Registro de actividades de tratamiento: los campos del artículo 30 explicados con sencillez

El registro de actividades de tratamiento es un inventario de los procesos de datos de la organización. Responde a una sola pregunta: qué hacemos con los datos de las personas. No qué documentos tenemos ni qué políticas hemos aprobado, sino qué ocurre realmente cada día: qué se recoge, para qué, dónde se guarda y a quién se cede.

Por eso el registro no es un texto jurídico. Es una tabla en la que cada fila es un proceso y las columnas son las mismas preguntas repetidas para cada proceso.

El resto de la documentación —políticas internas, avisos de privacidad, listado de contratos— se redacta a partir de él. Si intenta empezar por las políticas, acabará escribiendo sobre algo que todavía no ha contabilizado.

Los primeros campos son sencillos: quién es el responsable del tratamiento, sus datos de contacto, los del representante si lo hay, y los del delegado de protección de datos si la organización cuenta con uno. Estos campos son iguales en todo el registro, así que se rellenan una sola vez.

Conviene indicar un contacto funcional, no la dirección personal de un empleado concreto. El personal cambia, y el registro debe seguir siendo correcto dentro de un año.

A cada finalidad se le asigna una base. En nuestro ejemplo, el cálculo de la nómina y los informes a las autoridades se apoyan en una obligación legal; la ejecución del contrato de trabajo, en el contrato; y, por ejemplo, la foto de un empleado en un directorio interno suele apoyarse en el consentimiento o en el interés legítimo, según el caso.

La base no es un campo decorativo. De ella depende qué derechos tiene la persona: puede oponerse cuando la base es el interés legítimo, puede retirar el consentimiento, y en el caso de una obligación legal ninguno de los dos caminos está disponible.

Si la base elegida es incorrecta, también lo será el aviso de privacidad. Consulte la lista de bases en [COMPROBAR: referencia legal].

Los destinatarios son todos los que ven los datos fuera de la organización. En nuestro ejemplo se trata de la gestoría o el proveedor del programa de nóminas, el banco, las administraciones públicas, la aseguradora, el servicio médico que realiza los reconocimientos y, a veces, la firma de auditoría.

Cada destinatario obliga a hacerse una segunda pregunta: ¿es un responsable independiente o un encargado del tratamiento? Con los encargados hace falta un contrato, así que la lista de destinatarios es en la práctica también una lista de verificación de contratos. Es aquí donde suele descubrirse que con uno o dos sistemas no existe contrato.

El plazo no se fija una vez para todo el proceso, sino por grupos de datos. En nuestro ejemplo, el contrato de trabajo y los documentos de personal se conservan mucho tiempo por obligaciones de archivo, el control horario menos tiempo, y la correspondencia diaria sobre turnos todavía menos.

Junto al plazo siempre se anota el motivo: una norma legal, el riesgo de reclamaciones o una decisión de la organización. Un plazo sin motivo es solo un número que no se puede defender ni revisar.

El registro está terminado cuando puede imprimirlo y explicar cada fila a un compañero sin preguntas adicionales. Cada proceso tiene finalidad, base, categorías, destinatarios, plazo y medidas, y las cuestiones pendientes están marcadas como pendientes, no maquilladas con frases genéricas.

A partir de ahí empieza el trabajo habitual: la revisión cuando cambia un sistema, un proveedor o un proceso. Las organizaciones que usan el registro como herramienta de trabajo dedican a esto unos minutos cada trimestre. Las que lo olvidan tienen que rehacerlo casi desde cero al cabo de dos años.

El camino más rápido son tres conversaciones: con administración, con recursos humanos y con quien mantiene los sistemas. En una hora, cada uno de ellos aporta más de lo que figura en los documentos, porque saben dónde están realmente los datos.

La segunda fuente es el listado de contratos y las facturas. En ellos aparecen todos los proveedores, incluidos los que nadie recordaba: el servicio de archivo, la destrucción de documentos, la plataforma de marketing, la herramienta de encuestas.

La tercera son los propios sistemas. El listado de accesos muestra quién tiene permisos y, a menudo, también que siguen teniendo acceso personas que cambiaron de puesto o dejaron la organización hace tiempo.

El registro es la fuente de respuestas cuando ocurre algo. Una persona pide una copia de sus datos: el registro indica en qué sistemas buscarlos.

Se produce un incidente: el registro muestra el alcance y los destinatarios afectados. Llega una consulta de una autoridad: el registro es el primer anexo que se aporta.

También es una herramienta de compras. Antes de implantar un nuevo sistema basta con trasladar las preguntas del registro al proveedor: qué datos verá, dónde estarán, quién tendrá acceso, qué ocurre al terminar el contrato. Ese es el mejor momento para obtener respuestas.

Por último, el registro sirve como material de formación para el personal nuevo. En lugar de veinte páginas de políticas, la persona ve una sola tabla que le permite entender qué hace la organización con los datos y por qué.