Una plantilla de registro de actividades de tratamiento debe describir las operaciones reales de la organización, no reproducir una lista genérica de documentos. El artículo 30 RGPD distingue el registro del responsable del tratamiento y el del encargado, con contenidos diferentes. Ambos constan por escrito, incluido el formato electrónico, y deben ponerse a disposición de la autoridad de control cuando los solicite. La obligación no exige un producto concreto ni una tabla con una apariencia determinada.
Esta guía ofrece dos estructuras adaptables y ejemplos ficticios de nóminas, clientes y videovigilancia. La explicación permite identificar qué información es mínima legal, qué campos adicionales resultan útiles y qué cuestiones necesitan una decisión propia. Las fichas no legitiman automáticamente los tratamientos que describen. El resultado buscado es un registro comprensible, actualizado y conectado con las personas capaces de confirmar que sus datos reflejan la actividad real.
Determine el papel antes de rellenar la ficha
El responsable decide fines y medios del tratamiento; el encargado trata datos por cuenta del responsable. Una gestoría puede ser responsable de su administración interna y encargada de ciertas operaciones que realiza para clientes. El nombre del sector o del contrato no decide por sí solo todos los papeles. Examine cada operación y utilice la distinción entre responsable y encargado para evitar que una ficha atribuya a una entidad decisiones que corresponden a otra.
El registro del responsable recoge sus actividades, sus finalidades y las demás circunstancias exigidas por el artículo 30.1. El del encargado identifica a cada responsable por cuya cuenta actúa y las categorías de actividades correspondientes. No basta con escribir «servicios a clientes» si no permite comprender para quién y qué se hace. Una organización con ambos papeles puede gestionarlos en un mismo sistema, siempre que pueda distinguirlos y obtener la información pertinente sin confundir responsabilidades.
El concepto y obligaciones del registro sitúa la ficha dentro del programa de cumplimiento. El RAT no es una lista de todas las personas cuyos datos conserva ni un catálogo de cada archivo. Describe actividades y categorías. La minimización de datos también importa aquí: incorporar nombres, historiales o documentos personales reales donde basta una categoría aumenta el riesgo y dificulta la lectura. Mantenga fuera del registro los detalles individuales que no sean necesarios para esa finalidad.
Aplique la excepción de pequeñas organizaciones por actividad
El artículo 30.5 contempla una excepción para empresas u organizaciones que emplean a menos de 250 personas. No se aplica a las actividades que puedan entrañar un riesgo para derechos y libertades, no sean ocasionales o incluyan categorías especiales del artículo 9 o datos relativos a condenas e infracciones penales del artículo 10. Las condiciones son alternativas: una sola puede bastar para que la actividad pertinente deba figurar en el registro.
Por tanto, una pequeña empresa que gestiona habitualmente nóminas no queda exenta de registrar ese tratamiento por tener pocos empleados. Tampoco debe concluirse sin más que cualquier actividad ocasional distinta tiene idéntica situación. La posición del Grupo del Artículo 29 respaldada por el CEPD explica el análisis referido a las actividades afectadas. Documente el motivo si pretende aplicar la excepción, en lugar de marcar una exclusión global por tamaño.
El registro puede seguir siendo una herramienta organizativa útil para otras actividades, pero distinga recomendación y obligación. No necesita afirmar que toda pyme está obligada sin excepción para justificar un inventario proporcionado. La checklist de cumplimiento en España ayuda a relacionar este trabajo con las demás medidas exigibles. La exención de un registro concreto no elimina principios, derechos, seguridad u otras obligaciones aplicables al tratamiento.
Identifique los mínimos y los campos adicionales
Para el responsable, el artículo 30.1 incluye identidad y contactos de las partes correspondientes, finalidades, categorías de personas y datos, destinatarios y transferencias. Cuando sea posible, deben constar los plazos previstos de supresión por categorías y una descripción general de medidas de seguridad. «Cuando sea posible» es una cualificación del texto legal, no una invitación a dejar vacíos esos apartados sin analizar qué información está disponible y puede documentarse.
