En este artículo vamos a proceder a averiguar si las pequeñas y medianas empresas y los autónomos están obligados por ley a mantener un registro de registro de actividades de mantenimiento, también abreviado como RAT.
¿Qué dice el GDPR (Reglamento General de Protección de Datos) sobre el Registro de Actividades de Tratamiento?
En el apartado 5 del artículo 30 del GDPR se exime a las empresas de menos de 250 personas trabajadoras de la obligación de elaborar el Registro de Actividades de Tratamiento (RAT).
Pero… hay 3 excepciones por las que una empresa deberá contar con un registro de actividades de tratamiento aunque tenga menos de 250 trabajadores:
Ahora bien, en dicho artículo se establece también que estas empresas de menos de 250 trabajadores deberán llevar igualmente un RAT siempre que el tratamiento que se lleve a cabo y se den algunas de las 3 siguientes situaciones:
- Que pueda entrañar un riesgo para los derechos y libertades de los interesados;
- Que el tratamiento no sea ocasional;
- Que incluya categorías especiales de datos personales o datos relativos a condenas (art. 9 y 10 GDPR).
Es decir que independientemente del número de trabajadores de nuestra empresa habrá que llevar un RAT cuando:
- Se lleven a cabo tratamientos de datos personales de categoría especial o relativos a condenas.
- Cuando dichos tratamientos supongan un riesgo para los derechos y libertades de los interesados, para lo que habrá de estar al resultado de la evaluación de riesgos correspondiente.
- Cuando dichos tratamientos sean ocasionales. En este punto hay que tener en cuenta que una actividad de tratamiento solo puede considerarse «ocasional» si no se lleva a cabo de forma regular y se produce fuera de la actividad normal de la empresa responsable o encargada del tratamiento. Esta situación será mucho menos frecuente que las dos primeras, ya que lo habitual es que la mayoría de las organizaciones, traten datos personales de manera recurrente o habitual.
A continuación, exponemos un ejemplo para entender mejor el registro de actividades de tratamiento teniendo en cuenta las excepciones mencionadas.
Una empresa con una sola persona trabajadora y que solo trate datos personales de su persona trabajadora, deberá contar con un RAT, ya que elaborará su nómina todos los meses y por tanto, se trata de un tratamiento recurrente, habitual o no ocasional. Lo que le impedirá acogerse a la excepción apartado 5 del artículo 30 del GDPR.
Ahora bien, estas empresas menores de 250 personas trabajadoras solo deberán llevar a cabo un RAT de las actividades que no puedan acogerse a dicha excepción.
Por tanto, la respuesta será en la gran mayoría de casos, que sí están obligadas a llevar un Registro de Actividades de Tratamiento o RAT, atendiendo a la segunda de las condiciones contempladas en el apartado 5 del artículo 30 del GDPR.
¿Tienes dudas sobre el Registro de Actividades de Tratamiento o sobre Protección de Datos? Contacta con nosotros sin compromiso.
Para cualquier duda a la hora de gestionar el registro de actividades de tratamiento o cuestiones relacionadas con Protección de Datos contacta sin compromiso.
Cualquier tratamiento de datos de carácter personal es fundamental recibir asesoramiento profesional. Y nosotros estamos aquí para ayudarte.
Comunícate con nosotros para conocer mucho más sobre Protección de datos para Pymes. También entérate sobre nuestros demás servicios. No dudes en contactarnos a través de nuestra web o por correo, y pídenos presupuesto sin compromiso. Además puedes seguirnos en redes sociales para estar al tanto de noticias, consejos, nuestros cursos y mucho más:
Si te ha resultado útil el artículo, puedes compartirlo pulsando los iconos que aparecen justo debajo de este artículo.
Si nos sigues podrás estar al tanto de, no solo conceptos como el registro de actividades de tratamiento, sino de todo tipo de novedades con respecto a la Protección de Datos y estar al día de una legislación tan cambiante como esta.
Comentarios recientes