En principio, puede mantener completamente su registro de actividades de tratamiento por sí mismo. El RGPD no prescribe ningún programa o formato específico: un documento o hoja de cálculo bien mantenido es suficiente, mientras sea completo, correcto y actualizado. Lo importante no es la herramienta, sino el contenido: qué datos personales trata, con qué finalidad, quién puede acceder a ellos, cuánto tiempo los conserva y qué otros terceros los conocen.
La pregunta práctica es, por lo tanto, no si está permitido, sino si es sostenible en su empresa. Con un puñado de tratamientos fijos —un paquete contable, una administración de nóminas, un CRM—, un registro hecho a mano suele ser fácil de mantener. Tan pronto como el número de herramientas crece, los encargados del tratamiento cambian o los empleados adquieren software por su cuenta, el mantenimiento se convierte en una tarea recurrente que fácilmente se pospone.
Qué debe incluir en cualquier caso
Un registro describe por cada tratamiento la finalidad, las categorías de datos y los interesados, el plazo de conservación o una indicación del mismo, y los terceros con los que se comparten los datos. Para los tratamientos realizados a través de un tercero, también debe constar si existe un contrato de encargo de tratamiento al respecto. Los requisitos precisos y las excepciones se encuentran en el propio RGPD y se desarrollan en las directrices de la Autoridad de Protección de Datos y del EDPB. Si desea que se resuelva por situación, lo encontrará en la base de conocimientos donde se resuelve por situación.
Por qué en papel resulta complicado
El problema suele no ser el establecimiento inicial, sino el mantenimiento. Una pequeña o mediana empresa contrata nuevas suscripciones SaaS a lo largo del año, deja de usar otras, y el contrato de encargo de tratamiento que va con ellas a veces cambia sin que nadie se dé cuenta. Una hoja de cálculo que era correcta al inicio, después de unos meses suele ser solo una instantánea del momento. Eso solo se hace visible cuando importa: cuando recibe una solicitud de un interesado, en una licitación, o cuando una autoridad de control le pregunta.
Ahí está la verdadera diferencia entre hacerlo uno mismo y contar con apoyo. Mantener un registro por sí mismo no es un problema mientras haya alguien que estructuralmente dedique tiempo a verificarlo y completarlo. En muchas pequeñas empresas ese tiempo existe al principio y desaparece tan pronto como la rutina diaria se apodera de la situación.
Hacerlo uno mismo, usar una herramienta o externalizar
Entre hacer todo uno mismo y externalizar completamente existe un camino intermedio: un sistema que rellena el registro a partir de una biblioteca de herramientas conocidas y le advierte si falta algo o ha cambiado. Eso no evita el trabajo de reflexión sobre qué debe incluirse —eso sigue siendo responsabilidad suya—, pero sí reduce el riesgo de que un cambio pase desapercibido. Que esto merezca la pena para su empresa depende del número de tratamientos y de la frecuencia con que ese número cambia. Un resumen de qué incluye y qué cuesta se encuentra en la página de precios del sistema.
Quien prefiera probarlo primero por su cuenta, puede hacerlo perfectamente. El RGPD no obliga a usar un sistema de pago. Lo que sí exige la ley es que el registro sea en todo momento una representación correcta de la realidad —no solo el día en que se creó.
Qué nunca puede externalizar
Ya sea que mantenga el registro en una hoja de cálculo o lo deje rellenar en un sistema: la responsabilidad de su exactitud sigue siendo de la organización, no de la herramienta. Una herramienta puede señalar que un contrato de encargo de tratamiento ha vencido o que una nueva herramienta SaaS aún no está registrada, pero la decisión de qué hacer al respecto, y si un tratamiento es realmente necesario, sigue siendo suya. Para la aplicación a su situación específica, eso es algo a discutir con un jurista o, si tiene dudas sobre la ley en sí, con la Autoridad de Protección de Datos.
¿Desea ver primero cómo funciona esto en la práctica antes de elegir entre hacerlo usted mismo y recibir apoyo? Entonces puede leer las preguntas frecuentes sobre el registro o a través de la página de registro crear una cuenta comercial y ver la diferencia usted mismo.
Si desea saber dónde se encuentra su empresa en este momento, el análisis rápido gratuito es un buen punto de partida: sin obligación, solo una indicación de lo que es relevante para su situación.