Registro de actividades de tratamiento (RAT)
El registro de actividades de tratamiento (RAT), exigido por el artículo 30 del RGPD, es un documento interno donde el responsable (y, en su caso, el encargado) recoge de forma organizada todos los tratamientos de datos personales que realiza su organización.
Qué debe incluir cada tratamiento
| Campo | Contenido |
|---|---|
| Finalidad | Para qué se recogen y usan los datos |
| Categorías de interesados y datos | A quién afecta y qué tipo de datos se tratan |
| Destinatarios | A quién se comunican los datos, si procede |
| Transferencias internacionales | Si existen, con el mecanismo de garantía usado |
| Plazos de conservación | Cuánto tiempo se conservan los datos |
| Medidas de seguridad | Descripción general de las medidas aplicadas |
¿Es obligatorio para cualquier negocio?
Existe una exención parcial para organizaciones de menos de 250 empleados, pero solo aplica si el tratamiento es ocasional, no incluye categorías especiales de datos y no supone un riesgo para los derechos de los interesados. En la práctica, casi cualquier sitio web con formularios, newsletter o cuentas de usuario acaba necesitando el registro.
¿Quién debe mantenerlo actualizado?
El responsable del tratamiento, con frecuencia apoyado por su delegado de protección de datos si lo tiene. Cada vez que incorpores una herramienta nueva que trate datos personales, el registro debe actualizarse para reflejar ese cambio.
¿Debo publicarlo?
No. El RAT es un documento interno, distinto de la política de privacidad que sí es pública. Sin embargo, debe estar disponible para la AEPD si esta lo solicita durante una inspección o investigación.
Ejemplo práctico
Una consultora de tamaño mediano documenta en su registro cada tratamiento: gestión de nóminas, envío de newsletter, atención de consultas por formulario y videovigilancia de sus oficinas, indicando para cada uno la base jurídica, el plazo de conservación y quién tiene acceso a esos datos.
Preguntas frecuentes
¿El RAT sustituye a la política de privacidad? No. Son documentos distintos y complementarios: el RAT es interno y detallado, la política de privacidad es pública y orientada al usuario.
¿En qué formato debe estar el registro? El RGPD no exige un formato concreto; basta con que esté por escrito, incluido en formato electrónico, y disponible para la autoridad de control.
Términos relacionados
Mantener el registro al día es responsabilidad directa del responsable del tratamiento, y en muchas organizaciones recae sobre el delegado de protección de datos.
Dónde verlo aplicado
Revisa nuestra auditoría exprés de la política de privacidad y la guía de cumplimiento RGPD para pequeños negocios, que explica cómo empezar tu propio registro.
Inclúyelo correctamente en tu política de privacidad
Nuestro generador redacta este tipo de cláusulas de forma automática, con corrección jurídica, en pocos minutos.