo usan como mapa operativo para responder a derechos de interesados (saber dónde están los datos de una persona concreta), gestionar brechas de seguridad (identificar rápidamente qué tratamientos están afectados), tomar decisiones sobre nuevos proyectos (evaluar si un nuevo tratamiento requiere EIPD) y revisar periódicamente la vigencia de las bases jurídicas y los plazos de conservación.
Un RAT bien mantenido no es más trabajo: es menos trabajo cuando llega una solicitud de derechos o un requerimiento de la AEPD, porque la organización sabe exactamente dónde están sus datos y en qué condiciones los trata.
En Adapta RGPD, el RAT es uno de los documentos centrales de nuestra adaptación al RGPD. Lo elaboramos contigo, lo actualizamos cuando cambian los tratamientos y lo mantenemos alineado con el resto de la documentación de cumplimiento, desde 119€/año.
