Qué debe incluir
Para cada actividad de tratamiento (art. 30.1):
- nombre y datos de contacto del responsable y, en su caso, del DPD;
- fines del tratamiento;
- categorías de interesados y de datos personales;
- categorías de destinatarios, incluidos los de fuera del Espacio Económico Europeo;
- transferencias internacionales y sus garantías;
- plazos previstos de supresión, cuando sea posible;
- descripción general de las medidas técnicas y organizativas de seguridad.
Por qué la excepción casi nunca vale
El art. 30.5 exime a las organizaciones con menos de 250 empleados solo si el tratamiento no entraña riesgo, es ocasional y no incluye categorías especiales ni datos penales. Basta con que falle una condición para que el registro sea obligatorio.
La Comisión Europea ha propuesto ampliar esta excepción; mientras no se apruebe y publique, se aplica el texto actual.
El registro del encargado
Los proveedores que tratan datos por cuenta de otros llevan su propio registro: para qué clientes tratan datos, qué tipos de tratamiento, transferencias y medidas de seguridad (art. 30.2).
Administraciones públicas
En España, los sujetos del art. 77.1 LOPDGDD, como las administraciones públicas, deben además hacer público un inventario de sus actividades de tratamiento (art. 31.2 LOPDGDD).
Preguntas frecuentes
¿Se envía a la AEPD?
No. Se conserva y se pone a disposición de la autoridad de control si lo pide.
¿Vale una hoja de cálculo?
Sí, el formato es libre si incluye el contenido del art. 30 y se mantiene actualizado.
¿Cada cuánto se actualiza?
Cuando cambian los tratamientos: nuevos programas, proveedores o fines. Una revisión anual es una buena práctica.