Registro de actividades de tratamiento: quién lo necesita y qué debe contener

Un registro de actividades de tratamiento (en alemán: Verzeichnis von Verarbeitungstätigkeiten, VVT) es una documentación escrita o electrónica, prescrita por el art. 30 del RGPD, de todos los tratamientos de datos personales de una empresa. Tras este artículo sabrá por qué la excepción de los 250 empleados casi nunca exime a su empresa, y creará su registro en seis pasos.

Por la redacción de Provimedia · Fecha: julio de 2026 · Este artículo es información general y no constituye asesoramiento jurídico.

¿Qué es un registro de actividades de tratamiento?

El registro de actividades de tratamiento es la obligación de documentación central del RGPD: recoge de forma sistemática qué datos personales trata una empresa, con qué finalidad, sobre qué base jurídica y durante cuánto tiempo. La base jurídica es el art. 30 del RGPD, que distingue entre la obligación de los responsables del tratamiento (apartado 1) y la de los encargados del tratamiento (apartado 2); estos últimos llevan un registro propio, algo más ligero, de las actividades que realizan por cuenta de un responsable.

El Reglamento no prescribe un formato determinado: se admite igualmente el escrito o el electrónico. En la práctica se ha impuesto una estructura en forma de tabla por cada actividad de tratamiento, por ejemplo con filas u hojas individuales para «gestión de datos de clientes», «gestión de candidatos» o «envío de boletines». Para usted esto significa: una hoja de tabla por actividad; nadie exige más.

¿Quién debe llevar un registro de actividades de tratamiento?

En principio, todo responsable y todo encargado del tratamiento está obligado a llevar un registro, con independencia del tamaño de la empresa o de su forma jurídica. Esto afecta tanto a las sociedades de capital como a los profesionales liberales, las asociaciones o los autónomos, en cuanto se traten datos personales, por ejemplo de clientes, empleados o visitantes de un sitio web.

La Datenschutzkonferenz (DSK, conferencia de las autoridades alemanas de protección de datos) aclara en su documento breve n.º 1 (versión del 17.12.2018) que la obligación abarca en principio todos los tratamientos, incluso los parcialmente automatizados, así como los tratamientos no automatizados almacenados en un fichero. El art. 30, apartado 5, del RGPD solo prevé una excepción para las organizaciones con menos de 250 empleados, y esa excepción se aplica en la práctica con menos frecuencia de lo que muchos suponen.

¿Se aplica realmente la excepción para pymes a las empresas pequeñas?

No, la excepción del art. 30, apartado 5, del RGPD en la práctica no se aplica a la mayoría de las empresas, pese a tener menos de 250 empleados. Está sujeta a tres condiciones estrictamente definidas: la exención decae en cuanto se cumple al menos una de ellas.

• El tratamiento entraña un riesgo para los derechos y libertades de los interesados (según la DSK, esto incluye con regularidad el scoring y las medidas de vigilancia).
• El tratamiento no es meramente ocasional.
• El tratamiento incluye categorías especiales de datos conforme al art. 9 del RGPD o datos penales conforme al art. 10 del RGPD.

Según la DSK, el tratamiento regular de datos de clientes o de empleados ya cuenta como «no meramente ocasional». Dado que prácticamente toda empresa trata de forma continua datos de clientes, datos de facturación o expedientes de personal, la excepción para pymes decae en la inmensa mayoría de los casos. En la práctica es más bien la excepción de la excepción que una exención fiable para las empresas pequeñas.

La DSK subraya además: a diferencia de la evaluación de impacto relativa a la protección de datos del art. 35 del RGPD, no es necesario que exista un riesgo alto. Basta cualquier riesgo para los derechos y libertades para que decaiga la excepción.

¿Qué debe contener el registro? Contenidos obligatorios según el art. 30, apartado 1, del RGPD

El art. 30, apartado 1, segunda frase, letras a) a g), del RGPD enumera de forma exhaustiva qué datos debe documentar un responsable del tratamiento para cada actividad de tratamiento.

¿Cómo se crea un registro de actividades de tratamiento? Paso a paso

Un registro se puede construir de forma estructurada en seis pasos, tanto si se utiliza una tabla, un formulario modelo de las autoridades de control o un software.

