El registro de actividades de tratamiento es uno de los documentos más citados y peor entendidos del RGPD. Muchas empresas creen que no les afecta porque tienen pocos empleados, y casi siempre se equivocan. Esta guía explica qué es el RAT, quién está obligado de verdad, qué información debe contener y cómo se ve una entrada real, con un ejemplo de fila lista para adaptar a tu organización.
En 15 segundos
- El RAT es el documento del art. 30 RGPD que inventaría todos los tratamientos de datos de la organización.
- Obliga tanto al responsable (art. 30.1) como al encargado del tratamiento (art. 30.2).
- La excepción para empresas de menos de 250 empleados (art. 30.5) casi nunca aplica: decae con datos de empleados o clientes recurrentes.
- Debe mantenerse actualizado: un RAT congelado deja de describir la empresa real.
¿Qué es el Registro de Actividades de Tratamiento?
El Registro de Actividades de Tratamiento es el documento, previsto en el art. 30 RGPD, que inventaría todos los tratamientos de datos personales que realiza una organización. Para cada tratamiento describe qué datos maneja, con qué finalidad, sobre qué personas, durante cuánto tiempo y con qué medidas de seguridad. Es interno y no se publica.
Conviene entenderlo como el mapa de los datos de tu empresa. No es un trámite de inscripción ante ninguna autoridad ni se cuelga en la web. Es un registro propio que mantienes disponible y que la autoridad de control puede pedirte si lo solicita. Su valor real no está en tenerlo guardado, sino en que obliga a la organización a saber con precisión qué hace con cada dato.
Antes de 2018 existía un sistema de notificación de ficheros ante la Agencia. El RGPD lo sustituyó por este modelo de responsabilidad proactiva: ya no se notifica nada por adelantado, pero la empresa debe ser capaz de demostrar en cualquier momento que tiene su actividad documentada y bajo control. El RAT es la pieza central de esa demostración.
¿Quién está obligado a llevar el RAT?
El RAT obliga tanto al responsable como al encargado del tratamiento (art. 30 RGPD). La excepción del art. 30.5 para organizaciones de menos de 250 empleados es mucho más estrecha de lo que parece: no aplica si el tratamiento puede entrañar un riesgo para los derechos de los interesados, si no es ocasional, o si incluye categorías especiales o datos penales. En la práctica, casi cualquier empresa con empleados o clientes recurrentes está obligada.
Aquí está el malentendido más extendido. Es habitual oír "tengo menos de 250 empleados, no necesito RAT". Esa lectura es incorrecta en la mayoría de los casos, porque ignora las tres condiciones que desactivan la excepción del art. 30.5:
- Riesgo para los derechos y libertades de los interesados. Muchos tratamientos cotidianos lo entrañan en mayor o menor grado.
- Tratamiento no ocasional. Esta es la clave. Gestionar nóminas de empleados mes a mes, o una cartera de clientes a la que facturas con continuidad, no es ocasional: es la actividad ordinaria del negocio.
- Categorías especiales (art. 9 RGPD) o datos penales (art. 10). Datos de salud, afiliación sindical, datos relativos a infracciones, etc.
Basta con que se cumpla una sola de estas condiciones para que la excepción decaiga. Una empresa que paga nóminas trata datos de sus empleados de forma permanente; una que vende a clientes habituales mantiene un tratamiento continuado. En ambos casos la actividad no es ocasional y el RAT vuelve a ser obligatorio, con independencia del número de empleados. Por eso, en la inmensa mayoría de organizaciones reales, la pregunta no es si hace falta el RAT, sino cómo construirlo bien.
Qué información debe incluir el RAT
El contenido mínimo del registro depende de si actúas como responsable o como encargado. El art. 30.1 RGPD fija el contenido del RAT del responsable; el art. 30.2, el del encargado, que es más reducido. No es un formato rígido: es una lista de campos que el registro debe cubrir para cada tratamiento.
Para el responsable del tratamiento, el art. 30.1 exige documentar, por cada tratamiento:
- Nombre y datos de contacto del responsable, del corresponsable si lo hay, del representante y del delegado de protección de datos (DPD) cuando exista.
