Cómo preparar el Registro de Actividades de Tratamiento (RAT)

El Registro de Actividades de Tratamiento es el inventario estructurado de las operaciones de tratamiento de datos personales de una organización.

Sirve para entender y demostrar qué datos se tratan, con qué finalidad y bajo qué condiciones.

El artículo 30.5 del RGPD contiene una excepción limitada para organizaciones con menos de 250 empleados, pero no es una exención general para pymes.

La excepción no opera, entre otros casos, cuando el tratamiento puede entrañar un riesgo para los derechos y libertades, no es ocasional o incluye categorías especiales de datos o datos relativos a condenas e infracciones.

En la práctica, muchas actividades ordinarias y recurrentes de una empresa —clientes, trabajadores, facturación o proveedores— no son tratamientos meramente ocasionales.

No crees una línea por cada cliente. El RAT se organiza por actividades o finalidades de tratamiento.

Ejemplo:

Gestión de clientes

Puede incluir:

• identificación;
• contacto;
• facturación;
• ejecución del servicio;
• cobros;
• atención postventa.

Recursos humanos

Puede incluir:

• contrato;
• nómina;
• jornada;
• prevención;
• formación;
• Seguridad Social.

Marketing

Puede incluir:

• newsletter;
• leads;
• campañas;
• medición de conversiones.

El artículo 30 RGPD exige documentar, entre otros puntos:

• nombre y datos de contacto del responsable;
• DPD, cuando exista;
• fines del tratamiento;
• categorías de interesados;
• categorías de datos;
• categorías de destinatarios;
• transferencias internacionales, cuando existan;
• plazos previstos de supresión cuando sea posible;
• descripción general de medidas técnicas y organizativas cuando sea posible.

Aunque no sea un campo literal obligatorio del artículo 30, suele ser práctico añadir:

• base jurídica;
• sistema o aplicación utilizada;
• proveedor;
• ubicación;
• responsable interno;
• fecha de revisión;
• fuente de los datos;
• enlace al contrato de encargo;
• nivel de riesgo.

Así el RAT se convierte en una herramienta de gestión, no en un documento estático.

El RAT debe ser coherente con:

• cláusulas informativas;
• política de privacidad;
• contratos con encargados;
• inventario de activos;
• análisis de riesgos;
• política de conservación;
• registro de brechas.

Si la política web dice una cosa y el RAT otra, la documentación pierde valor probatorio.

Revísalo cuando:

• incorporas un nuevo software;
• cambias de CRM;
• empiezas una newsletter;
• contratas empleados;
• instalas videovigilancia;
• introduces IA;
• cambias un proveedor cloud;
• empiezas a tratar nuevos datos;
• cambia la finalidad;
• abres una nueva línea de negocio.

Además, conviene una revisión periódica aunque no haya cambios aparentes.

Para cada tratamiento crea una ficha con:

1. Nombre del tratamiento.
2. Finalidad.
3. Interesados.
4. Datos.
5. Base jurídica.
6. Destinatarios.
7. Encargados.
8. Transferencias.
9. Conservación.
10. Medidas de seguridad.
11. Responsable interno.
12. Fecha de revisión.

• RGPD, artículo 30: https://eur-lex.europa.eu/eli/reg/2016/679/oj/spa
• AEPD — registro de actividades: https://www.aepd.es/preguntas-frecuentes/2-tus-obligaciones-como-responsable-del-tratamiento/3-registro-de-actividades-de-tratamiento

Revisado el 24/09/2026.