O rexistro de actividades de tratamento é un dos documentos máis citados e peor entendidos do RGPD. Moitas empresas cren que non lles afecta porque teñen poucos empregados, e case sempre se equivocan. Esta guía explica que é o RAT, quen está obrigado de verdade, que información debe conter e como se ve unha entrada real, cun exemplo de fila lista para adaptar á túa organización.
En 15 segundos
- O RAT é o documento do art. 30 RGPD que inventaría todos os tratamentos de datos da organización.
- Obriga tanto ao responsable (art. 30.1) como ao encargado do tratamento (art. 30.2).
- A excepción para empresas de menos de 250 empregados (art. 30.5) case nunca aplica: decae con datos de empregados ou clientes recorrentes.
- Debe manterse actualizado: un RAT conxelado deixa de describir a empresa real.
Que é o Rexistro de Actividades de Tratamento?
O Rexistro de Actividades de Tratamento é o documento, previsto no art. 30 RGPD, que inventaría todos os tratamentos de datos persoais que realiza unha organización. Para cada tratamento describe que datos manexa, con que finalidade, sobre que persoas, durante canto tempo e con que medidas de seguridade. É interno e non se publica.
Convén entendelo como o mapa dos datos da túa empresa. Non é un trámite de inscrición ante ningunha autoridade nin se colga na web. É un rexistro propio que mantés dispoñible e que a autoridade de control pode pedirche se o solicita. O seu valor real non está en telo gardado, senón en que obriga a organización a saber con precisión que fai con cada dato.
Antes de 2018 existía un sistema de notificación de ficheiros ante a Axencia. O RGPD substituíuno por este modelo de responsabilidade proactiva: xa non se notifica nada por adiantado, pero a empresa debe ser capaz de demostrar en calquera momento que ten a súa actividade documentada e baixo control. O RAT é a peza central desa demostración.
Quen está obrigado a levar o RAT?
O RAT obriga tanto ao responsable como ao encargado do tratamento (art. 30 RGPD). A excepción do art. 30.5 para organizacións de menos de 250 empregados é moito máis estreita do que parece: non aplica se o tratamento pode entrañar un risco para os dereitos dos interesados, se non é ocasional, ou se inclúe categorías especiais ou datos penais. Na práctica, case calquera empresa con empregados ou clientes recorrentes está obrigada.
Aquí está o malentendido máis estendido. É habitual oír "teño menos de 250 empregados, non necesito RAT". Esa lectura é incorrecta na maioría dos casos, porque ignora as tres condicións que desactivan a excepción do art. 30.5:
- Risco para os dereitos e liberdades dos interesados. Moitos tratamentos cotiáns entráñano en maior ou menor grao.
- Tratamento non ocasional. Esta é a clave. Xestionar nóminas de empregados mes a mes, ou unha carteira de clientes á que facturas con continuidade, non é ocasional: é a actividade ordinaria do negocio.
- Categorías especiais (art. 9 RGPD) ou datos penais (art. 10). Datos de saúde, afiliación sindical, datos relativos a infraccións, etc.
Abonda con que se cumpra unha soa destas condicións para que a excepción decaia. Unha empresa que paga nóminas trata datos dos seus empregados de forma permanente; unha que vende a clientes habituais mantén un tratamento continuado. En ambos os casos a actividade non é ocasional e o RAT volve ser obrigatorio, con independencia do número de empregados. Por iso, na inmensa maioría de organizacións reais, a pregunta non é se fai falla o RAT, senón como construílo ben.
Que información debe incluír o RAT
O contido mínimo do rexistro depende de se actúas como responsable ou como encargado. O art. 30.1 RGPD fixa o contido do RAT do responsable; o art. 30.2, o do encargado, que é máis reducido. Non é un formato ríxido: é unha lista de campos que o rexistro debe cubrir para cada tratamento.
Para o responsable do tratamento, o art. 30.1 esixe documentar, por cada tratamento:
- Nome e datos de contacto do responsable, do corresponsable se o hai, do representante e do delegado de protección de datos (DPD) cando exista.
