Protecció de dades
Registre d'activitats de tractament (RAT): què és i per què gairebé cap empresa se'n lliura
Informació general sobre normativa. No substitueix l’assessorament d’un advocat ni l’anàlisi del teu cas concret.
Resposta directa: el registre d'activitats de tractament (RAT) és el document on apuntes quines dades personals tractes, per a què i durant quant de temps. L'exigeix l'article 30 del Reglamento (UE) 2016/679 (RGPD). Molta gent creu que les empreses de menys de 250 empleats estan exemptes, però aquesta excepció gairebé mai no s'aplica: quan tractes dades de manera habitual (els teus clients, la teva plantilla), tornes a estar obligat. Tranquilia el genera a partir d'un qüestionari curt, sense que l'hagis de redactar des de zero.
Sumari
- Què és el registre d'activitats de tractament?
- Per què és obligatori (i el parany dels 250 empleats)?
- Què ha d'incloure?
- Quin risc corres si no el tens?
- Com el genera Tranquilia
- Preguntes freqüents
- Fonts oficials
Què és el registre d'activitats de tractament?
És un inventari. Res més, i res menys. Cada vegada que el teu negoci fa servir dades de persones —la llista de clients, les nòmines dels teus empleats, els currículums que reps, la càmera de seguretat— això és una «activitat de tractament», i el RAT les recull totes en un sol lloc.
No és un text legal complicat: és una taula ordenada que respon, per a cada tractament, a cinc preguntes senzilles: quines dades, de qui, per a què, qui les veu i quant de temps les guardes.
Per què és obligatori (i el parany dels 250 empleats)?
L'article 30 del RGPD obliga a portar aquest registre. L'apartat 30.5 diu que les empreses amb menys de 250 empleats se'n podrien lliurar... però amb tres excepcions que ho desactiven gairebé sempre:
- Quan el tractament no és ocasional (tenir clients o empleats de manera continuada ja compta).
- Quan pot suposar un risc per als drets de les persones.
- Quan inclou categories especials de dades (salut, afiliació sindical) o dades de condemnes.
A la pràctica, qualsevol negoci amb clients fixos o amb plantilla tracta dades «de manera no ocasional». Per això l'excepció dels menys de 250 empleats és més teòrica que real: gairebé totes les pimes i autònoms continuen obligats a tenir el RAT.
Què ha d'incloure?
El mateix art. 30 fixa el contingut mínim. Per a cada activitat:
- El nom i el contacte del responsable (la teva empresa).
- Les finalitats del tractament (per què tractes aquestes dades).
- Les categories de persones i de dades afectades.
- A qui es comuniquen les dades (gestoria, Hacienda, proveïdors).
- Els terminis previstos per esborrar-les.
- Una descripció general de les mesures de seguretat.
Quin risc corres si no el tens?
L'AEPD (Agencia Española de Protección de Datos) és qui vigila això. No tenir el RAT és una de les primeres coses que es detecten en una inspecció, perquè és el document que resumeix tota la resta: si no existeix, es dona per fet que la resta tampoc no hi és.
El RGPD fixa els màxims de sanció en dos nivells: fins a 10 milions d'euros o el 2 % de la facturació mundial, i fins a 20 milions o el 4 %, segons la infracció (art. 83 RGPD); s'aplica la xifra més alta. Aquestes xifres són el sostre legal, no el que és habitual: la sanció es gradua segons la gravetat, la mida del negoci i si has col·laborat. Per a una pime, el més freqüent no és la multa màxima, sinó que la manca del RAT agreugi una altra reclamació que ja tenies a sobre.
Com el genera Tranquilia
En comptes de partir d'una plantilla en blanc, contestes un qüestionari guiat sobre la teva activitat i Tranquilia omple el RAT amb els tractaments típics del teu ofici, ja identificats. Si ets una gestoria, el generes per a cada empresa clienta que dones d'alta. Pots provar-ho amb fins a 2 empreses, sense targeta i sense límit de temps.
Preguntes freqüents
He de fer un RAT si només som dues persones?
Sí, llevat que només tractis dades de manera veritablement ocasional, cosa rara si tens clients o empleats fixos. La mida no t'eximeix per si sola: el que compta és com tractes les dades, no quants sou.
El RAT s'ha d'enviar a l'AEPD?
No. El RAT no es registra ni s'envia a ningú: el tens tu i l'ensenyes si l'AEPD te'l demana. És un document intern, però obligatori.
Cada quant s'actualitza?
Quan canviï alguna cosa real: un tractament nou, un proveïdor nou, un canvi en els terminis. No hi ha una data fixa, però un RAT que fa anys que no es toca sol estar desactualitzat.
Fonts oficials
- Reglamento (UE) 2016/679 (RGPD), article 30 (i art. 83, sancions) — text a EUR-Lex.
- Agencia Española de Protección de Datos (AEPD).
- BOE — Ley Orgánica 3/2018 (LOPDGDD).
Informació general sobre normativa. No substitueix l'assessorament d'un advocat ni l'anàlisi del teu cas concret. Si tens dubtes, consulta amb la teva gestoria o amb un professional del dret.
Revisió: Traducció de l'original espanyol, que és la versió que preval en cas de divergència.
Posa els teus clients en regla amb el RGPD en 15 minuts.
Sense targeta. Sense comercials. Dues empreses gratis, sense límit de temps.