¿Qué debe contener un registro de tratamiento de datos?

Lo que figura en el registro de actividades de tratamiento

Un registro de actividades de tratamiento describe, para cada tratamiento de datos personales que realiza una organización, quién es responsable de qué y qué sucede con los datos. En concreto, se trata del nombre y datos de contacto de la organización (y del delegado de protección de datos, si lo hay), los fines para los que se tratan los datos, las categorías de interesados y las categorías de datos personales de que se trata, las categorías de destinatarios a los que se comunican los datos, si los datos se transfieren fuera de la UE y, en caso afirmativo, bajo qué garantías, los plazos de conservación que se aplican o el criterio utilizado para determinarlos, y una descripción general de las medidas técnicas y organizativas de seguridad.

Una organización que actúa como responsable del tratamiento — es decir, trata datos personales por encargo de otra parte — mantiene un registro comparable pero algo más limitado, centrado en las categorías de tratamientos que se realizan para cada cliente. Para las organizaciones más pequeñas, el artículo 30 del RGPD contiene una excepción: quienes tengan menos de doscientos cincuenta empleados no tienen obligación de mantener este registro, a menos que el tratamiento suponga un riesgo para los derechos y libertades de los interesados, no sea ocasional, o afecte a categorías especiales de datos o datos relativos a condenas penales. En la práctica, esta excepción afecta a menos empresas pequeñas y medianas de lo que podría parecer, porque el tratamiento regular de datos de clientes o empleados generalmente no se considera ocasional.

De dónde se deduce esto: artículo 30 RGPD

Estos elementos se enumeran en el artículo 30, apartados 1 y 2, del RGPD, con la excepción para organizaciones más pequeñas en el apartado 5 del mismo artículo; la Autoridad de Protección de Datos holandesa explica en su sitio web cómo lo interpreta en la práctica holandesa.