Registro de actividades de tratamiento (art. 30 RGPD): qué es y qué documentos legales necesita tu web

Si tu despacho o tu empresa trata datos personales de clientes, empleados, proveedores o usuarios de una web, el Reglamento (UE) 2016/679 (RGPD) te pide algo más que un aviso de privacidad: te exige poder demostrar qué haces con esos datos. Una de las herramientas centrales para lograrlo es el registro de actividades de tratamiento del artículo 30.

Qué es el registro de actividades de tratamiento

Es un documento, en papel o electrónico, que describe de forma ordenada todos los tratamientos de datos personales que realiza una organización. No es un trámite que se presente ante la autoridad: es una pieza interna que debe estar disponible y actualizada para cuando la Agencia Española de Protección de Datos (AEPD) u otra autoridad de control la solicite.

Lo deben llevar los responsables del tratamiento y, con su propio contenido, también los encargados del tratamiento (art. 30.2). La Ley Orgánica 3/2018 (LOPDGDD) completa el marco en España.

¿Y si tengo menos de 250 empleados?

El RGPD prevé una exención para organizaciones de menos de 250 trabajadores, pero con condiciones que en la práctica la vacían de contenido: no se aplica si el tratamiento puede entrañar un riesgo para los derechos de las personas, si no es ocasional o si incluye categorías especiales de datos o datos sobre condenas e infracciones penales. Cualquier despacho que gestione nóminas, expedientes de clientes o una base de contactos de forma habitual queda dentro de la obligación.

Qué debe contener, según el artículo 30.1

• Identidad y contacto del responsable (y, en su caso, corresponsable, representante y delegado de protección de datos).
• Finalidades del tratamiento.
• Categorías de interesados y de datos personales tratados.
• Categorías de destinatarios, incluidos los de terceros países u organizaciones internacionales.
• Transferencias internacionales y las garantías aplicadas, cuando las haya.
• Plazos previstos de supresión de las distintas categorías de datos, cuando sea posible.
• Descripción general de las medidas técnicas y organizativas de seguridad (art. 32.1).

Cómo elaborarlo paso a paso

1. Inventaría los tratamientos. Recorre cada área (clientes, recursos humanos, facturación, marketing, web) y anota qué datos se recogen y para qué.
2. Identifica la base jurídica de cada uno (contrato, obligación legal, interés legítimo, consentimiento…). No figura como campo obligatorio del art. 30, pero te hará falta para tu política de privacidad.
3. Anota los terceros: gestorías, proveedores de hosting, herramientas de correo o de analítica. Con los que actúan como encargados necesitas el contrato del artículo 28.
4. Define plazos de conservación coherentes con las obligaciones legales aplicables a tu actividad.
5. Describe las medidas de seguridad de forma general: control de accesos, copias de seguridad, cifrado, formación del personal.
6. Asigna un responsable de mantenerlo y fija una revisión periódica y cada vez que cambie un tratamiento.

Los documentos legales que debe mostrar tu web

El registro es interno, pero de él se alimentan los textos públicos de tu sitio. Como mínimo conviene revisar estos:

• Aviso legal: los datos de identificación del prestador que exige la Ley 34/2002 (LSSI-CE) para los servicios de la sociedad de la información.
• Política de privacidad: la información de los artículos 13 y 14 del RGPD (identidad, finalidades, base jurídica, destinatarios, transferencias, plazos, derechos y derecho a reclamar ante la autoridad).
• Política de cookies: obligatoria si usas cookies o tecnologías similares no exentas, con el consentimiento que exige la LSSI-CE.
• Condiciones de contratación, si vendes productos o servicios online.

Errores habituales

• Copiar el registro de otra empresa sin adaptarlo a tus tratamientos reales.
• Redactarlo una vez y no actualizarlo: un registro que no refleja la realidad no sirve como prueba de cumplimiento.
• Una política de privacidad que dice cosas distintas a las del registro.
• Olvidar los tratamientos “invisibles”: videovigilancia, canal de denuncias, formularios de contacto o herramientas de analítica.

Mantener todo coherente

El mayor riesgo no es no tenerlo, sino que cada texto cuente una historia diferente. Centralizar los documentos legales, versionarlos y servirlos desde un único punto —lo que hace una plataforma como LegalCloud— ayuda a que web, política de privacidad y registro hablen de lo mismo y a conservar el historial de cambios.

Puedes consultar el texto íntegro del reglamento en EUR-Lex y las guías y modelos de la AEPD en aepd.es. Este artículo es informativo y no sustituye el asesoramiento jurídico para tu caso concreto.