Rexistro de actividades de tratamento (RAT): que é e por que case ningunha empresa se libra

Sumario

• Que é o rexistro de actividades de tratamento?
• Por que é obrigatorio (e a trampa dos 250 empregados)?
• Que ten que incluír?
• Que risco corres se non o tes?
• Como o xera Tranquilia
• Preguntas frecuentes
• Fontes oficiais

Que é o rexistro de actividades de tratamento?

É un inventario. Nada máis, e nada menos. Cada vez que o teu negocio usa datos de persoas —a lista de clientes, as nóminas dos teus empregados, os currículos que recibes, a cámara de seguridade— iso é unha «actividade de tratamento», e o RAT recólleas todas nun só sitio.

Non é un texto legal complicado: é unha táboa ordenada que responde, para cada tratamento, a cinco preguntas simples: que datos, de quen, para que, quen os ve e canto tempo os gardas.

Por que é obrigatorio (e a trampa dos 250 empregados)?

O artigo 30 do RGPD obriga a levar este rexistro. O apartado 30.5 di que as empresas con menos de 250 empregados poderían librarse... pero con tres excepcións que o desactivan case sempre:

• Cando o tratamento non é ocasional (ter clientes ou empregados de forma continua xa conta).
• Cando pode supoñer un risco para os dereitos das persoas.
• Cando inclúe categorías especiais de datos (saúde, afiliación sindical) ou datos de condenas.

Na práctica, calquera negocio con clientes fixos ou con cadro de persoal trata datos «de forma non ocasional». Por iso a excepción dos menos de 250 empregados é máis teórica que real: case todas as pemes e autónomos seguen obrigados a ter o RAT.

Que ten que incluír?

O propio art. 30 fixa o contido mínimo. Para cada actividade:

1. O nome e o contacto do responsable (a túa empresa).
2. As finalidades do tratamento (por que tratas eses datos).
3. As categorías de persoas e de datos afectados.
4. A quen se comunican os datos (xestoría, Hacienda, provedores).
5. Os prazos previstos para borralos.
6. Unha descrición xeral das medidas de seguridade.

Que risco corres se non o tes?

A AEPD (Agencia Española de Protección de Datos) é quen vixía isto. Non ter o RAT é unha das primeiras cousas que se detectan nunha inspección, porque é o documento que resume todo o demais: se non existe, dáse por feito que o resto tampouco está.

O RGPD fixa os máximos de sanción en dous niveis: ata 10 millóns de euros ou o 2 % da facturación mundial, e ata 20 millóns ou o 4 %, segundo a infracción (art. 83 RGPD); aplícase a cifra máis alta. Esas cifras son o teito legal, non o habitual: a sanción gradúase segundo a gravidade, o tamaño do negocio e se colaboraches. Para unha peme, o máis frecuente non é a multa máxima, senón que a falta do RAT agrave outra reclamación que xa tiñas enriba.

Como o xera Tranquilia

En vez de partir dun modelo en branco, respondes un cuestionario guiado sobre a túa actividade e Tranquilia cobre o RAT cos tratamentos típicos do teu oficio, xa identificados. Se es unha xestoría, xéralo para cada empresa clienta que dás de alta. Podes probalo con ata 2 empresas, sen tarxeta e sen límite de tempo.

Preguntas frecuentes

Teño que facer un RAT se só somos dúas persoas?

Si, agás que só trates datos de forma verdadeiramente ocasional, algo raro se tes clientes ou empregados fixos. O tamaño non te exime por si só: o que conta é como tratas os datos, non cantos sodes.

O RAT hai que envialo á AEPD?

Non. O RAT non se rexistra nin se envía a ninguén: telo ti e amósalo se a AEPD cho pide. É un documento interno, pero obrigatorio.

Cada canto se actualiza?

Cando cambie algo real: un tratamento novo, un provedor novo, un cambio nos prazos. Non hai unha data fixa, pero un RAT que leva anos sen tocarse adoita estar desactualizado.

Fontes oficiais

• Reglamento (UE) 2016/679 (RGPD), artigo 30 (e art. 83, sancións) — texto en EUR-Lex.
• Agencia Española de Protección de Datos (AEPD).
• BOE — Ley Orgánica 3/2018 (LOPDGDD).

---

Información xeral sobre normativa. Non substitúe o asesoramento dun avogado nin a análise do teu caso concreto. Se tes dúbidas, consulta coa túa xestoría ou cun profesional do dereito.