Llevar el registro de actividades de tratamiento (VVT)

Una empresa que trata datos personales de clientes, por ejemplo en la gestión de contratos, el soporte o el marketing, debe documentar sin lagunas qué datos se tratan y con qué fin. Precisamente para ello el RGPD prescribe un registro propio, que muchas empresas subestiman en su actividad diaria.

En pocas palabras: el registro de actividades de tratamiento (en alemán: Verzeichnis von Verarbeitungstätigkeiten, VVT) es una documentación prescrita por el art. 30 del RGPD y mantenida de forma continua de todas las operaciones de tratamiento de datos personales. Afecta prácticamente a todas las empresas con datos de clientes, ya que la excepción para las empresas de menos de 250 empleados no se aplica de hecho cuando el tratamiento es habitual. Si falta el registro, se arriesgan multas considerables.

¿Quién está afectado por la obligación de llevar un VVT?

En principio está afectada toda empresa que trate datos personales, con independencia de su tamaño. El art. 30 del RGPD prevé, es cierto, una excepción para las empresas con menos de 250 empleados, pero esta solo se aplica si el tratamiento no es habitual, no entraña riesgo para los derechos de los interesados y no afecta a categorías especiales de datos. En cuanto una empresa trata datos de clientes en contratos, boletines, contabilidad o soporte, se trata de un tratamiento habitual: la excepción no se aplica, por tanto, de hecho casi nunca. En la práctica, casi todas las empresas con contacto con clientes deben llevar un VVT, desde el empresario individual con tienda en línea hasta la agencia con varios empleados. El tamaño de la empresa decide, por tanto, con menos frecuencia sobre la obligación que el tipo de tratamiento.

¿Qué debe hacer en concreto?

Debe documentar, para cada operación de tratamiento, por ejemplo gestión de contratos, marketing, soporte o contabilidad, con qué fin se realiza, en qué base jurídica se apoya, qué grupos de personas y categorías de datos afecta, quién recibe los datos y durante cuánto tiempo se conservan. Además, conviene incluir referencias a las medidas técnicas y organizativas (TOM) de cada tratamiento, ya que están estrechamente relacionadas con el VVT. La siguiente tabla muestra qué datos deberían registrarse como mínimo para cada operación de tratamiento:

Una herramienta como Company Audit muestra en líneas generales cuáles de estas obligaciones se aplican en concreto a su empresa.

¿Cómo se procede para elaborar el registro?

La elaboración sigue un procedimiento claro, que puede llevarse a cabo con una simple tabla:

1. Enumerar todas las operaciones de tratamiento con datos de clientes (gestión de contratos, marketing, soporte, contabilidad …).
2. Documentar para cada operación la finalidad, la base jurídica, los grupos de personas afectadas y las categorías de datos.
3. Registrar los destinatarios, incluidos los proveedores externos, así como los plazos de supresión de cada operación.
4. Completar con referencias a las TOM para cada tratamiento.
5. Actualizar el registro de forma continua cuando haya nuevos procesos o herramientas.

¿Qué consejos prácticos ayudan en la aplicación?

En la práctica basta con una tabla sencilla pero mantenida por completo; una herramienta de software costosa no es obligatoria desde el punto de vista jurídico. Lo decisivo es que estén registradas todas las operaciones de tratamiento y que la tabla se actualice con prontitud ante cualquier cambio. Resulta además conveniente colocar el VVT al principio del cumplimiento normativo en materia de protección de datos: como hace visibles todas las operaciones de tratamiento, constituye la base sobre la que pueden construirse con sentido otras obligaciones, como los contratos de encargo de tratamiento, las medidas técnicas y organizativas o la gestión de las violaciones de la seguridad de los datos. Quien elabora primero el registro detecta automáticamente dónde faltan aún contratos de encargo de tratamiento (AVV) o dónde deben reforzarse las TOM.

¿Hasta cuándo y con qué frecuencia debe mantenerse el registro?

El VVT no es una tarea puntual, sino que debe mantenerse actualizado de forma continua. En cuanto se incorpore un nuevo proceso, una nueva herramienta o un nuevo proveedor que trate datos personales, debe completarse el registro en consecuencia. El art. 30 del RGPD no fija un plazo concreto para la elaboración inicial; no obstante, la obligación existe desde el momento en que se tratan datos personales de forma habitual, es decir, por regla general desde el inicio de la actividad.

¿Qué ocurre en caso de incumplimiento?

Si falta un registro o está incompleto, se trata de una infracción del art. 30 del RGPD. El RGPD prevé para ello multas de hasta 10 millones de euros o el 2 % del volumen de negocio anual mundial, según cuál sea la cuantía más elevada. Además, la ausencia de un VVT puede dificultar el esclarecimiento en una inspección de la autoridad o tras una violación de la seguridad de los datos y reforzar la impresión de falta de cumplimiento.

Preguntas frecuentes

¿Debo llevar realmente un VVT como pequeña empresa?

En la mayoría de los casos, sí. La excepción para las empresas de menos de 250 empleados solo se aplica en caso de tratamiento poco frecuente y de bajo riesgo, sin categorías especiales de datos. En cuanto se tratan datos de clientes de forma habitual, la excepción deja de aplicarse, y esto afecta también a las pequeñas empresas y a los autónomos.

¿Basta una sencilla tabla de Excel como registro?

Sí. Una tabla sencilla es jurídicamente suficiente, siempre que esté completa y contenga todos los datos exigidos por el art. 30 del RGPD. No se prescribe un software específico.

¿Debe ser accesible al público el registro?

No, el VVT es una documentación interna. Sin embargo, debe poder presentarse en cualquier momento a petición de la autoridad de control.

¿Qué relación tiene el VVT con otras obligaciones de protección de datos?

El VVT constituye la base de muchas otras obligaciones, por ejemplo los contratos de encargo de tratamiento (AVV), las medidas técnicas y organizativas (TOM) o la notificación de violaciones de la seguridad de los datos. Por ello se recomienda elaborar primero el registro.

¿Quién es responsable del VVT en la empresa?

Es responsable la dirección de la empresa como responsable del tratamiento. Si se ha designado un delegado de protección de datos, este presta apoyo en la elaboración y el mantenimiento del registro.

Fuente: art. 30 del RGPD. Este artículo es una información general y no sustituye al asesoramiento jurídico en un caso concreto. Fecha: julio de 2026.