1. Identificar las actividades de tratamiento: preguntar a todos los departamentos (personal, ventas, marketing, TI) dónde se generan datos personales, desde la gestión de candidatos hasta el envío del boletín.
2. Aclarar las responsabilidades: determinar quién es internamente responsable del contenido de cada actividad de tratamiento y actúa como interlocutor.
3. Recoger los datos obligatorios de cada actividad: documentar la finalidad, la base jurídica, los grupos de interesados, las categorías de datos, los destinatarios y los plazos de supresión conforme al art. 30, apartado 1, del RGPD.
4. Examinar las transferencias a terceros países: en el caso de servicios en la nube o herramientas con sede fuera de la UE o del EEE, anotar la base de la transferencia, por ejemplo las cláusulas contractuales tipo.
5. Referenciar las MTO: describir brevemente las medidas técnicas y organizativas conforme al art. 32 del RGPD o remitir a un concepto de seguridad existente.
6. Mantener el registro actualizado: ante nuevas herramientas, procesos o proveedores, completar con prontitud la entrada afectada; el registro es un documento vivo, no un proyecto puntual.

¿Qué riesgo hay si el registro falta o está incompleto?

Un registro inexistente, incompleto o no presentado cuando se requiere puede sancionarse con una multa conforme al art. 83, apartado 4, letra a), del RGPD. El marco de la multa llega hasta 10 millones de euros o hasta el 2 % del volumen de negocio anual global del ejercicio anterior, optándose por la cuantía más alta.

Según el art. 30, apartado 4, del RGPD, los responsables y los encargados del tratamiento deben poner el registro a disposición de las autoridades de control en cualquier momento cuando lo soliciten; en cambio, ya no existe obligación de presentarlo al público, a diferencia del antiguo registro de procedimientos conforme a la BDSG (ley federal alemana de protección de datos). Conviene saber: el registro por sí solo no cumple toda la responsabilidad proactiva según el RGPD del art. 5, apartado 2, del RGPD. Según la DSK, es solo un elemento junto a otras pruebas, como la documentación de los consentimientos, las descripciones de procedimientos y los resultados de las evaluaciones de impacto relativas a la protección de datos.

Preguntas frecuentes (FAQ)

¿Debe un profesional liberal llevar un registro de actividades de tratamiento?

Sí: en cuanto un profesional liberal trata de forma regular datos personales de clientes, pacientes o mandantes, rige la obligación del art. 30, apartado 1, del RGPD con independencia del número de empleados. Lo único decisivo es que el tratamiento no sea meramente ocasional; el tamaño de la consulta o del despacho no importa.

¿Quién en la empresa es responsable del registro?

La obligación recae sobre la empresa como responsable del tratamiento en el sentido del RGPD, no sobre una persona concreta. En la práctica, suele encargarse del mantenimiento corriente el delegado de protección de datos o una persona de contacto designada en cada departamento, mientras que la responsabilidad global permanece en la dirección.

Registro frente a política de privacidad: ¿cuál es la diferencia?

El registro de actividades de tratamiento es un documento interno que se presenta a la autoridad de control cuando lo solicita, pero que, a diferencia del antiguo registro de procedimientos de la BDSG, no tiene que poder consultarse públicamente. La política de privacidad, en cambio, se dirige a los propios interesados y debe ser accesible públicamente para ellos en todo momento, por ejemplo en el sitio web.

¿Con qué frecuencia hay que actualizar el registro?

No existe un plazo legal fijo para la actualización. Pero el registro debe mantenerse al día de forma continua: en cuanto cambien las finalidades, las categorías de datos, los destinatarios o las herramientas utilizadas, debe completarse con prontitud la entrada afectada.

Quien en la empresa se ocupa del mantenimiento del registro se beneficia de una comprensión básica sólida de conceptos centrales del RGPD como la finalidad del tratamiento, la base jurídica o el plazo de supresión. La formación básica sobre RGPD de Provimedia transmite estos conocimientos básicos de forma compacta y concluye con un certificado de participación, una prueba para los empleados que participan en la creación o el mantenimiento del registro.

Fuentes

• EUR-Lex: Reglamento (UE) 2016/679 (RGPD), texto completo, en particular art. 5, art. 30, art. 83
• Datenschutzkonferenz (DSK): documento breve n.º 1 – registro de actividades de tratamiento, art. 30 del RGPD (versión del 17.12.2018)
• Comisionado Federal para la Protección de Datos y la Libertad de Información (BfDI): indicaciones sobre el registro de actividades de tratamiento