Registro de actividades de tratamiento (art. 30 RGPD): qué incluir y cuándo hacer una EIPD
El registro de actividades de tratamiento es la lista de todo lo que una organización hace con datos personales: para qué los usa, de quién son, qué datos, a quién los comunica, si salen del país, cuánto tiempo los guarda y cómo los protege. El RGPD lo exige en su artículo 30 al responsable y al encargado, con una excepción limitada para organizaciones de menos de 250 personas. Es también la base de ISO/IEC 27701 y de la evaluación de impacto (EIPD), que el artículo 35 exige cuando un tratamiento puede suponer un alto riesgo para las personas. Esta guía es informativa y no es asesoría legal.
Qué columnas debe tener el registro del responsable
El artículo 30.1 del RGPD enumera el contenido mínimo. Lo más práctico es una planilla con una fila por actividad de tratamiento (por ejemplo, «nómina», «clientes de la tienda en línea», «videovigilancia») y estas columnas:
| Columna | Qué se escribe | Ejemplo |
|---|---|---|
| Responsable y contacto | Nombre y datos de contacto del responsable, del corresponsable o representante y del delegado de protección de datos, si existe | Empresa S.A., dpd@empresa.com |
| Finalidad | Para qué se tratan los datos | Pagar remuneraciones y cumplir obligaciones laborales |
| Categorías de interesados | De quién son los datos | Personas trabajadoras y sus cargas familiares |
| Categorías de datos | Qué datos, marcando los sensibles | Identificación, cuenta bancaria, licencias médicas (salud) |
| Destinatarios | A quién se comunican | Banco, mutualidad, organismo de previsión, empresa de nómina (encargado) |
| Transferencias internacionales | País de destino y garantía usada | Proveedor de nube en EE. UU., cláusulas contractuales tipo |
| Plazo de conservación | Cuándo se eliminan | Plazo legal laboral desde el término del contrato |
| Medidas de seguridad | Descripción general de las medidas técnicas y organizativas | Acceso por roles, cifrado, copias de seguridad |
Además de lo que pide la ley, conviene agregar la base jurídica de cada tratamiento, el sistema donde se guardan los datos, el dueño interno y si requiere EIPD: así el mismo registro sirve para responder solicitudes de derechos y para la auditoría.
El registro del encargado del tratamiento
Si su empresa trata datos por cuenta de clientes (por ejemplo, un software como servicio o una empresa de nómina), el artículo 30.2 le pide un registro propio con: su nombre y contacto y los de cada responsable para quien trabaja, las categorías de tratamientos que hace por cuenta de cada uno, las transferencias internacionales y la descripción general de las medidas de seguridad. Muchas empresas son a la vez responsables (de sus propios empleados y clientes) y encargadas (de los datos de sus clientes), y necesitan los dos registros.
Kit ISO 27701: documentación para su sistema de gestión de la privacidad
40 documentos Word · 15 herramientas Excel · 78 controles del Anexo A
Ver el kit ISO 27701 con registro de tratamientos y EIPD¿Quién está exento?
El artículo 30.5 exime a las organizaciones de menos de 250 personas, pero solo si el tratamiento no supone un riesgo para los derechos de los interesados, es ocasional y no incluye datos sensibles ni datos de condenas penales. Como la nómina o la base de clientes no son ocasionales, en la práctica casi todas las empresas con actividad deben llevar el registro, al menos para esos tratamientos.
Otras leyes piden algo equivalente: la LGPD de Brasil (art. 37) exige registrar las operaciones de tratamiento al controlador y al operador, y en Chile la Ley 21.719 entra en vigor el 1 de diciembre de 2026, con nuevos deberes de información y seguridad para los que el registro es la herramienta habitual de orden (vea nuestra guía de la Ley 21.719).
Cuándo hace falta una evaluación de impacto (EIPD)
El artículo 35 del RGPD exige una EIPD antes de un tratamiento que probablemente implique un alto riesgo para los derechos y libertades de las personas. Menciona tres casos en que siempre se requiere:
- Evaluación sistemática y exhaustiva de aspectos personales basada en tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos o afecte significativamente a las personas.
- Tratamiento a gran escala de datos sensibles o de datos de condenas e infracciones penales.
