GDPR – Registros de Actividades de Tratamiento

El Reglamento General de Protección de Datos obliga, según el Art. 30 del RGPD, a la documentación escrita y al resumen de los procedimientos mediante los cuales se procesan los datos personales. Los registros de las actividades de procesamiento deben incluir información significativa sobre el procesamiento de datos, incluidas las categorías de datos, el grupo de interesados, el propósito del procesamiento y los destinatarios de los datos. Esto debe estar completamente disponible para las autoridades a petición.

La obligación de crear registros de las actividades de tratamiento no solo se impone al responsable del tratamiento y a su representante, sino también directamente al encargado del tratamiento y sus representantes, tal como se establece en el Art. 30(2) del RGPD. En cambio, las empresas o instituciones con menos de 250 empleados están exentas de llevar un registro, si el tratamiento no es probable que suponga un riesgo para los derechos y libertades del interesado, si no se procesan categorías especiales de datos o si el tratamiento se realiza solo ocasionalmente, como se indica en el Art. 30(5) RGPD. En la práctica, esta exención rara vez es aplicable. Aparte de las dificultades que surgen durante la interpretación de lo que se considera «solo ocasional», en la mayoría de las empresas, incluso con una interpretación amplia del término, los datos se procesarán sin ambigüedades de manera regular, incluyendo el tratamiento de datos para el sitio web, su tienda en línea, cálculo de salario o sistemas de CRM. Cabe señalar que la obligación de documentación y, por lo tanto, los registros de las actividades de tratamiento serán un enfoque de las inspecciones de las autoridades sobre la implementación del Reglamento de Protección de Datos.

Si una empresa no mantiene registros de las actividades de procesamiento y/o no proporciona un índice completo a las autoridades, está sujeta a multas según el Art. 83(4)(a) del RGPD. Las posibles multas pueden ser de hasta 10 millones de euros o el 2% de su facturación anual. Este total es, por regla general, evaluado solamente por las autoridades en casos excepcionales. Para esto, se alienta a las autoridades, como se establece en el considerando 13, a “tener en cuenta las necesidades específicas de las microempresas, pequeñas y medianas empresas en la aplicación de este Reglamento.”