El registro de actividades de tratamiento es el documento por el que empieza cualquier inspección de protección de datos. No porque sea el más importante, sino porque es el más fácil de pedir: «enséñeme su registro». Si no existe, la conversación empieza mal; si existe y está bien, demuestras que sabes qué datos manejas.
La buena noticia es que en una pyme cabe en un folio y medio, y se hace en una tarde.
Qué es exactamente
Es un inventario de qué datos personales tratas, para qué y con qué reglas. Lo exige el artículo 30 del Reglamento. La excepción para empresas de menos de 250 empleados existe, pero se cae en cuanto el tratamiento no es ocasional, entraña riesgo o incluye categorías especiales, que es prácticamente cualquier empresa con clientes y empleados. En la práctica: asume que te aplica.
Qué debe contener cada ficha
| Campo | Ejemplo real |
|---|---|
| Nombre del tratamiento | «Gestión de clientes y facturación» |
| Responsable y contacto | Razón social, NIF, dirección y correo de contacto |
| Finalidad | Prestar el servicio contratado y cumplir obligaciones fiscales |
| Base jurídica | Ejecución de contrato; obligación legal para la parte fiscal |
| Categorías de interesados | Clientes y personas de contacto de clientes |
| Categorías de datos | Identificativos, de contacto, económicos de facturación |
| Destinatarios | Asesoría fiscal, entidad bancaria, plataforma de facturación |
| Transferencias internacionales | Sí/No; si las hay, con qué garantía |
| Plazo de conservación | Durante la relación y, después, los plazos fiscales aplicables |
| Medidas de seguridad | Referencia a tus medidas técnicas y organizativas |
Los tratamientos que tiene casi cualquier pyme
Empieza por esta lista y quita lo que no aplique:
- Clientes y facturación.
- Proveedores y contactos profesionales.
- Recursos humanos: nóminas, contratos, control horario.
- Candidatos, si recibes currículos (con su plazo de conservación, que suele olvidarse).
- Contactos web: formulario de contacto y presupuestos: qué texto y qué casilla.
- Comunicaciones comerciales, si tienes lista de correo: lo que exigen la LSSI y el RGPD.
- Videovigilancia, si tienes cámaras.
- Analítica web, si usas herramientas que identifican o perfilan: el caso de Analytics en España.
- Tienda online, si vendes: pedidos, pagos y envíos.
Cómo hacerlo en una tarde
1. Sigue el rastro del dato, no el organigrama
Pregunta por dónde entran los datos: formulario de la web, teléfono, correo, hoja de pedido en papel, el TPV. Cada entrada suele corresponder a un tratamiento.
2. Mira las herramientas que usas
Cada programa que guarda datos de personas es una pista: el gestor de correo, el CRM, la plataforma de facturación, el plugin de formularios, la copia de seguridad. Si no sabes qué plugins tratan datos en tu web, empieza por el inventario de plugins.
3. Anota los destinatarios de verdad
La asesoría, el hosting, la plataforma de correo comercial, la empresa de mensajería. Todos ellos son encargados del tratamiento y necesitan su contrato. El registro te sirve para descubrir con cuántos no lo tienes firmado.
4. Pon plazos concretos
«El tiempo necesario» no es un plazo. Escribe el criterio: duración de la relación más los años de prescripción aplicables; currículos, un año salvo consentimiento para más; grabaciones de cámara, el plazo legalmente previsto.
5. Fecha y responsable
Un registro sin fecha de última revisión parece abandonado. Revísalo al menos una vez al año y cada vez que cambies una herramienta o lances un servicio nuevo.
Formato: vale una hoja de cálculo. No hace falta ninguna plataforma. Lo que importa es que esté completo, actualizado y que puedas entregarlo si te lo piden.
Errores que vemos a menudo
- Copiar una plantilla genérica sin adaptarla: aparecen tratamientos que no haces y faltan los que sí.
- Olvidar los datos de empleados, que suelen ser los más sensibles de la casa.
- No incluir la web: formularios, cookies, analítica y área de clientes también tratan datos.
- Confundir base jurídica con finalidad. «Enviar ofertas» es finalidad; la base es consentimiento o interés legítimo, según el caso.
- Dejarlo congelado tres años mientras la empresa cambia de herramientas cada seis meses.
Para qué te sirve además del cumplimiento
El registro es la base de todo lo demás y por eso merece la pena hacerlo bien:
- Te dice a quién avisar y qué datos hay en juego si un día tienes una brecha: notificación en 72 horas.
- Te permite responder a un derecho de acceso o supresión sin improvisar: cómo responder.
- Te enseña qué proveedores tocan tus datos, que es también un mapa de riesgo técnico.
- Es la referencia para decidir qué medidas de seguridad son apropiadas: no proteges igual una lista de correo que una base de datos de historiales.
La Agencia publica plantillas y una herramienta gratuita de ayuda para pymes en su web. Empieza por ahí antes de contratar nada.
Seguir leyendo en esta sección
- Tu hosting y tu agencia son encargados del tratamiento: qué significa eso para ti
- ¿Necesita mi empresa un Delegado de Protección de Datos?
- Google Analytics 4 y RGPD en España: cómo usarlo sin quedarte expuesto
- Normativa de protección de datos y ciberseguridad para pymes: qué te obliga de verdad en España
- Qué son las medidas de seguridad apropiadas del RGPD, traducidas a una pyme
- Formulario de contacto y RGPD: qué casilla, qué texto y qué tienes que guardar
Ver todo en RGPD y protección de datos → · Mapa completo del sitio