¿Qué es el registro de actividades de tratamiento?
El registro es un inventario de sus actividades de tratamiento, no de sistemas ni de campos de datos. Una actividad de tratamiento es lo que se hace con datos personales para una finalidad, como la gestión de nóminas o el envío de una newsletter. La mayoría de las organizaciones tienen entre 15 y 60. El registro se lleva por escrito, también en formato electrónico, y se pone a disposición de la autoridad de control (la AEPD en España) cuando lo solicite (artículo 30, apartados 3 y 4).
Las organizaciones con menos de 250 empleados solo están exentas para tratamientos ocasionales, que probablemente no entrañen riesgo para las personas y que no incluyan categorías especiales (artículo 9) ni datos sobre infracciones penales (artículo 10). Las nóminas, la gestión de clientes y los expedientes de personal no son ocasionales, así que en la práctica casi todo empleador lleva un registro para ellos.
Qué debe registrar el responsable
| Artículo 30.1 | Columna del registro | Ejemplo |
|---|---|---|
| a) | Nombre y datos de contacto del responsable, del corresponsable si lo hay, del representante y del delegado de protección de datos (DPD) | Una sola vez, al principio del registro |
| b) | Fines del tratamiento | Pagar las nóminas y cumplir las obligaciones fiscales |
| c) | Categorías de interesados y de datos personales | Empleados; identificación, cuenta bancaria, salario, NIF |
| d) | Categorías de destinatarios, incluidos los de terceros países | Gestoría laboral, Agencia Tributaria, Seguridad Social |
| e) | Transferencias a terceros países y garantía aplicada | Ninguna, o: Estados Unidos, decisión de adecuación |
| f) | Plazos de supresión, cuando sea posible | El plazo que exige la normativa fiscal y después se suprimen |
| g) | Descripción general de las medidas de seguridad (artículo 32) | Acceso solo para RR. HH., doble factor, almacenamiento cifrado |
No lo exige el artículo 30, pero conviene añadir columnas para la base jurídica (artículo 6), el área responsable, el origen de los datos, si hace falta una EIPD y la fecha de la última revisión. La base jurídica la necesita igualmente para la información a los interesados.
El registro del encargado
Si trata datos personales por cuenta de clientes, por ejemplo como proveedor SaaS, gestoría o proveedor de servicios informáticos, el artículo 30.2 exige un registro aparte y más breve:
- nombre y datos de contacto de cada responsable (cliente) por cuenta del que actúa, y de su representante y DPD;
- las categorías de tratamientos que efectúa por cuenta de cada responsable;
- las transferencias a terceros países y la garantía aplicada;
- una descripción general de sus medidas de seguridad.
Muchas organizaciones son ambas cosas: responsables para su personal y sus clientes, encargadas para los datos que sus clientes introducen en su servicio. Lleve los dos registros, bien separados.
Ejemplo: una empresa de 40 empleados
Una empresa de software con 40 empleados, como responsable. Tres de sus actividades de tratamiento:
| Actividad | Finalidad y base jurídica | Interesados y datos | Destinatarios y transferencias | Conservación | Medidas de seguridad |
|---|---|---|---|---|---|
| Nóminas y gestión de personal | Salarios, impuestos y Seguridad Social; contrato y obligación legal (art. 6.1.b y 6.1.c) | Empleados; identificación, contacto, cuenta bancaria, salario, NIF, días de ausencia | Gestoría laboral (encargado), Agencia Tributaria, Seguridad Social; sin transferencias | El plazo que exige la normativa fiscal y laboral | Acceso solo para RR. HH., doble factor, almacenamiento cifrado |
| Atención al cliente | Responder a las consultas de los clientes; contrato (art. 6.1.b) | Contactos de los clientes; nombre, correo, contenido del ticket | Proveedor de helpdesk (encargado), alojado en la UE; sin transferencias | 2 años desde el cierre del ticket | Acceso por roles, registro de actividad |
| Newsletter | Novedades del producto; consentimiento (art. 6.1.a) | Suscriptores; correo, nombre, fecha de alta | Plataforma de envío (encargado); Estados Unidos, decisión de adecuación | Hasta la baja; prueba del consentimiento 3 años | Doble opt-in, acceso solo para marketing |
Plantilla gratuita (CSV)
Dos archivos CSV que se abren en Excel, LibreOffice y Google Sheets: uno para su registro como responsable, con las tres filas de ejemplo, y otro para su registro como encargado. Ponga los datos del responsable y del DPD al principio del documento que comparta.
Errores comunes
- Una fila por sistema («CRM», «SharePoint») en lugar de por finalidad, de modo que finalidades y bases jurídicas quedan imprecisas.
- Conservación «el tiempo necesario» en lugar de un plazo o la norma que lo fija.
- Destinatarios sin los encargados, como proveedores de nube, correo y nóminas.
- Transferencias a proveedores fuera de la UE sin garantía: decisión de adecuación, cláusulas contractuales tipo o normas corporativas vinculantes.
- Un registro hecho una vez en 2018 y nunca revisado desde entonces.
Llevar el registro en Dazr
- Un registro, dos roles: cada actividad de tratamiento recoge el rol (responsable o encargado), finalidades, base jurídica, interesados, categorías de datos, destinatarios, transferencias con su garantía, conservación, medidas de seguridad y origen.
- Se rellena una vez: los datos del responsable, del representante y del DPD se introducen una vez y aparecen en cada exportación.
- Conectado con el resto: las actividades se vinculan a proveedores y a EIPD, y los riesgos de una EIPD al registro de riesgos.
- Exportación: el registro en PDF para la autoridad de control o el auditor, en Excel o CSV para trabajar; cada cambio queda en el registro de actividad.
- Plan: el registro de actividades y las EIPD forman parte de Pro, 99 € al mes, con 14 días de prueba gratuita. Free incluye el registro de brechas de datos con el plazo de 72 horas.
Dazr le ayuda a mantener el registro completo y al día; no elige la base jurídica por usted ni es asesoramiento jurídico.
Fuente: Reglamento (UE) 2016/679 (RGPD), artículo 30, y el documento de posición del Grupo de Trabajo del Artículo 29 sobre el artículo 30.5, de 19 de abril de 2018. Última comprobación: 7 de noviembre de 2026.
Preguntas frecuentes
¿Necesita una pequeña empresa un registro de actividades?
Normalmente sí. La excepción para menos de 250 empleados no cubre los tratamientos habituales, de riesgo o con categorías especiales, y las nóminas y los clientes son tratamientos habituales. La UE ha propuesto modificar este umbral; compruebe si hay una modificación en vigor antes de basarse en ella.
¿Hay una plantilla oficial?
No. El artículo 30 fija el contenido, no el formato. Algunas autoridades de control publican sus propios modelos; una hoja de cálculo o un registro en una herramienta sirve siempre que incluya todos los campos obligatorios.
¿Hay que publicar el registro?
No. Es un documento interno que se muestra a la autoridad de control cuando lo pide. Lo que comunica a los interesados va en la política de privacidad.
¿Cada cuánto hay que actualizarlo?
Cada vez que un tratamiento empieza, cambia o termina, y al menos una vez al año en una revisión completa. Anote la fecha de la última revisión de cada actividad.