- Fins do tratamento: para que se usan os datos.
- Categorías de interesados (clientes, empregados, provedores, candidatos…) e categorías de datos persoais tratados.
- Categorías de destinatarios a quen se comunican ou comunicarán os datos, incluídos os doutros países.
- Transferencias internacionais a terceiros países ou organizacións, coa identificación do país e das garantías aplicadas.
- Prazos previstos para a supresión das distintas categorías de datos.
- Descrición xeral das medidas de seguridade técnicas e organizativas do art. 32 RGPD.
O RAT do encargado (art. 30.2) é máis breve. Documenta, para cada responsable por cuxa conta actúa, as categorías de tratamentos que realiza, as transferencias internacionais no seu caso e a descrición xeral das medidas de seguridade. Non entra nas finalidades, porque esas decídeas o responsable, non o encargado.
Exemplo práctico: unha fila do RAT
A teoría enténdese mellor cun caso concreto. Esta é unha entrada do RAT dun responsable para o tratamento máis común de calquera empresa con cadro de persoal: a xestión de persoal. Cada columna corresponde a un dos campos do art. 30.1 RGPD.
| Campo (art. 30.1) | Contido da fila — "Xestión de persoal" |
|---|---|
| Responsable | Empresa Exemplo S.L. · CIF B00000000 · Rúa X, Burgos · rgpd@empresa.es |
| Fins do tratamento | Xestión laboral, contractual, retributiva e de prevención da relación cos empregados. |
| Categorías de interesados | Empregados en cadro de persoal e persoal en proceso de baixa. |
| Categorías de datos | Identificativos, de contacto, bancarios, profesionais e de cotización. Datos de saúde limitados á xestión de baixas (categoría especial, art. 9). |
| Categorías de destinatarios | Tesouraría Xeral da Seguridade Social, Axencia Tributaria, entidade bancaria, xestoría externa. |
| Transferencias internacionais | Non se prevén. |
| Prazo de supresión | Durante a relación laboral e os prazos de prescrición laboral, fiscal e de Seguridade Social posteriores. |
| Medidas de seguridade (art. 32) | Control de accesos por rol, cifrado de dispositivos, copias de seguridade, confidencialidade do persoal. |
O RAT completo dunha empresa media é unha táboa con varias filas coma esta: unha por cada tratamento real. O habitual é ter entradas para xestión de persoal, clientes, provedores, selección de persoal, videovixilancia se a hai e comunicacións comerciais. O erro máis frecuente non é a falta de detalle, senón inventar tratamentos que non existen ou, ao revés, esquecer algún que si se fai.
"O RAT non é un PDF que se enche unha vez e se arquiva. É a radiografía viva do que a túa empresa fai cos datos. O día que cambias de software ou sumas un provedor e o rexistro non o reflicte, deixa de servir para nada."
Mario P. Talamillo · Socio director, Certix®
Que pasa se non o tes actualizado?
Un RAT desactualizado describe unha empresa que xa non existe, e iso baléirao de utilidade. O art. 30 esixe que o rexistro reflicta a actividade real de tratamento en cada momento. Se cambiaches de software, sumaches un provedor ou abriches unha nova finalidade e o rexistro segue igual, xa non documenta o que de verdade fas cos datos.
O problema práctico dun RAT obsoleto é que rompe o principio de responsabilidade proactiva sobre o que se apoia todo o RGPD. Se a organización non pode demostrar que trata e como, perde a base sobre a que se sosteñen o resto de obrigas: as cláusulas informativas, os contratos do art. 28 con encargados, os prazos de conservación ou a resposta ante unha solicitude de dereitos.
Hai un efecto en cadea fácil de pasar por alto. Cando un cliente exerce o seu dereito de acceso ou de supresión, o RAT é o punto de partida para saber onde están os seus datos e quen os ten. Se o rexistro non reflicte un software ou un provedor incorporado hai meses, esa resposta sae incompleta. O RAT non é un documento illado: é o que sostén a coherencia de todo o demais.
