Elegir software para el registro de actividades de tratamiento exige comprobar cómo se mantiene la información, quién la revisa y qué se puede presentar cuando hace falta. El artículo 30 RGPD permite un registro escrito, incluido el formato electrónico; no obliga a comprar una aplicación ni establece un número de actividades a partir del cual una hoja de cálculo deje de ser válida. La herramienta adecuada depende de la complejidad, los cambios, los permisos y la capacidad real del equipo.
Esta guía convierte esos factores en una evaluación práctica. El resultado es un conjunto de casos de demostración y criterios de aceptación para comparar una hoja controlada, una ayuda oficial o una plataforma comercial. La explicación jurídica del registro resuelve qué obligación corresponde; aquí el objetivo es comprobar si la solución elegida permite cumplirla y mantener evidencia fiable sin crear trabajo o datos innecesarios.
Compruebe qué registros necesita mantener
El artículo 30 RGPD distingue el registro del responsable y el del encargado. El primero describe las actividades bajo responsabilidad de la organización. El segundo recoge las categorías de actividades realizadas por cuenta de cada responsable. Una empresa puede actuar con ambos papeles en operaciones diferentes. Un sistema que mezcla los dos sin identificar para quién se trata la información puede producir un documento confuso aunque todos los campos estén cumplimentados.
La excepción para organizaciones con menos de 250 empleados se examina por las actividades pertinentes. No permite omitir las que no sean ocasionales, puedan entrañar un riesgo para los derechos y libertades o incluyan categorías especiales del artículo 9 o datos relativos a condenas e infracciones penales del artículo 10. Basta una de esas circunstancias para excluir la excepción respecto del tratamiento correspondiente. Ni la plantilla reducida exime automáticamente de registrar ni esa regla convierte toda actividad de cualquier pequeña empresa en idéntica.
En España, el artículo 31 LOPDGDD confirma esa remisión y añade una obligación operativa: si se ha designado un delegado de protección de datos, deben comunicársele las adiciones, modificaciones y exclusiones del registro. Además, los sujetos enumerados en su artículo 77.1 deben publicar electrónicamente un inventario con la información del artículo 30 y su base legal. No confunda ese inventario público con dar acceso público a toda la herramienta interna.
Separe contenido legal y campos de gestión
Para el responsable, el artículo 30.1 exige identificar y aportar contactos de las partes correspondientes, incluidos corresponsable, representante y delegado cuando proceda; describir finalidades, categorías de personas y datos, destinatarios y transferencias. También exige, cuando sea posible, plazos previstos de supresión por categorías y una descripción general de medidas de seguridad. La documentación de garantías que menciona expresamente la letra e se refiere a las transferencias del artículo 49.1, párrafo segundo. Otros mecanismos necesitan su propia documentación bajo el capítulo V.
Para el encargado, el registro identifica al propio encargado, a cada responsable por cuya cuenta actúa y, cuando proceda, representantes y delegado. Recoge las categorías de tratamientos por responsable, las transferencias con las precisiones legales y, cuando sea posible, la descripción general de medidas. El diseño debe permitir obtener cada vista sin copiar indebidamente los datos de otro cliente. La distinción entre responsable y encargado ayuda a preparar los casos de uso.
La base jurídica, el propietario interno de la ficha, la fecha de revisión y los enlaces a contratos son campos de gestión muy útiles, pero no todos aparecen literalmente como campos generales del artículo 30. Mantenga esa distinción en los formularios y las validaciones. La publicación exigida por el artículo 31.2 LOPDGDD sí incluye la base legal. Una aplicación no debería presentar un campo voluntario como una obligación universal ni ocultar un requisito aplicable a ciertos usuarios.
Identifique el problema de su hoja de cálculo
Una hoja puede tener control de versiones, validación, permisos y responsables definidos según el entorno utilizado. No es correcto afirmar que carece siempre de historial o que tiene coste cero. Examine el proceso concreto: cuántas copias circulan, cómo se resuelven cambios simultáneos y quién sabe cuál es la versión vigente. La comparación útil empieza por una dificultad observable, no por atribuir ventajas o defectos inevitables a un formato de archivo.
Por ejemplo, una empresa con pocas actividades puede tener relaciones complejas con proveedores y varias sedes. Otra con más fichas puede mantenerlas de manera estable y controlada. Pregunte cuánto tiempo requiere actualizar una relación compartida y cómo se descubre una incoherencia. El umbral relevante no es una cifra inventada de tratamientos, sino la capacidad de sostener la calidad y demostrar qué versión refleja la realidad.
Antes de comprar, observe una actualización completa. Registre qué personas intervienen, dónde obtienen los datos y qué verifican. Si nadie conoce la finalidad o la conservación, trasladar la ficha a otra pantalla no resolverá esa ausencia. La metodología de auditoría RGPD puede ayudar a distinguir defectos de información, de responsabilidad y de funcionamiento. Cada uno necesita una respuesta distinta dentro del proyecto.