La base jurídica no aparece como campo general expreso del artículo 30.1. Es útil incorporarla o enlazar su análisis porque la organización debe justificar la licitud conforme a otras disposiciones. Lo mismo sucede con el responsable interno de actualización, la fecha de revisión o las referencias a contratos. Señalar cuáles son campos de gestión evita atribuir al artículo 30 requisitos que no contiene y permite adaptar la estructura sin perder los mínimos.
En España existe una precisión adicional: el artículo 31.2 LOPDGDD exige a los sujetos enumerados en su artículo 77.1 publicar electrónicamente un inventario con la información del artículo 30 y su base legal. No se trata de una obligación de publicación para toda empresa privada ni de publicar todos los anexos internos. Analice si la entidad está incluida y prepare una vista que cumpla esa obligación sin exponer información personal o técnica ajena a su finalidad.
Plantilla para el responsable del tratamiento
Use una ficha por actividad delimitada de forma comprensible. Puede agrupar operaciones relacionadas si la descripción conserva las diferencias relevantes de fines, personas, destinatarios y conservación. No hay una regla universal que obligue a una fila por aplicación o por base jurídica. El criterio es poder entender y verificar el tratamiento. Las referencias a otros documentos deben permitir localizar la versión pertinente, no remitir a una carpeta indefinida.
REGISTRO DEL RESPONSABLE — ARTÍCULO 30.1 RGPD
Actividad e identificador: [nombre y referencia]
Identificación y contacto
- Responsable: [denominación y datos de contacto].
- Corresponsable(s), si procede: [identidad y contacto].
- Representante, si procede: [identidad y contacto].
- Delegado de protección de datos, si procede: [nombre y contacto].
Contenido mínimo
- Finalidad(es): [descripción concreta].
- Categorías de personas: [categorías pertinentes].
- Categorías de datos: [descripción; identificar artículos 9/10].
- Categorías de destinatarios: [incluidos los de terceros países
u organizaciones internacionales].
- Transferencias: [si existen, identificar país u organización;
documentar garantías adecuadas para el supuesto del artículo 49.1,
párrafo segundo, cuando resulte aplicable].
- Plazos previstos de supresión por categorías, cuando sea posible:
[plazo, acontecimiento inicial y diferenciación necesaria].
- Descripción general de medidas técnicas y organizativas de seguridad,
cuando sea posible: [medidas/referencia accesible y pertinente].
Campos adicionales de gestión
- Base jurídica del artículo 6 y justificación: [análisis/referencia].
- Condición adicional de artículos 9/10, si procede: [fundamento].
- Proveedores, sistemas y documentos relacionados: [referencias].
- Mecanismo y documentación de transferencias del capítulo V:
[identificación y evidencia según el caso].
- Persona que mantiene la ficha; fuente y fecha de validación.
- Cambios pendientes, versión e historial.
[Para el inventario público del artículo 31.2 LOPDGDD, incluir
la base legal exigida y preparar la publicación pertinente.]
Plantilla para el encargado del tratamiento
El artículo 30.2 no reproduce todos los campos del responsable. Recoge la identidad y los contactos de los encargados y de cada responsable correspondiente, las categorías de actividades realizadas por cuenta de cada uno, las transferencias y, cuando sea posible, las medidas generales de seguridad. Puede añadir detalles operativos si son útiles, pero no debe reemplazar las instrucciones del responsable por decisiones propias sobre nuevas finalidades.
REGISTRO DEL ENCARGADO — ARTÍCULO 30.2 RGPD
Encargado o encargados: [nombre y datos de contacto]
Representante del encargado, si procede: [identidad y contacto]
Delegado de protección de datos, si procede: [nombre y contacto]
Por cada responsable por cuya cuenta se actúa:
- Responsable: [nombre y datos de contacto].
