Registro de actividades de tratamiento: qué debe contener cada columna

La obligación alcanza a todas las organizaciones, públicas y privadas, sea cual sea su tamaño. El artículo 30.1 del Reglamento (UE) 2016/679, aplicable desde el 25 de mayo de 2018, obliga al responsable del tratamiento a llevar un registro de las actividades efectuadas bajo su responsabilidad. El apartado 2 obliga al encargado a llevar el suyo, distinto.

Viene después el apartado 5, el que se cita de memoria y al revés. Su redacción exacta es la siguiente: las obligaciones de los apartados 1 y 2 no se aplican a una empresa u organización que emplee a menos de 250 personas, «a menos que el tratamiento que realice pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional, o incluya categorías especiales de datos personales indicadas en el artículo 9, apartado 1, o datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10».

Una sola palabra decide, y está repetida dos veces: «o». Las tres ramas son, pues, alternativas, y basta con que se cumpla una para que la obligación vuelva. Para quedar exento de inscribir un tratamiento hay que descartar las tres juntas: el tratamiento no presenta riesgo alguno, y es ocasional, y no versa ni sobre datos sensibles ni sobre datos penales.

Aplíquelo a una empresa corriente. La nómina es mensual, el fichero de clientes funciona de forma permanente: ni la una ni el otro son ocasionales. La gestión de candidaturas, la videovigilancia y la prospección comercial tampoco. La autoridad francesa lo formula sin rodeos: la excepción se limita a casos muy concretos, y recomienda, en caso de duda, hacer figurar el tratamiento en el registro.

El segundo malentendido versa sobre el alcance de la exención, que no se aprecia a nivel de empresa sino tratamiento por tratamiento. Una sociedad de treinta trabajadores no está «exenta de registro»: está exenta de inscribir en él sus tratamientos ocasionales y sin riesgo, y debe inscribir todos los demás. El registro existe igualmente, pues — simplemente más corto.

Es lo primero que establecemos cuando una empresa nos llama por este tema, antes incluso de mirar sus herramientas. Si duda de su situación, calificar sus tratamientos y construir el registro que de ellos se deriva es el punto de partida habitual.

El artículo 30.1 enumera siete apartados, en las letras a) a g). Se leen como las columnas de una tabla en la que cada fila es un tratamiento: la nómina, la selección de personal, la gestión de clientes, la prospección, la videovigilancia.

a) El nombre y los datos de contacto de los responsables

La columna más mecánica y, pese a ello, la que se rellena a medias. El texto pide el responsable del tratamiento, pero también, en su caso, el corresponsable, el representante del responsable y el delegado de protección de datos. La corresponsabilidad del artículo 26 es la mención que más a menudo se olvida: se refiere a dos entidades que determinan conjuntamente los fines y los medios — una matriz y su filial, por ejemplo.

b) Los fines del tratamiento

Un fin no es una herramienta. «CRM» no es un fin; «gestión de la relación comercial y seguimiento de los pedidos» sí lo es. Si el enunciado no permite decir qué se busca obtener, describe un medio. Y una misma herramienta suele servir a dos fines distintos, que exigen dos filas.

c) Las categorías de interesados y de datos

Dos informaciones en un solo apartado. Las personas primero — clientes, clientes potenciales, trabajadores, candidatos. Los datos después, por categorías y no documento por documento: identidad, datos de contacto, vida profesional, datos de conexión. Es aquí donde se detectan los datos sensibles del artículo 9, los que hacen caer la excepción del apartado 5.

d) Las categorías de destinatarios

El texto se refiere a los destinatarios «a quienes se comunicaron o comunicarán los datos, incluidos los destinatarios en terceros países». Dos puntos de atención: los encargados del tratamiento son destinatarios — el proveedor de alojamiento, la empresa del software de nóminas, el proveedor de correo masivo figuran en ella —, y el futuro cuenta tanto como el presente, pues una comunicación prevista se inscribe antes de producirse.

e) Las transferencias fuera de la Unión

La letra e) pide la identificación del tercer país o de la organización internacional y, para las transferencias basadas en el párrafo segundo del artículo 49.1, la documentación de garantías adecuadas. Basta una herramienta estadounidense de consumo masivo para abrir esta columna, y el mecanismo elegido — decisión de adecuación, cláusulas contractuales tipo — se escribe en ella negro sobre blanco.

f) Los plazos previstos para la supresión

El apartado empieza con «cuando sea posible», lo que lo hace más flexible, no facultativo. El principio de limitación del plazo de conservación, sentado en el artículo 5.1 e), obliga a fijar una duración para cada fin; el registro es el lugar donde se escribe. Se deduce del fin y de las obligaciones legales de conservación que le acompañan.

g) Una descripción general de las medidas de seguridad

La misma fórmula de apertura, y la misma trampa: una descripción general no es una descripción vacía. La remisión se hace al artículo 32.1 — cifrado, control de accesos, copias de seguridad, registro de actividad. Una columna en blanco dice que no se ha identificado ninguna medida.