- Fines del tratamiento: para qué se usan los datos.
- Categorías de interesados (clientes, empleados, proveedores, candidatos…) y categorías de datos personales tratados.
- Categorías de destinatarios a quienes se comunican o comunicarán los datos, incluidos los de otros países.
- Transferencias internacionales a terceros países u organizaciones, con la identificación del país y de las garantías aplicadas.
- Plazos previstos para la supresión de las distintas categorías de datos.
- Descripción general de las medidas de seguridad técnicas y organizativas del art. 32 RGPD.
El RAT del encargado (art. 30.2) es más breve. Documenta, para cada responsable por cuya cuenta actúa, las categorías de tratamientos que realiza, las transferencias internacionales en su caso y la descripción general de las medidas de seguridad. No entra en las finalidades, porque esas las decide el responsable, no el encargado.
Ejemplo práctico: una fila del RAT
La teoría se entiende mejor con un caso concreto. Esta es una entrada del RAT de un responsable para el tratamiento más común de cualquier empresa con plantilla: la gestión de personal. Cada columna corresponde a uno de los campos del art. 30.1 RGPD.
| Campo (art. 30.1) | Contenido de la fila — "Gestión de personal" |
|---|---|
| Responsable | Empresa Ejemplo S.L. · CIF B00000000 · Calle X, Burgos · rgpd@empresa.es |
| Fines del tratamiento | Gestión laboral, contractual, retributiva y de prevención de la relación con los empleados. |
| Categorías de interesados | Empleados en plantilla y personal en proceso de baja. |
| Categorías de datos | Identificativos, de contacto, bancarios, profesionales y de cotización. Datos de salud limitados a la gestión de bajas (categoría especial, art. 9). |
| Categorías de destinatarios | Tesorería General de la Seguridad Social, Agencia Tributaria, entidad bancaria, gestoría externa. |
| Transferencias internacionales | No se prevén. |
| Plazo de supresión | Durante la relación laboral y los plazos de prescripción laboral, fiscal y de Seguridad Social posteriores. |
| Medidas de seguridad (art. 32) | Control de accesos por rol, cifrado de dispositivos, copias de seguridad, confidencialidad del personal. |
El RAT completo de una empresa media es una tabla con varias filas como esta: una por cada tratamiento real. Lo habitual es tener entradas para gestión de personal, clientes, proveedores, selección de personal, videovigilancia si la hay y comunicaciones comerciales. El error más frecuente no es la falta de detalle, sino inventar tratamientos que no existen o, al revés, olvidar alguno que sí se hace.
"El RAT no es un PDF que se rellena una vez y se archiva. Es la radiografía viva de lo que tu empresa hace con los datos. El día que cambias de software o sumas un proveedor y el registro no lo refleja, deja de servir para nada."
Mario P. Talamillo · Socio director, Certix®
¿Qué pasa si no lo tienes actualizado?
Un RAT desactualizado describe una empresa que ya no existe, y eso lo vacía de utilidad. El art. 30 exige que el registro refleje la actividad real de tratamiento en cada momento. Si has cambiado de software, sumado un proveedor o abierto una nueva finalidad y el registro sigue igual, ya no documenta lo que de verdad haces con los datos.
El problema práctico de un RAT obsoleto es que rompe el principio de responsabilidad proactiva sobre el que se apoya todo el RGPD. Si la organización no puede demostrar qué trata y cómo, pierde la base sobre la que se sostienen el resto de obligaciones: las cláusulas informativas, los contratos del art. 28 con encargados, los plazos de conservación o la respuesta ante una solicitud de derechos.
Hay un efecto en cadena fácil de pasar por alto. Cuando un cliente ejerce su derecho de acceso o de supresión, el RAT es el punto de partida para saber dónde están sus datos y quién los tiene. Si el registro no refleja un software o un proveedor incorporado hace meses, esa respuesta sale incompleta. El RAT no es un documento aislado: es el que sostiene la coherencia de todo lo demás.
