Registre d'activitats de tractament: què ha de contenir cada columna

L'obligació abasta totes les organitzacions, públiques i privades, sigui quina sigui la seva mida. L'article 30.1 del Reglament (UE) 2016/679, aplicable des del 25 de maig de 2018, obliga el responsable del tractament a portar un registre de les activitats efectuades sota la seva responsabilitat. L'apartat 2 obliga l'encarregat a portar el seu, distint.

Ve després l'apartat 5, el que se cita de memòria i al revés. La seva redacció exacta és la següent: les obligacions dels apartats 1 i 2 no s'apliquen a una empresa o organització que ocupi menys de 250 persones, «llevat que el tractament que dugui a terme pugui comportar un risc per als drets i llibertats dels interessats, no sigui ocasional, o inclogui categories especials de dades personals indicades a l'article 9, apartat 1, o dades personals relatives a condemnes i infraccions penals a què es refereix l'article 10».

Una sola paraula decideix, i és repetida dues vegades: «o». Les tres branques són, doncs, alternatives, i n'hi ha prou que se'n compleixi una perquè l'obligació torni. Per quedar exempt d'inscriure un tractament cal descartar les tres juntes: el tractament no presenta cap risc, i és ocasional, i no versa ni sobre dades sensibles ni sobre dades penals.

Apliqueu-ho a una empresa corrent. La nòmina és mensual, el fitxer de clients funciona de manera permanent: ni l'una ni l'altre no són ocasionals. La gestió de candidatures, la videovigilància i la prospecció comercial tampoc. L'autoritat francesa ho formula sense embuts: l'excepció es limita a casos molt concrets, i recomana, en cas de dubte, fer figurar el tractament al registre.

El segon malentès versa sobre l'abast de l'exempció, que no s'aprecia a nivell d'empresa sinó tractament per tractament. Una societat de trenta treballadors no està «exempta de registre»: està exempta d'inscriure-hi els seus tractaments ocasionals i sense risc, i ha d'inscriure-hi tots els altres. El registre existeix igualment, doncs — simplement més curt.

És el primer que establim quan una empresa ens truca per aquest tema, abans fins i tot de mirar les seves eines. Si dubteu de la vostra situació, qualificar els vostres tractaments i construir el registre que se'n deriva és el punt de partida habitual.

L'article 30.1 enumera set apartats, a les lletres a) a g). Es llegeixen com les columnes d'una taula en què cada fila és un tractament: la nòmina, la selecció de personal, la gestió de clients, la prospecció, la videovigilància.

a) El nom i les dades de contacte dels responsables

La columna més mecànica i, tot i això, la que s'omple a mitges. El text demana el responsable del tractament, però també, si escau, el corresponsable, el representant del responsable i el delegat de protecció de dades. La corresponsabilitat de l'article 26 és la menció que més sovint s'oblida: es refereix a dues entitats que determinen conjuntament les finalitats i els mitjans — una matriu i la seva filial, per exemple.

b) Les finalitats del tractament

Una finalitat no és una eina. «CRM» no és una finalitat; «gestió de la relació comercial i seguiment de les comandes» sí que ho és. Si l'enunciat no permet dir què es busca obtenir, descriu un mitjà. I una mateixa eina sol servir dues finalitats distintes, que exigeixen dues files.

c) Les categories d'interessats i de dades

Dues informacions en un sol apartat. Les persones primer — clients, clients potencials, treballadors, candidats. Les dades després, per categories i no document per document: identitat, dades de contacte, vida professional, dades de connexió. És aquí on es detecten les dades sensibles de l'article 9, les que fan caure l'excepció de l'apartat 5.

d) Les categories de destinataris

El text es refereix als destinataris «als quals s'han comunicat o es comunicaran les dades, inclosos els destinataris en tercers països». Dos punts d'atenció: els encarregats del tractament són destinataris — el proveïdor d'allotjament, l'empresa del programari de nòmines, el proveïdor de correu massiu hi figuren —, i el futur compta tant com el present, ja que una comunicació prevista s'inscriu abans de produir-se.

e) Les transferències fora de la Unió

La lletra e) demana la identificació del tercer país o de l'organització internacional i, per a les transferències basades en el paràgraf segon de l'article 49.1, la documentació de garanties adequades. Basta una eina nord-americana de consum massiu per obrir aquesta columna, i el mecanisme escollit — decisió d'adequació, clàusules contractuals tipus — s'hi escriu negre sobre blanc.

f) Els terminis previstos per a la supressió

L'apartat comença amb «quan sigui possible», cosa que el fa més flexible, no facultatiu. El principi de limitació del termini de conservació, establert a l'article 5.1 e), obliga a fixar una durada per a cada finalitat; el registre és el lloc on s'escriu. Es dedueix de la finalitat i de les obligacions legals de conservació que l'acompanyen.

g) Una descripció general de les mesures de seguretat

La mateixa fórmula d'obertura, i el mateix parany: una descripció general no és una descripció buida. La remissió es fa a l'article 32.1 — xifratge, control d'accessos, còpies de seguretat, registre d'activitat. Una columna en blanc diu que no s'ha identificat cap mesura.