- Representante del responsable, si procede: [identidad y contacto].
- Categorías de actividades realizadas por su cuenta: [descripción].
- Transferencias a terceros países u organizaciones internacionales:
[identificación; documentación de garantías adecuadas si corresponde
al artículo 49.1, párrafo segundo].
- Descripción general de medidas técnicas y organizativas de seguridad,
cuando sea posible: [descripción o referencia pertinente].
Información adicional útil:
- Servicio, contrato u otro acto jurídico vinculante e instrucciones.
- Subencargados y operaciones pertinentes; documentación relacionada.
- Mecanismo y evidencia adicional de transferencias del capítulo V.
- Contacto operativo, versión y responsable de actualización.
Una asesoría o gestoría debe organizar las referencias de modo que un cliente no pueda acceder al registro de otro. Si utiliza una estructura común para servicios equivalentes, mantenga identificada la relación con cada responsable y las particularidades relevantes. Un modelo compartido facilita la descripción, pero no demuestra que todos los clientes tengan las mismas transferencias, instrucciones o medidas.
Ejemplo ficticio de nóminas: separe obligaciones y datos necesarios
La gestión salarial puede implicar una relación contractual y obligaciones legales laborales, fiscales y de Seguridad Social. La ficha debe vincular cada finalidad con el fundamento aplicable, sin presentar una lista de normas como autorización para recoger cualquier dato. El contrato laboral con el empleado tampoco sirve por sí solo como base contractual para información de familiares u otras personas. Determine la necesidad y la habilitación de cada conjunto relevante.
Cuando se traten datos de salud u otras categorías especiales, además de la base del artículo 6 debe identificarse una condición del artículo 9.2 y cumplir sus requisitos. El contexto laboral puede hacer relevante la letra b cuando el tratamiento sea necesario para obligaciones o derechos en ese ámbito y esté autorizado en los términos allí previstos, con garantías adecuadas. No incorpore diagnósticos completos al registro ni al proceso salarial simplemente porque exista una ausencia por enfermedad.
EJEMPLO FICTICIO — GESTIÓN SALARIAL
Responsable: Empresa Ejemplo [completar identidad/contactos comunes].
Finalidades: cálculo y pago de remuneraciones; cumplimiento de
obligaciones laborales, fiscales y de Seguridad Social pertinentes.
Personas: empleados; otras categorías solo si existe necesidad y base.
Datos: identificación, relación laboral y remuneración; circunstancias
legalmente necesarias, con evaluación específica de categorías especiales.
Destinatarios: categorías de autoridades y entidades pertinentes;
prestador de nóminas cuando actúe como encargado.
Transferencias: [confirmar servicio, soporte y subencargados; no asumir].
Supresión: [diferenciar categorías, obligación aplicable y comienzo
del plazo; completar tras revisión, sin regla única de cuatro años].
Seguridad: acceso por funciones, protección de intercambios y medidas
apropiadas verificadas en el servicio.
Gestión adicional: bases del artículo 6 por finalidad; condición del
artículo 9 cuando proceda; referencias a normas y contratos concretos.
Los plazos no deben copiarse de otra organización sin comprobar qué documento y obligación regulan. Nóminas, justificantes fiscales, cotizaciones y expedientes distintos pueden requerir análisis diferentes. La limitación de la conservación ayuda a separar utilización ordinaria, conservación legal y bloqueo cuando resulte exigible. El registro debe mostrar cómo se aplica la decisión por categorías, no prometer la misma destrucción automática para todo el archivo laboral.
Ejemplo ficticio de clientes: no mezcle contrato y publicidad
Describa qué hace la organización para entregar el producto o prestar el servicio. El artículo 6.1.b exige necesidad para un contrato con la persona interesada o actuaciones previas solicitadas por ella. No justifica cualquier analítica ni se aplica automáticamente al contacto de una empresa cliente. Las bases de legitimación deben evaluarse según la relación y la finalidad, aunque todos los datos estén en la misma aplicación comercial.