Utilice un conjunto representativo para la demostración
Prepare actividades ficticias que reproduzcan sus principales dificultades: una propia, otra realizada por cuenta de un cliente y una compartida entre varias unidades con responsables jurídicos diferenciados. Incluya una transferencia que requiera análisis y un plazo que dependa de un acontecimiento. Aplique la minimización de datos: no entregue expedientes reales si la misma evaluación puede hacerse con ejemplos. Así podrá contrastar estructura y comportamiento sin multiplicar copias de datos personales durante la compra.
Pida que el proveedor cree, revise y exporte esas fichas. Observe si las categorías están claramente descritas, si las relaciones conservan su sentido y si puede diferenciarse una información confirmada de una pendiente. Un formulario que obliga a elegir una respuesta definitiva cuando todavía faltan datos puede generar una apariencia de cumplimiento engañosa. Es preferible conservar una cuestión abierta con responsable y seguimiento a inventar una conclusión para superar una validación.
Compruebe los cambios posteriores. Modifique un proveedor relacionado con dos actividades y observe qué se actualiza, qué se propone y qué requiere aprobación. La propagación automática puede ahorrar trabajo mecánico, pero no debe cambiar sin revisión una base jurídica o una decisión de riesgo. Solicite evidencia del funcionamiento ofrecido y de sus límites; no presuponga que toda herramienta especializada incorpora relaciones, alertas o generación documental de la misma manera.
Examine permisos, revisión y trazabilidad
Los permisos deben reflejar el trabajo real. Un responsable de área puede aportar información sin necesitar acceso a expedientes de otras unidades. Una asesoría puede mantener registros de varios clientes sin que estos vean documentación ajena. Pida una demostración con usuarios limitados, incluidos exportación y búsqueda. El aislamiento entre organizaciones debe verificarse también en enlaces, anexos y resultados, no solo en el listado principal.
La trazabilidad útil explica quién cambió qué información, cuándo y con qué motivo o aprobación. No basta con un indicador de «última modificación» si una conclusión importante ha sido sustituida. Determine qué historial necesita conservar para reconstruir decisiones y cuánto tiempo resulta justificado. Las cuentas compartidas o las correcciones masivas sin explicación pueden destruir ese valor aunque la aplicación guarde técnicamente muchas versiones.
Compruebe cómo se comunica un cambio al delegado cuando procede la obligación española. Un correo automático puede servir de apoyo, pero debe llegar a la persona correcta y permitir entender la modificación. Defina también quién resuelve observaciones y cuándo puede considerarse una ficha revisada. La aplicación facilita el circuito; no decide por sí misma que una discrepancia jurídica ha quedado resuelta ni traslada la responsabilidad al delegado.
Revise conservación, contratos y documentos vinculados
Una ficha de registro debe reflejar una conservación coherente con la actividad. La limitación del plazo de conservación exige justificar la duración, mientras que el artículo 30 pide, cuando sea posible, los plazos previstos de supresión por categorías. Una casilla genérica «según normativa» no explica cómo opera el tratamiento. Pida que el ejemplo distinga datos, acontecimiento inicial, fase activa y conservación posterior cuando resulte aplicable.
Vincular un contrato no demuestra que el proveedor esté correctamente calificado ni que el acuerdo sea suficiente. Para una relación de encargo, el artículo 28 contempla contrato u otro acto jurídico vinculante conforme al Derecho de la Unión o de los Estados miembros, por escrito, también electrónico. La revisión de las condiciones del encargado debe considerar instrucciones, asistencia, subencargados y salida, además de la existencia del archivo.
Examine cómo se generan documentos derivados. Una cláusula informativa no se obtiene correctamente copiando todos los campos internos del registro: tiene su destinatario, contexto y requisitos propios. Si un cambio propone actualizarla, debe poder revisarse antes de publicarse. Una herramienta que conecta información puede ser útil, pero la conexión no elimina la valoración jurídica ni permite garantizar que todos los documentos resultantes sean completos para cualquier situación.
Compruebe exportación y disponibilidad para la autoridad
El artículo 30.4 obliga a poner el registro a disposición de la autoridad de control que lo solicite. No establece que sea siempre el primer documento de una inspección ni garantiza que un registro ordenado reduzca su alcance. El criterio práctico es si puede aportar la información pertinente, comprensible y vigente. Compruebe también qué sucede cuando la persona que administra habitualmente la herramienta está ausente.
Exporte una ficha, un conjunto de actividades y el registro de cada papel. Revise encabezados, identificaciones, transferencias, anexos y referencias. Un PDF puede servir para lectura, mientras que un formato estructurado puede ser útil para reutilización o migración; no son necesidades idénticas. Solicite los formatos que necesita y verifique su contenido. La promesa «exportable» es insuficiente si solo produce una captura incompleta de una pantalla.