Cómo Certix te ayuda a mantenerlo al día
Elaborar el RAT por primera vez exige recorrer la organización entera y traducir su actividad a tratamientos bien definidos. Mantenerlo después es un trabajo continuo: cada cambio de software, proveedor o finalidad debería reflejarse en el registro. Ahí es donde un RAT acaba quedando obsoleto en la práctica, no por mala fe, sino porque nadie lo revisa cuando el negocio cambia.
En Certix elaboramos el Registro de Actividades de Tratamiento partiendo de un análisis real de tu actividad, no de una plantilla genérica. Identificamos los tratamientos que de verdad realizas, los documentamos con el contenido del art. 30 RGPD y conectamos cada uno con su base jurídica, sus plazos de conservación y sus medidas de seguridad. Es la base sobre la que se construye el resto del trabajo de privacidad.
Y lo mantenemos al día. Cuando incorporas una herramienta nueva, contratas un proveedor o lanzas una finalidad distinta, el registro se actualiza para que siga reflejando la empresa real. Puedes empezar por nuestro test de autoevaluación en protección de datos o ver cómo encaja el RAT dentro de los servicios de protección de datos de Certix.
Preguntas frecuentes
¿Mi empresa tiene menos de 250 empleados, estoy exento del RAT?
En la mayoría de casos, no. La excepción del art. 30.5 RGPD decae si el tratamiento puede entrañar un riesgo para los derechos de los interesados, si no es ocasional, o si incluye categorías especiales (art. 9) o datos penales (art. 10). Una empresa que gestiona nóminas o una cartera recurrente de clientes realiza tratamientos no ocasionales, así que la excepción no le aplica y debe llevar el RAT igualmente.
¿Qué es exactamente el Registro de Actividades de Tratamiento?
Es el documento del art. 30 RGPD que inventaría, tratamiento por tratamiento, qué datos personales maneja una organización, con qué finalidad, sobre qué personas, durante cuánto tiempo y con qué medidas de seguridad. Es interno: no se publica ni se inscribe en ningún registro público, pero la autoridad de control puede solicitarlo. Funciona como el mapa de toda la actividad de datos de la empresa.
¿El RAT del responsable y el del encargado son iguales?
No. El RAT del responsable (art. 30.1 RGPD) describe los tratamientos que decide la propia empresa: finalidades, categorías de interesados y de datos, plazos de supresión. El RAT del encargado (art. 30.2) es más breve: documenta las categorías de tratamientos que realiza por cuenta de cada responsable que le contrata, sin entrar en finalidades propias. Una misma empresa puede tener que llevar ambos registros.
¿Cada cuánto hay que actualizar el RAT?
El RGPD no fija una periodicidad cerrada, pero el art. 30 exige que el registro refleje la actividad real de tratamiento en cada momento. En la práctica, se revisa cada vez que cambia algo relevante: un nuevo software, un nuevo proveedor, una nueva finalidad, una transferencia internacional o un nuevo tipo de dato. Un RAT congelado en el tiempo deja de cumplir su función.
En resumen
El Registro de Actividades de Tratamiento es el mapa que sostiene todo el trabajo de protección de datos de una empresa. La idea de que las organizaciones pequeñas están exentas es, en la mayoría de los casos, falsa: basta con gestionar empleados o una cartera de clientes recurrentes para que la excepción del art. 30.5 deje de aplicar. Lo difícil no es crear el RAT una vez, sino mantenerlo fiel a la realidad cuando el negocio cambia. Si quieres revisar el estado del tuyo, el siguiente paso es un análisis individualizado de tu actividad.
Lecturas relacionadas
- Guía completa del RGPD — el marco normativo en el que se inserta el RAT.
- Servicios de protección de datos de Certix — cómo encaja el RAT en el trabajo de consultoría.
- Test de autoevaluación en protección de datos — comprueba en minutos en qué punto está tu organización.
Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado.
¿Quieres saber si tu RAT refleja lo que tu empresa hace de verdad?
En Certix elaboramos y mantenemos al día tu Registro de Actividades de Tratamiento a partir de un análisis real de tu actividad.
Hablar con un consultor