¿Necesitan las pequeñas empresas un registro de actividades de tratamiento conforme al RGPD?

El artículo 30 del RGPD obliga a los responsables y encargados del tratamiento a llevar un registro de sus actividades de tratamiento. El artículo 30.5 exime a las organizaciones con menos de 250 empleados, lo que lleva a muchas pequeñas empresas a suponer que no necesitan nada. La exención tiene tres excepciones que la dejan sin efecto para la mayoría de las empresas.

Cuándo no se aplica la exención

Una organización con menos de 250 empleados debe llevar igualmente un registro si su tratamiento:

• puede entrañar un riesgo para los derechos y libertades de las personas;
• no es ocasional; o
• incluye categorías especiales de datos (como datos de salud) o datos relativos a condenas e infracciones penales.

Qué significa esto en la práctica

Las nóminas se procesan todos los meses; un CRM se utiliza a diario. Casi todas las empresas tratan datos personales de forma habitual, por lo que el tratamiento no es ocasional y la exención no se aplica a esas actividades. Las autoridades de control suelen interpretarlo así.

Qué contiene el registro

Para los responsables del tratamiento, el artículo 30.1 enumera el contenido:

• el nombre y los datos de contacto del responsable y, en su caso, del delegado de protección de datos;
• los fines del tratamiento;
• las categorías de interesados y de datos personales;
• las categorías de destinatarios, incluidos los destinatarios en terceros países;
• las transferencias a terceros países y las garantías utilizadas;
• cuando sea posible, los plazos previstos para la supresión;
• cuando sea posible, una descripción general de las medidas de seguridad.

Por qué merece la pena tenerlo de todos modos

El registro es la base de todo lo demás: su aviso de privacidad, sus respuestas a las solicitudes de acceso, su evaluación de violaciones de seguridad y sus respuestas a los cuestionarios de diligencia debida de los clientes. Nuestra evaluación RGPD elabora un registro precumplimentado a partir de sus respuestas, incluida una sección de encargado del tratamiento si trata datos por cuenta de clientes.