En las entidades sometidas al artículo 31.2 LOPDGDD, prepare además el inventario destinado a publicación. Determine cómo se obtiene la información legalmente exigida sin exponer credenciales, detalles técnicos sensibles o expedientes personales. La obligación de transparencia no convierte todo documento relacionado en material publicable. Mantenga una relación controlada entre la información interna y la versión pública para actualizarla cuando cambie el tratamiento.
Compare ayudas oficiales y productos comerciales con precisión
La AEPD ofrece Gestiona RGPD como asistente para el registro, inventario y gestión de riesgos, con apoyo a la evaluación de impacto. Sus resultados requieren adaptación al tratamiento y no sustituyen las decisiones del responsable. Puede servir para estructurar el trabajo, pero debe comprobar cómo encaja en su organización, dónde conserva los resultados y cómo mantiene la colaboración y las revisiones necesarias.
Una plantilla de registro de actividades también puede ser un punto de partida. Su utilidad depende de la información introducida y del proceso de actualización. Compare esa opción con las funciones demostradas de los candidatos comerciales. No trate una lista de características como una prueba de rendimiento ni deduzca que todas las soluciones pagadas automatizan lo mismo o que una herramienta oficial incluye un servicio de asesoramiento individual.
La selección de software de cumplimiento abarca procesos adicionales al RAT. Si su necesidad actual es el registro, determine qué conexiones aportan valor hoy y cuáles podrían necesitarse después. Evite contratar un alcance amplio solo por una previsión indefinida de crecimiento. También evite una solución cerrada que impida recuperar el trabajo cuando cambien las necesidades: la capacidad de salida debe examinarse desde la selección.
Calcule costes y organice la migración
Solicite precios para una misma cantidad de organizaciones, usuarios, actividades y documentos, indicando soporte, configuración e importación. No hay una tarifa mínima universal para el software RAT ni un ahorro garantizado frente a una hoja. Incluya el tiempo de limpiar información, resolver dudas y formar a las personas. Una oferta inicial reducida puede tener costes posteriores; una oferta mayor puede incluir trabajo que otras dejan a su equipo.
Antes de importar, depure duplicados y compruebe la correspondencia entre campos. Mantenga un archivo identificable de la situación anterior y documente las transformaciones. No borre sin valoración las actividades finalizadas si necesita conservar evidencia histórica, pero tampoco las presente como operativas. La migración debe distinguir el estado vigente del histórico y conservar la explicación de cambios relevantes, no limitarse a contar cuántas filas han entrado.
Haga una importación acotada y compárela con el origen. Compruebe relaciones, codificación de caracteres, fechas, identificadores y anexos. Establezca quién corrige diferencias y qué impide aceptar el resultado. Los plazos de migración dependen del volumen, la calidad y las capacidades verificadas; no es responsable prometer que cualquier proyecto terminará en días. Un calendario útil se apoya en tareas identificadas y recursos disponibles.
Defina la aceptación y el mantenimiento
Antes de dar por finalizado el proyecto, verifique que cada tipo de usuario puede realizar sus tareas, que los registros se exportan y que las modificaciones siguen el circuito acordado. Conserve los resultados de las demostraciones y las incidencias pendientes. Un defecto que afecte a un requisito imprescindible debe resolverse o recibir una decisión explícita sobre la alternativa, no desaparecer dentro de una valoración global favorable.
Asigne responsables por actividad y desencadenantes de revisión: cambios de finalidad, proveedor, datos, destinatarios o conservación. Una revisión periódica puede complementar ese mecanismo, pero el artículo 30 no impone una periodicidad anual universal. La checklist RGPD para España ayuda a conectar el registro con otras obligaciones. Un registro actualizado es un apoyo para el programa de cumplimiento, no una certificación de que cada tratamiento sea lícito.
Preguntas frecuentes
¿Cuántos tratamientos justifican comprar software?
No existe un umbral legal ni una cifra universal de rentabilidad. Examine cambios, usuarios, relaciones entre actividades y capacidad de mantener versiones. Una prueba sobre sus dificultades reales aporta más información que una regla de quince o veinte fichas. La decisión debe explicar qué mejora demostrable espera y quién mantendrá el sistema.
¿La base jurídica es un campo obligatorio del artículo 30?
No figura como campo general expreso del artículo 30.1, aunque documentarla resulta importante para acreditar la licitud y suele ser útil relacionarla con el registro. En España, el inventario público exigido a los sujetos del artículo 77.1 por el artículo 31.2 LOPDGDD debe incluir la base legal. La herramienta debe distinguir esas situaciones.
¿La aplicación garantiza que el registro sea correcto?
No. Puede ordenar información y facilitar controles, según su configuración, pero necesita datos fiables y revisión. Un registro que describe bien una práctica ilícita no la legitima. Mantenga responsables claros, compruebe los resultados automáticos y conserve evidencia de las decisiones. El producto debe apoyar ese trabajo de manera verificable.