Como Certix che axuda a mantelo ao día
Elaborar o RAT por primeira vez esixe percorrer a organización enteira e traducir a súa actividade a tratamentos ben definidos. Mantelo despois é un traballo continuo: cada cambio de software, provedor ou finalidade debería reflectirse no rexistro. Aí é onde un RAT acaba quedando obsoleto na práctica, non por mala fe, senón porque ninguén o revisa cando o negocio cambia.
En Certix elaboramos o Rexistro de Actividades de Tratamento partindo dunha análise real da túa actividade, non dunha plantilla xenérica. Identificamos os tratamentos que de verdade realizas, documentámolos co contido do art. 30 RGPD e conectamos cada un coa súa base xurídica, os seus prazos de conservación e as súas medidas de seguridade. É a base sobre a que se constrúe o resto do traballo de privacidade.
E mantémolo ao día. Cando incorporas unha ferramenta nova, contratas un provedor ou lanzas unha finalidade distinta, o rexistro actualízase para que siga reflectindo a empresa real. Podes empezar polo noso test de autoavaliación en protección de datos ou ver como encaixa o RAT dentro dos servizos de protección de datos de Certix.
Preguntas frecuentes
A miña empresa ten menos de 250 empregados, estou exento do RAT?
Na maioría de casos, non. A excepción do art. 30.5 RGPD decae se o tratamento pode entrañar un risco para os dereitos dos interesados, se non é ocasional, ou se inclúe categorías especiais (art. 9) ou datos penais (art. 10). Unha empresa que xestiona nóminas ou unha carteira recorrente de clientes realiza tratamentos non ocasionais, así que a excepción non lle aplica e debe levar o RAT igualmente.
Que é exactamente o Rexistro de Actividades de Tratamento?
É o documento do art. 30 RGPD que inventaría, tratamento por tratamento, que datos persoais manexa unha organización, con que finalidade, sobre que persoas, durante canto tempo e con que medidas de seguridade. É interno: non se publica nin se inscribe en ningún rexistro público, pero a autoridade de control pode solicitalo. Funciona como o mapa de toda a actividade de datos da empresa.
O RAT do responsable e o do encargado son iguais?
Non. O RAT do responsable (art. 30.1 RGPD) describe os tratamentos que decide a propia empresa: finalidades, categorías de interesados e de datos, prazos de supresión. O RAT do encargado (art. 30.2) é máis breve: documenta as categorías de tratamentos que realiza por conta de cada responsable que o contrata, sen entrar en finalidades propias. Unha mesma empresa pode ter que levar ambos os rexistros.
Cada canto hai que actualizar o RAT?
O RGPD non fixa unha periodicidade pechada, pero o art. 30 esixe que o rexistro reflicta a actividade real de tratamento en cada momento. Na práctica, revísase cada vez que cambia algo relevante: un novo software, un novo provedor, unha nova finalidade, unha transferencia internacional ou un novo tipo de dato. Un RAT conxelado no tempo deixa de cumprir a súa función.
En resumo
O Rexistro de Actividades de Tratamento é o mapa que sostén todo o traballo de protección de datos dunha empresa. A idea de que as organizacións pequenas están exentas é, na maioría dos casos, falsa: abonda con xestionar empregados ou unha carteira de clientes recorrentes para que a excepción do art. 30.5 deixe de aplicar. O difícil non é crear o RAT unha vez, senón mantelo fiel á realidade cando o negocio cambia. Se queres revisar o estado do teu, o seguinte paso é unha análise individualizada da túa actividade.
Lecturas relacionadas
- Guía completa do RGPD — o marco normativo no que se insire o RAT.
- Servizos de protección de datos de Certix — como encaixa o RAT no traballo de consultoría.
- Test de autoavaliación en protección de datos — comproba en minutos en que punto está a túa organización.
Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A aplicación da normativa a cada caso concreto require análise individualizada.
Queres saber se o teu RAT reflicte o que a túa empresa fai de verdade?
En Certix elaboramos e mantemos ao día o teu Rexistro de Actividades de Tratamento a partir dunha análise real da túa actividade.
Falar cun consultor