La facturación puede tener obligaciones legales propias y la publicidad reglas adicionales según el canal. Por ello, no añada «marketing: interés legítimo con baja» como habilitación universal en la ficha de clientes. Identifique la finalidad diferenciada y sus condiciones. Si existe una lista de exclusión para respetar una oposición, describa ese uso limitado y evite que se reutilice para campañas. Una base de datos única puede contener varios tratamientos que requieren explicaciones diferentes.
EJEMPLO FICTICIO — PRESTACIÓN A CLIENTES
Responsable y contactos: [datos comunes de Empresa Ejemplo].
Finalidades: gestionar pedidos/servicios y atención vinculada;
separar obligaciones de facturación y cualquier marketing.
Personas: clientes individuales y, cuando corresponda, contactos
profesionales con evaluación de su situación propia.
Datos: identificación, contacto y datos necesarios del pedido/pago.
Destinatarios: categorías de prestadores y otros destinatarios,
con roles comprobados; no calificar a todos como encargados.
Transferencias: [países, entidades y documentación aplicable].
Supresión: [categorías y plazos previstos; relación contractual,
obligaciones legales o reclamaciones concretamente evaluadas].
Seguridad: accesos limitados, transmisión y conservación protegidas.
Gestión adicional: artículo 6.1.b solo en el ámbito contractual
necesario correspondiente; otras finalidades con fundamento propio.
Pida al área comercial que confirme qué información solicita realmente y al área técnica qué herramientas la reciben. Un proveedor de pagos o un transportista no tiene siempre el mismo papel en todas sus operaciones. La ficha debe basarse en la relación concreta. Una descripción demasiado genérica puede ocultar destinatarios o transferencias, mientras que una enumeración exhaustiva de personas individuales suele ser innecesaria para este registro de categorías.
Ejemplo ficticio de videovigilancia: aplique la regla española correcta
Para cámaras destinadas a preservar la seguridad de personas, bienes e instalaciones, el artículo 22 LOPDGDD establece condiciones específicas. La ficha debe explicar finalidad, zona captada y personas afectadas, sin convertir «seguridad» en autorización para cualquier observación. La evaluación de necesidad y proporcionalidad, información y accesos sigue siendo imprescindible. Un cartel informativo no es una medida que impida por sí sola una exportación indebida de imágenes.
El artículo 22.3 exige suprimir las imágenes en un máximo de un mes desde su captación, salvo conservación para acreditar actos contra la integridad de personas, bienes o instalaciones. En ese supuesto, deben ponerse a disposición de la autoridad competente en un máximo de 72 horas desde que se conozca la existencia de la grabación. No se aplica a esos tratamientos la obligación de bloqueo del artículo 32 LOPDGDD. Esas 72 horas tienen un objeto distinto de la notificación de brechas del RGPD.
EJEMPLO FICTICIO — CÁMARAS PARA SEGURIDAD DE UNA INSTALACIÓN
Responsable y contactos: [datos comunes de Empresa Ejemplo].
Finalidad: preservar seguridad de personas, bienes e instalaciones.
Personas y datos: visitantes y personal en la zona delimitada; imágenes.
Destinatarios: categorías pertinentes, incluida autoridad competente
cuando corresponda; acceso del proveedor según su función efectiva.
Transferencias: [comprobar alojamiento y accesos].
Supresión: duración necesaria dentro del máximo de un mes; excepción
del artículo 22.3 para los actos allí descritos y puesta a disposición
de la autoridad en 72 horas desde conocimiento de la grabación.
No aplicar el bloqueo del artículo 32 a este tratamiento del artículo 22.
Seguridad: acceso restringido, control de extracción y protección
de almacenamiento; información a personas como obligación separada.