L'article 30.2 imposa un registre d'una altra naturalesa: no de tractaments, sinó de categories d'activitats de tractament efectuades per compte de cada responsable. La diferència no és de redacció — com que l'encarregat no determina les finalitats, no les ha d'inscriure: inscriu què fa, i per a qui.

Quatre apartats: les dades de contacte de l'encarregat i de cada responsable per compte del qual actua, així com les dels representants i del delegat; les categories de tractaments per responsable; les transferències fora de la Unió i la documentació de garanties; i, quan sigui possible, les mesures de seguretat de l'article 32.1.

La majoria de les empreses porten els dos registres: una agència, una empresa de programari o una gestoria comptable són responsables de la seva pròpia nòmina i encarregades pel que fa a les dades que els seus clients els confien. Els dos documents conviuen i no es copien l'un de l'altre. El contracte que regula aquest encàrrec es regeix per l'article 28.3 i es tracta a part.

El model de registre bàsic que difon l'autoritat francesa, en format de full de càlcul i destinat a les estructures petites, conté més columnes de les que exigeix l'article 30. No és un error: l'autoritat recomana explícitament enriquir el registre. Convé, això sí, saber què prové del reglament i què prové del consell.

La columna més important és la base jurídica. Busqueu-la a l'article 30: no hi és. Els set apartats no demanen enlloc sobre quin fonament de l'article 6 descansa el tractament — consentiment, contracte, obligació legal, interès legítim. Figura, però, en tots els models seriosos, i per una raó sòlida: l'article 5.2 obliga a estar en condicions de demostrar el compliment, i un tractament del qual ningú no sap en quina base descansa no es demostra.

Segueixen, en el mateix pla de recomanació, la menció de la informació facilitada a l'empara dels articles 13 i 14, l'adscripció del tractament a un departament intern, i la referència del contracte d'encàrrec. Cap no s'imposa; totes serveixen el dia en què cal respondre a l'autoritat en uns dies i no en unes setmanes.

Un model es llegeix, doncs, pel que és: una eina, no el text. És també la raó per la qual no difonem el nostre — un registre es construeix sobre tractaments reals, i un fitxer preemplenat dona sobretot la il·lusió d'haver resolt la qüestió.

No és una declaració. No s'envia res a l'autoritat: l'article 30.4 només obliga a posar-li el registre a disposició quan ho sol·liciti. El règim de declaració prèvia va desaparèixer el 25 de maig de 2018.

No és un formulari imposat. L'article 30.3 exigeix una forma escrita, «inclòs el format electrònic». Un full de càlcul serveix, i una eina específica també; el que no s'admet és l'absència de rastre.

No és un document que s'ompli una vegada. Com que ha d'estar disponible quan es sol·liciti, ha de descriure els tractaments reals el dia de la sol·licitud — no a la data de la seva darrera revisió. El disparador de l'actualització no és el calendari sinó el fet: nova eina, nou proveïdor, nova finalitat, transferència fora de la Unió.

Finalment, no és un document sense transcendència. L'absència de registre se situa a l'article 83.4 a), que fixa el sostre de la multa administrativa en 10 milions d'euros o, tractant-se d'una empresa, en el 2 % del volum de negoci anual global, i s'opta per la quantia més alta. Aquest sostre no és la sanció esperable per a una pime. El que compta a la pràctica és més prosaic: un registre absent el primer dia d'una inspecció orienta tot el que ve després.

Un apunt de calendari, perquè circula molt i sovint es presenta com a fet consumat. La Comissió Europea va proposar, el 19 de novembre de 2025, dins del paquet anomenat «Digital Omnibus» (COM(2025) 837), modificar l'article 30.5: llindar elevat de 250 a 750 persones, supressió del criteri del caràcter ocasional, obligació centrada en els tractaments que puguin comportar un risc alt en el sentit de l'article 35.

Aquesta proposta no està adoptada. A 6 d'agost de 2026, data de publicació d'aquest article, continua en negociació entre el Parlament i el Consell, i el dret aplicable roman inalterat. Una empresa de 400 treballadors que suspengués el seu registre emparant-se en un text en discussió es col·locaria avui en situació d'incompliment.

Construïm el registre a partir d'entrevistes amb els responsables de cada àrea i no a partir dels procediments escrits. La distància entre tots dos és el que una inspecció revela: els tractaments reals són gairebé sempre més nombrosos que els que l'organització es pensa que fa.

En aquesta mena d'assumptes, la dificultat gairebé mai no es desplaça a l'emplenament de les columnes, sinó a la qualificació de cada part i a la transmissió del registre a qui l'haurà de mantenir després. Un registre que ningú no sap actualitzar caduca en sis mesos.

El despatx aplica aquesta exigència al seu propi lloc web, el registre de l'origen de les visites i la recollida del consentiment del qual es descriuen a la seva política de privacitat. Els nostres encàrrecs es facturen a preu tancat, i l'import s'anuncia i s'accepta abans de començar. Si el vostre registre està per construir o per refer, una primera conversa basta per mesurar-ne la càrrega.