Aplicable en España — basado en normativa española (BOE).El inventario que casi toda organización que trata datos personales debe mantener, y cuándo hay que hacerlo público
Resumen rápido: El registro de actividades de tratamiento es el inventario que los responsables y encargados del tratamiento de datos personales -o sus representantes- deben mantener, conforme al artículo 30 del RGPD. El artículo 31 de la LOPDGDD desarrolla esta obligación en el ordenamiento español.
Definición flash: Inventario interno que responsables y encargados del tratamiento deben llevar y mostrar a la autoridad que lo pida (art. 30 RGPD y art. 31 LOPDGDD).
Etiqueta lingüística
"Registro" aquí no es un registro público en el sentido tradicional -como el Registro de la Propiedad-: es un documento interno de la propia organización, que solo determinados sujetos están obligados a hacer público.
Definición técnica
El registro debe especificar, según sus finalidades, las actividades de tratamiento llevadas a cabo y las demás circunstancias que exige el artículo 30 RGPD, y puede organizarse en torno a conjuntos estructurados de datos. Cuando existe un delegado de protección de datos, hay que comunicarle cualquier adición, modificación o exclusión en el contenido del registro. Los sujetos enumerados en el artículo 77.1 LOPDGDD -entidades del sector público, entre otras- tienen una obligación adicional: hacer público un inventario de sus actividades de tratamiento, accesible por medios electrónicos, con la información del artículo 30 RGPD y su base legal.
Aplicación práctica
En la práctica, mantener el registro de actividades de tratamiento actualizado es una de las primeras exigencias que revisa la Agencia Española de Protección de Datos en una inspección: su ausencia o desactualización es en sí misma indicio de incumplimiento del principio de responsabilidad proactiva.
Contexto legal en España
El registro de actividades de tratamiento se regula en el artículo 31 de la LOPDGDD, en desarrollo del artículo 30 del RGPD, con la obligación de publicidad adicional del artículo 77.1 LOPDGDD para determinados sujetos.
Normas clave a tener en cuenta
Qué no es / diferencias clave
- Registro General de Protección de Datos
- El registro de actividades de tratamiento es un documento interno de cada responsable o encargado. El antiguo Registro General de Protección de Datos, donde había que inscribir los ficheros, era una figura de la Ley Orgánica 15/1999, derogada por la LOPDGDD: la normativa vigente no prevé inscribir los tratamientos en ningún registro público, sino llevar este registro interno y ponerlo a disposición de la autoridad de control que lo solicite (art. 30.4 RGPD).
Dato de autoridad
El artículo 31.1 de la LOPDGDD dispone que «los responsables y encargados del tratamiento [...] deberán mantener el registro de actividades de tratamiento al que se refiere el artículo 30 del Reglamento (UE) 2016/679».
Preguntas frecuentes sobre registro de actividades de tratamiento
¿Quién debe mantener el registro de actividades de tratamiento?
Los responsables y encargados del tratamiento, o sus representantes, salvo que aplique la excepción del artículo 30.5 del RGPD (art. 31.1 LOPDGDD), que exige a la vez emplear a menos de 250 personas y que el tratamiento no entrañe riesgo, sea ocasional y no incluya categorías especiales de datos ni datos penales; basta con que falle una de esas condiciones para que el registro sea obligatorio.
Autoría y revisión editorial
Contenido elaborado bajo la dirección editorial de DERECHO ABOGADOS, verificando cada norma sobre fuentes oficiales (BOE y jurisprudencia).
Cada norma citada se verifica contra su texto consolidado en el BOE: se comprueba el identificador de la norma, que la redacción sea la vigente y que lo entrecomillado sea literal. Es una verificación editorial, no un visto colegiado. Este contenido es información general y no constituye asesoramiento legal sobre un caso concreto.