- Observación sistemática a gran escala de una zona de acceso público (por ejemplo, videovigilancia extensa).
Las autoridades de control publican listas de tratamientos que requieren EIPD. La EIPD debe describir el tratamiento y sus fines, evaluar si es necesario y proporcionado, evaluar los riesgos para las personas y definir las medidas para reducirlos (art. 35.7). Si el riesgo residual sigue siendo alto, hay que consultar a la autoridad antes de empezar (art. 36). La columna «¿requiere EIPD?» del registro es el punto de partida para detectar estos casos.
Cómo encaja con ISO 27701
ISO/IEC 27701:2025 pide un sistema de gestión de la privacidad que identifique y documente los tratamientos de datos personales, evalúe sus riesgos y aplique controles para el rol de responsable y para el de encargado. Un registro completo y una metodología de EIPD son la evidencia central de ese sistema, y sirven a la vez para el RGPD y para otras leyes de privacidad.
- Mantenga un solo registro y marque en cada fila si actúa como responsable o como encargado.
- Revise el registro cuando cambie un sistema, un proveedor o una finalidad, y al menos una vez al año.
- Enlace cada fila con su evaluación de riesgos o EIPD, sus contratos con encargados y su aviso de privacidad.
Errores frecuentes
- Hacer el registro por sistema («el ERP», «el CRM») en lugar de por finalidad: un mismo sistema suele tener varios tratamientos con plazos y bases distintas.
- Escribir plazos de conservación como «indefinido» o «el necesario» sin fijar un criterio.
- Olvidar a los proveedores de nube como destinatarios y sus transferencias internacionales.
- Llenarlo una vez y no actualizarlo: el registro debe reflejar los tratamientos actuales.
- No identificar los datos sensibles, que cambian las bases jurídicas posibles y la necesidad de EIPD.
Siguiente paso
Pruebe gratis o vaya directo a la solución completa.
Kit ISO 27701: documentación para su sistema de gestión de la privacidad
40 documentos Word · 15 herramientas Excel · 78 controles del Anexo A
Ver el kit ISO 27701 con registro de tratamientos y EIPD
Muestra gratis
Descargue gratis una versión reducida de la matriz de riesgos del kit (Excel, 10 escenarios, mapa de calor). Vea cómo calcula el nivel y la categoría antes de decidir.
Descargar la muestra gratisPreguntas frecuentes
¿El registro de actividades de tratamiento es obligatorio?
Según el artículo 30 del RGPD, sí, para responsables y encargados. La excepción para organizaciones de menos de 250 personas solo aplica si el tratamiento es ocasional, sin riesgo y sin datos sensibles, lo que rara vez ocurre con la nómina o los clientes.
¿Hay que entregarlo a la autoridad?
No se presenta de forma periódica. Debe estar por escrito, también en formato electrónico, y ponerse a disposición de la autoridad de control cuando lo solicite.
¿Cuál es la diferencia entre el registro y la EIPD?
El registro es el inventario de todos los tratamientos. La EIPD es un análisis profundo de un tratamiento concreto de alto riesgo, con sus medidas para reducirlo. El registro ayuda a detectar qué tratamientos necesitan EIPD.
¿Esta guía reemplaza a un abogado?
No. Es información general para ordenar el trabajo y no es asesoría legal. Para decisiones sobre bases jurídicas, transferencias o sanciones, consulte a un profesional de su país.
Guías relacionadas
Documentos obligatorios de ISO 27701:2025
Información documentada que exige ISO/IEC 27701:2025: alcance, política, riesgos, Declaración de Aplicabilidad, registros y evidencias, con su cláusula.
Leer la guía →ISO 27701 vs RGPD: ¿cuál es la diferencia?
ISO/IEC 27701 es una norma voluntaria y certificable; el RGPD es ley de la UE. En qué se diferencian, dónde se cruzan y cómo ordenar la evidencia con ISO 27701.
Leer la guía →Ley 21.719: qué deben hacer las empresas en Chile
Qué exige la nueva ley de protección de datos personales de Chile, desde cuándo rige, multas y una lista de 10 pasos para preparar su empresa, con artículos citados.
Leer la guía →Actualizado: 2026-10-25