El artículo 30.2 impone un registro de otra naturaleza: no de tratamientos, sino de categorías de actividades de tratamiento efectuadas por cuenta de cada responsable. La diferencia no es de redacción — como el encargado no determina los fines, no tiene que inscribirlos: inscribe lo que hace, y para quién.

Cuatro apartados: los datos de contacto del encargado y de cada responsable por cuya cuenta actúa, así como los de los representantes y del delegado; las categorías de tratamientos por responsable; las transferencias fuera de la Unión y la documentación de garantías; y, cuando sea posible, las medidas de seguridad del artículo 32.1.

La mayoría de las empresas llevan los dos registros: una agencia, una empresa de software o una asesoría contable son responsables de su propia nómina y encargadas respecto de los datos que sus clientes les confían. Los dos documentos conviven y no se copian el uno del otro. El contrato que regula ese encargo se rige por el artículo 28.3 y se trata aparte.

El modelo de registro básico que difunde la autoridad francesa, en formato de hoja de cálculo y destinado a las estructuras pequeñas, contiene más columnas de las que exige el artículo 30. No es un error: la autoridad recomienda explícitamente enriquecer el registro. Conviene, eso sí, saber qué procede del reglamento y qué procede del consejo.

La columna más importante es la base jurídica. Búsquela en el artículo 30: no está. Los siete apartados no piden en ningún sitio sobre qué fundamento del artículo 6 descansa el tratamiento — consentimiento, contrato, obligación legal, interés legítimo. Figura, sin embargo, en todos los modelos serios, y por una razón sólida: el artículo 5.2 obliga a estar en condiciones de demostrar el cumplimiento, y un tratamiento del que nadie sabe en qué base descansa no se demuestra.

Siguen, en el mismo plano de recomendación, la mención de la información facilitada al amparo de los artículos 13 y 14, la adscripción del tratamiento a un departamento interno, y la referencia del contrato de encargo. Ninguna se impone; todas sirven el día en que hay que responder a la autoridad en unos días y no en unas semanas.

Un modelo se lee, pues, por lo que es: una herramienta, no el texto. Es también la razón por la que no difundimos el nuestro — un registro se construye sobre tratamientos reales, y un archivo precumplimentado da sobre todo la ilusión de haber resuelto la cuestión.

No es una declaración. No se envía nada a la autoridad: el artículo 30.4 solo obliga a ponerle el registro a disposición cuando lo solicite. El régimen de declaración previa desapareció el 25 de mayo de 2018.

No es un formulario impuesto. El artículo 30.3 exige una forma escrita, «inclusive en formato electrónico». Una hoja de cálculo sirve, y una herramienta específica también; lo que no se admite es la ausencia de rastro.

No es un documento que se rellene una vez. Al deber estar disponible cuando se solicite, ha de describir los tratamientos reales el día de la solicitud — no en la fecha de su última revisión. El disparador de la actualización no es el calendario sino el hecho: nueva herramienta, nuevo proveedor, nuevo fin, transferencia fuera de la Unión.

Por último, no es un documento sin trascendencia. La ausencia de registro se sitúa en el artículo 83.4 a), que fija el techo de la multa administrativa en 10 millones de euros o, tratándose de una empresa, en el 2 % del volumen de negocio anual global, optándose por la cuantía mayor. Ese techo no es la sanción esperable para una pyme. Lo que cuenta en la práctica es más prosaico: un registro ausente el primer día de una inspección orienta todo lo que viene después.

Un apunte de calendario, porque circula mucho y a menudo se presenta como hecho consumado. La Comisión Europea propuso, el 19 de noviembre de 2025, en el paquete llamado «Digital Omnibus» (COM(2025) 837), modificar el artículo 30.5: umbral elevado de 250 a 750 personas, supresión del criterio del carácter ocasional, obligación centrada en los tratamientos que puedan entrañar un alto riesgo en el sentido del artículo 35.

Esta propuesta no está adoptada. A 6 de agosto de 2026, fecha de publicación de este artículo, sigue en negociación entre el Parlamento y el Consejo, y el derecho aplicable permanece inalterado. Una empresa de 400 trabajadores que suspendiera su registro amparándose en un texto en discusión se colocaría hoy en situación de incumplimiento.

Construimos el registro a partir de entrevistas con los responsables de cada área y no a partir de los procedimientos escritos. La distancia entre ambos es lo que una inspección revela: los tratamientos reales son casi siempre más numerosos que los que la organización cree realizar.

En esta clase de asuntos, la dificultad casi nunca se desplaza al llenado de las columnas, sino a la calificación de cada parte y a la transmisión del registro a quienes deberán mantenerlo después. Un registro que nadie sabe actualizar caduca en seis meses.

El despacho aplica esta exigencia a su propio sitio web, cuyo registro del origen de las visitas y cuya recogida del consentimiento se describen en su política de privacidad. Nuestros encargos se facturan a tanto alzado, y el importe se anuncia y se acepta antes de empezar. Si su registro está por construir o por rehacer, una primera conversación basta para medir la carga.