Gestión adicional: fundamento y proporcionalidad documentados;
condiciones pendientes antes de iniciar el sistema.
El ejemplo no determina una base jurídica idéntica para cualquier cámara pública o privada. Tampoco incluye sin análisis nuevas funciones como reconocimiento facial, grabación de sonido o control de rendimiento laboral. Si cambia la finalidad o la tecnología, debe revisarse el tratamiento y sus requisitos. Una conservación inferior al máximo puede ser suficiente; el mes es un límite legal, no un periodo que deba utilizarse íntegramente por defecto.
Documente transferencias y seguridad de forma utilizable
Identifique terceros países u organizaciones internacionales cuando existan transferencias. El artículo 30 menciona específicamente la documentación de garantías adecuadas para el supuesto del artículo 49.1, párrafo segundo. Eso no elimina la obligación de contar con el mecanismo y evidencia exigibles para otras transferencias conforme al capítulo V. Puede enlazar esa documentación desde la ficha, conservando el contexto suficiente para comprender a qué operación corresponde.
La descripción general de seguridad no debe limitarse a «cumplimos el RGPD», pero tampoco necesita publicar contraseñas o detalles que faciliten ataques. Explique medidas apropiadas al tratamiento o remita a una referencia accesible y vigente. Diferencie la medida prevista de la aplicada y verificada. Si un proveedor participa en ella, confirme el alcance real en lugar de copiar todas las funciones anunciadas comercialmente como si estuvieran activadas.
Mantenga la ficha conectada con los cambios reales
Recoja información de las áreas y contraste documentos con la práctica. Un cambio de finalidad, datos, destinatarios, proveedor, transferencia o conservación puede requerir actualizar una ficha existente; no se revisa solo al crear actividades nuevas. Designe quién comunica cambios y quién valida su significado. Una revisión periódica puede complementar el circuito, pero el artículo 30 no fija una revisión anual universal para todas las organizaciones.
Cuando haya delegado designado, el artículo 31.1 LOPDGDD exige comunicarle cualquier adición, modificación o exclusión del registro. Distinga esa comunicación del mantenimiento material de la ficha y de la responsabilidad jurídica sobre el tratamiento. Conserve una versión o un historial suficiente para explicar modificaciones relevantes. No sustituya el contenido anterior sin control cuando necesite justificar cómo era la actividad en el momento de una decisión o un incidente.
La auditoría RGPD puede contrastar una muestra de fichas con contratos, sistemas y prácticas. Si aumenta la dificultad de mantener relaciones o versiones, evalúe software para el registro de tratamientos con casos reales de trabajo. La visión general del software de cumplimiento ayuda a situar esa compra. Ninguna herramienta corrige por sí sola una finalidad imprecisa o una información que nadie ha comprobado.
Preguntas frecuentes
¿Puedo usar una hoja de cálculo?
Sí. El artículo 30 exige forma escrita, también electrónica, sin imponer una aplicación concreta. Proteja accesos, identifique la versión vigente y asegure actualización y disponibilidad. La decisión tecnológica debe basarse en cómo trabaja la organización; no existe una cifra legal de actividades que invalide automáticamente una hoja.
¿La plantilla cubre responsable y encargado?
Incluye estructuras separadas porque sus contenidos legales son distintos. Complete la que corresponda a cada operación y ambas si actúa con los dos papeles. Los ejemplos de nóminas, clientes y cámaras ilustran fichas del responsable y no reemplazan el registro de categorías de actividades que deba mantener un prestador por cuenta de sus clientes.
¿Una empresa de menos de 250 personas está exenta?
Solo puede aplicar la excepción a las actividades que cumplan sus condiciones. No alcanza las no ocasionales, las que puedan entrañar riesgo ni las que incluyan datos de los artículos 9 o 10. Analice el tratamiento pertinente y conserve la explicación; el tamaño por sí solo no resuelve la obligación ni elimina otras exigencias del RGPD.