¿Qué es un registro de actividades de tratamiento en protección de datos?

Los responsables y encargados del tratamiento de datos personales deberán mantener un registro de las actividades de tratamiento efectuadas bajo su responsabilidad. Este registro deberá contener la información que recoge al respecto el artículo 30 del RGPD y que es la siguiente:

Respecto a los responsables:

a) el nombre y los datos de contacto del responsable y, en su caso, del corresponsable, del representante del responsable, y del delegado de protección de datos;

b) los fines del tratamiento;

c) una descripción de las categorías de interesados y de las categorías de datos personales;

d) las categorías de destinatarios a quienes se comunicaron o comunicarán los datos personales, incluidos los destinatarios en terceros países u organizaciones internacionales;

e) en su caso, las transferencias de datos personales a un tercer país o una organización internacional, incluida la identificación de dicho tercer país u organización internacional

f) cuando sea posible, los plazos previstos para la supresión de las diferentes categorías de datos; 

g) cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad.

                a)  La seudonimización y el cifrado de datos personales;

               b) La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los                           sistemas y servicios de tratamiento; 

               c) La capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de                           incidente físico o técnico; 

              d) Un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y                                  organizativas para garantizar la seguridad del tratamiento.

Como encargado de tratamiento

Cada encargado y, en  su  caso, el representante del encargado, llevará un  registro de  todas las categorías de actividades de tratamiento efectuadas por cuenta de un responsable que contenga:

a)  El nombre y los datos de contacto del encargado o encargados y de cada responsable por cuenta del cual actúe el encargado, y, en su caso, del representante del responsable o del encargado, y del delegado de protección de datos;

b)  Las categorías de tratamientos efectuados por cuenta de cada responsable;

c)  En su caso, las transferencias de datos personales a un tercer país u organización internacional, incluida la identificación de dicho tercer país u organización internacional. 

d) cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad siguientes:  

                a) La seudonimización y el cifrado de datos personales;

                b) La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los                          sistemas y servicios de tratamiento;

                c) La capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de                          incidente físico o técnico;

              d) Un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y                                  organizativas para garantizar la seguridad del tratamiento. 

Los registros constarán por escrito, inclusive en formato electrónico. 

El responsable y el encargado del tratamiento pondrán el registro a disposición de la autoridad de control que lo solicite 

Las obligaciones indicadas no se aplicarán a ninguna empresa ni organización que emplee a menos de 250 personas, a menos que el tratamiento que realice pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional, o incluya categorías especiales de datos personales o relativos a condenas e infracciones penales a que se refiere el artículo 10 del Reglamento.