Registro de actividades de tratamiento: plantilla y ejemplo práctico

Un registro de actividades de tratamiento —el famoso RAT— no debería ser un documento decorativo que se prepara una vez y termina olvidado en una carpeta. Es el mapa de los datos personales que utiliza una organización: qué datos recoge, para qué los usa, con quién los comparte, cuánto tiempo los conserva y cómo los protege.

Si todavía no tienes claro cuándo existe esta obligación, empieza por nuestra guía sobre quién debe llevar un registro de actividades de tratamiento. Aquí vamos a lo práctico: cómo construirlo y qué debería aparecer en cada apartado.

¿Quién debe llevar el registro?

El artículo 30 del Reglamento General de Protección de Datos obliga a responsables y encargados del tratamiento a mantener un registro de sus actividades. Existe una excepción para organizaciones con menos de 250 trabajadores, pero es bastante más estrecha de lo que suele pensarse: no opera cuando el tratamiento puede entrañar un riesgo, no es ocasional o incluye categorías especiales de datos o datos relativos a condenas e infracciones penales.

Traducido: una clínica, asesoría, comercio electrónico o empresa con empleados trata datos de forma habitual. Por eso no conviene dar por hecho que «como somos pequeños, estamos exentos». La Agencia Española de Protección de Datos recomienda documentar los tratamientos y ofrece herramientas para facilitar el cumplimiento.

Plantilla básica para un responsable del tratamiento

Cada actividad debe tener su propia ficha. Estos son los campos mínimos que conviene incluir:

• Nombre de la actividad: por ejemplo, gestión de pacientes, nóminas, videovigilancia o envío de comunicaciones comerciales.
• Responsable: identidad y datos de contacto de la organización y, cuando proceda, del delegado de protección de datos.
• Finalidad: para qué se utilizan los datos. Debe ser concreta; «gestión administrativa» suele decir demasiado poco.
• Personas afectadas: clientes, pacientes, empleados, candidatos, proveedores o visitantes.
• Categorías de datos: identificativos, contacto, económicos, laborales, salud u otras categorías especiales.
• Destinatarios: administraciones, bancos, aseguradoras, proveedores tecnológicos u otros terceros.
• Transferencias internacionales: país u organización de destino y garantías aplicadas, cuando existan.
• Plazo de conservación: el plazo concreto o los criterios utilizados para determinarlo.
• Medidas de seguridad: una descripción general, sin publicar detalles que comprometan la seguridad.

Ejemplo: gestión de pacientes de una clínica

Actividad: gestión asistencial y administrativa de pacientes. Finalidad: prestar asistencia sanitaria, gestionar citas, facturación y obligaciones legales. Interesados: pacientes y, cuando sea necesario, familiares o representantes. Datos: identificación, contacto, información económica e historia clínica. Destinatarios: aseguradoras o administraciones cuando exista base jurídica para ello. Conservación: durante los plazos sanitarios, fiscales y de responsabilidad aplicables. Seguridad: control de accesos, copias de seguridad, registro de incidencias y formación del personal.

Este ejemplo no se puede copiar sin más. Una clínica que realiza telemedicina, una consulta que trabaja con aseguradoras y un centro con videovigilancia pueden necesitar actividades distintas. Además, la historia clínica exige especial cautela por contener datos de salud. En nuestra guía sobre protección de datos de pacientes explicamos ese contexto.

Errores que conviene evitar

• Agrupar todos los usos de datos bajo una única finalidad genérica.
• Confundir el registro con las cláusulas de privacidad o con el consentimiento.
• No reflejar proveedores, aplicaciones en la nube o transferencias internacionales.
• Indicar que los datos se conservan «indefinidamente».
• Prepararlo una vez y no revisarlo cuando cambia un proceso.

El RAT debe coincidir con lo que sucede realmente. Si la empresa incorpora una nueva aplicación, comienza a grabar llamadas o cambia de proveedor, hay que comprobar si el registro también debe actualizarse.

Preguntas frecuentes

¿El RAT debe publicarse?

El RGPD exige mantenerlo por escrito y ponerlo a disposición de la autoridad de control cuando lo solicite. Eso no significa que toda empresa deba publicarlo en su web. Las administraciones y determinadas entidades pueden tener obligaciones adicionales de transparencia.

¿Es lo mismo que una evaluación de impacto?

No. El registro inventaría y describe tratamientos. La evaluación de impacto analiza con mayor profundidad operaciones que probablemente entrañen un alto riesgo y documenta cómo se gestionará.

¿Hace falta un programa especial?

No existe un formato único. Puede utilizarse una hoja de cálculo o una aplicación, siempre que el documento contenga la información necesaria, esté actualizado y sea realmente manejable.

Fuentes oficiales

• Reglamento (UE) 2016/679, especialmente su artículo 30.
• Registro de actividades de tratamiento, AEPD.

Contenido informativo, actualizado en agosto de 2026. La configuración concreta del registro debe adaptarse a la actividad y a los tratamientos reales de cada organización.

Etiquetas: