¿Qué es el Registro de Actividades de Tratamiento?

–Desde el gobierno general de la institución queremos saber quién es responsable de realizar el Registro de Actividades de Tratamiento en materia de Protección de Datos, y en qué consiste exactamente.

–El artículo 30 del Reglamento General de Protección de Datos (RGPD) establece que los responsables y encargados del tratamiento de datos personales deberán mantener un Registro de Actividades de Tratamiento efectuadas bajo su responsabilidad.

El Registro de Actividades de Tratamiento del Reglamento General de Protección de Datos es una medida que deben contemplar todas aquellas empresas, entidades públicas y autónomos que manejen datos personales para documentar el tratamiento que hacen de estos datos. El contenido del Registro de Actividades de Tratamiento constituye una información mínima exigible. Este registro deberá contener la información que recoge al respecto el artículo 30 del Reglamento General de Protección de Datos.

Respecto a los responsables, se exigen los siguientes elementos:

El nombre y los datos de contacto del responsable y, en su caso, del corresponsable, del representante del responsable, y del delegado de protección de datos.
Los fines del tratamiento.
Descripción de las categorías de interesados y de las categorías de datos personales.
Categorías de destinatarios a quienes se comunicaron o comunicarán los datos personales, incluidos los destinatarios en terceros países u organizaciones internacionales.
Transferencias de datos personales a un tercer país o una organización internacional, incluida la identificación de dicho tercer país u organización internacional.
Plazos previstos para la supresión de las diferentes categorías de datos.
Descripción general de las medidas técnicas y organizativas de seguridad tomadas por la entidad.

Respecto a los encargados, es necesario que consten:

El nombre y los datos de contacto del encargado o encargados y de cada responsable por cuenta del cual actúe el encargado, y, en su caso, del representante del responsable o del encargado, y del delegado de protección de datos.
Categorías de tratamientos efectuados por cuenta de cada responsable.
Transferencias de datos personales a un tercer país u organización internacional, incluida la identificación de dicho tercer país u organización internacional en cuestión.
Descripción general de las medidas técnicas y organizativas de seguridad.

Por otra parte, están exentas de configurar este registro de actividades las organizaciones que empleen a menos de 250 trabajadores, a menos que el tratamiento que realicen pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional o incluya categorías especiales de datos o datos relativos a condenas e infracciones penales.

No obstante, hay que indicar que estas excepciones se aplican en casos muy limitados, puesto que en la práctica todos los tratamientos pueden suponer un riesgo para los derechos y libertades de los interesados, aunque sea ocasional, lo que viene a implicar que, en la práctica, la mayoría de los responsables o encargados del tratamiento que empleen a menos de 250 trabajadoras estarán obligadas a llevar un registro de actividades de tratamiento.