Casi todas las empresas tratan datos personales, aunque no lo piensen así. Los clientes, los empleados, los proveedores y los contactos comerciales forman parte de un inventario que la normativa obliga a documentar. El registro de actividades de tratamiento es el documento base del cumplimiento de protección de datos y suele ser lo primero que pide un inspector.
Qué es y qué dice la norma
El artículo 30 del Reglamento general de protección de datos establece que cada responsable, y en su caso su representante, llevará un registro de las actividades de tratamiento efectuadas bajo su responsabilidad. El registro debe contener la información que enumera el propio artículo, y debe ponerse a disposición de la autoridad de control cuando lo solicite.
Existen excepciones para organizaciones pequeñas, pero son limitadas y no suelen aplicarse a quien trata datos de forma habitual. Por prudencia, la mayoría de las pymes lo elaboran igualmente.
Contenido
El registro identifica, entre otros extremos, al responsable y sus datos de contacto, los fines del tratamiento, las categorías de interesados y de datos personales, las categorías de destinatarios, las transferencias a terceros países, los plazos previstos de supresión y una descripción general de las medidas de seguridad.
Un registro útil se organiza por actividades, por ejemplo gestión de clientes, nóminas, selección de personal, videovigilancia o marketing.
Cómo elaborarlo
El método más práctico consiste en recorrer la empresa área por área:
- Preguntar qué datos personales se recogen y con qué finalidad.
- Identificar dónde se almacenan y quién accede a ellos.
- Determinar durante cuánto tiempo se conservan.
- Revisar qué proveedores acceden a esos datos.
- Anotar las medidas de seguridad aplicadas.
Por qué debe mantenerse vivo
Un registro que no se actualiza pierde valor. Cada nueva herramienta, proveedor o campaña de marketing puede crear un tratamiento nuevo. Conviene revisarlo al menos una vez al año y cada vez que se incorpore un servicio relevante.
Relación con otras obligaciones
El registro sirve de base para otras tareas, como la redacción de la política de privacidad, la gestión de los derechos de los interesados, la elaboración de contratos con encargados del tratamiento y el análisis de riesgos. Si una empresa lo tiene bien hecho, el resto del cumplimiento resulta mucho más sencillo.
Riesgos del incumplimiento
Carecer de registro, o tenerlo incompleto, puede dar lugar a sanciones y suele ser un indicio de falta de organización general en materia de datos. Además, dificulta responder a una brecha de seguridad con rapidez.
Este asunto se incluye en el servicio de protección de datos y compliance.
Carlos Babot Horcajadas
Abogado colegiado en Málaga, nº 10.971. Socio de Babot Aranguren Abogados. Más sobre el autor.