Protección de datos
Registro de actividades de tratamiento (RAT): qué es y por qué casi ninguna empresa se libra
Información general sobre normativa. No sustituye el asesoramiento de un abogado ni el análisis de tu caso concreto.
Respuesta directa: el registro de actividades de tratamiento (RAT) es el documento donde apuntas qué datos personales tratas, para qué y durante cuánto tiempo. Lo exige el artículo 30 del Reglamento (UE) 2016/679 (RGPD). Mucha gente cree que las empresas de menos de 250 empleados están exentas, pero esa excepción casi nunca aplica: en cuanto tratas datos de forma habitual (tus clientes, tu plantilla), vuelves a estar obligado. Tranquilia lo genera a partir de un cuestionario corto, sin que tengas que redactarlo desde cero.
Sumario
- ¿Qué es el registro de actividades de tratamiento?
- ¿Por qué es obligatorio (y la trampa de los 250 empleados)?
- ¿Qué tiene que incluir?
- ¿Qué riesgo corres si no lo tienes?
- Cómo lo genera Tranquilia
- Preguntas frecuentes
- Fuentes oficiales
¿Qué es el registro de actividades de tratamiento?
Es un inventario. Nada más, y nada menos. Cada vez que tu negocio usa datos de personas —la lista de clientes, las nóminas de tus empleados, los currículos que recibes, la cámara de seguridad— eso es una «actividad de tratamiento», y el RAT las recoge todas en un solo sitio.
No es un texto legal complicado: es una tabla ordenada que responde, para cada tratamiento, a cinco preguntas simples: qué datos, de quién, para qué, quién los ve y cuánto tiempo los guardas.
¿Por qué es obligatorio (y la trampa de los 250 empleados)?
El artículo 30 del RGPD obliga a llevar este registro. El apartado 30.5 dice que las empresas con menos de 250 empleados podrían librarse... pero con tres excepciones que lo desactivan casi siempre:
- Cuando el tratamiento no es ocasional (tener clientes o empleados de forma continua ya cuenta).
- Cuando puede suponer un riesgo para los derechos de las personas.
- Cuando incluye categorías especiales de datos (salud, afiliación sindical) o datos de condenas.
En la práctica, cualquier negocio con clientes fijos o con plantilla trata datos «de forma no ocasional». Por eso la excepción de los menos de 250 empleados es más teórica que real: casi todas las pymes y autónomos siguen obligados a tener el RAT.
¿Qué tiene que incluir?
El propio art. 30 fija el contenido mínimo. Para cada actividad:
- El nombre y contacto del responsable (tu empresa).
- Las finalidades del tratamiento (por qué tratas esos datos).
- Las categorías de personas y de datos afectados.
- A quién se comunican los datos (gestoría, Hacienda, proveedores).
- Los plazos previstos para borrarlos.
- Una descripción general de las medidas de seguridad.
¿Qué riesgo corres si no lo tienes?
La AEPD (Agencia Española de Protección de Datos) es quien vigila esto. No tener el RAT es una de las primeras cosas que se detecta en una inspección, porque es el documento que resume todo lo demás: si no existe, se da por hecho que el resto tampoco está.
El RGPD fija los máximos de sanción en dos niveles: hasta 10 millones de euros o el 2 % de la facturación mundial, y hasta 20 millones o el 4 %, según la infracción (art. 83 RGPD); se aplica la cifra más alta. Esas cifras son el techo legal, no lo habitual: la sanción se gradúa según la gravedad, el tamaño del negocio y si has colaborado. Para una pyme, lo más frecuente no es la multa máxima, sino que la falta del RAT agrave otra reclamación que ya tenías encima.
Cómo lo genera Tranquilia
En vez de partir de una plantilla en blanco, contestas un cuestionario guiado sobre tu actividad y Tranquilia rellena el RAT con los tratamientos típicos de tu oficio, ya identificados. Si eres una gestoría, lo generas para cada empresa cliente que das de alta. Puedes probarlo con hasta 2 empresas, sin tarjeta y sin límite de tiempo.
Preguntas frecuentes
¿Tengo que hacer un RAT si solo somos dos personas?
Sí, salvo que solo trates datos de forma verdaderamente ocasional, algo raro si tienes clientes o empleados fijos. El tamaño no te exime por sí solo: lo que cuenta es cómo tratas los datos, no cuántos sois.
¿El RAT hay que enviarlo a la AEPD?
No. El RAT no se registra ni se envía a nadie: lo tienes tú y lo enseñas si la AEPD te lo pide. Es un documento interno, pero obligatorio.
¿Cada cuánto se actualiza?
Cuando cambie algo real: un tratamiento nuevo, un proveedor nuevo, un cambio en los plazos. No hay una fecha fija, pero un RAT que lleva años sin tocarse suele estar desactualizado.
Fuentes oficiales
- Reglamento (UE) 2016/679 (RGPD), artículo 30 (y art. 83, sanciones) — texto en EUR-Lex.
- Agencia Española de Protección de Datos (AEPD).
- BOE — Ley Orgánica 3/2018 (LOPDGDD).
Información general sobre normativa. No sustituye el asesoramiento de un abogado ni el análisis de tu caso concreto. Si tienes dudas, consulta con tu gestoría o con un profesional del derecho.
Pon a tus clientes en regla con toda su normativa en 15 minutos.
Sin tarjeta. Sin comerciales. Dos empresas gratis, sin límite de tiempo.