El Registro de Actividades de Tratamiento —o RAT— es uno de los documentos más importantes del cumplimiento RGPD, y también uno de los que más empresas tienen incompleto, desactualizado o directamente ausente. Es el mapa de todos los tratamientos de datos personales que realiza tu organización, y la AEPD puede pedirlo en cualquier momento.
Qué es el RAT y para qué sirve
El RAT es un registro interno que documenta de forma estructurada todos los tratamientos de datos personales que realiza tu empresa. No es un documento que se entrega a nadie por defecto: se mantiene internamente y se pone a disposición de la AEPD cuando lo solicita.
Su función es doble:
- Ante la AEPD: es la principal evidencia de responsabilidad activa. Si hay una inspección o reclamación, el RAT es lo primero que se pide.
- Interna: permite a la empresa conocer qué datos trata, con qué finalidad y bajo qué condiciones. Es la base de cualquier análisis de cumplimiento.
Quién está obligado a tenerlo
El artículo 30 del RGPD establece que el responsable del tratamiento debe mantener un registro de actividades de tratamiento. La excepción que el reglamento prevé para empresas con menos de 250 empleados es muy limitada: solo aplica si el tratamiento no entraña riesgo para los derechos y libertades de los interesados, no es ocasional o no incluye categorías especiales de datos.
En la práctica, la mayoría de las empresas están obligadas, independientemente de su tamaño:
- Si tratas datos de empleados (lo hace prácticamente cualquier empresa con trabajadores): obligado.
- Si tratas datos de clientes o usuarios de forma habitual: obligado.
- Si tratas datos de salud o datos biométricos aunque sean de pocos empleados: obligado.
La AEPD recomienda que todas las empresas mantengan el RAT, incluso si técnicamente podrían acogerse a la excepción.
Qué información debe incluir
Para cada actividad de tratamiento, el RAT debe recoger:
- Nombre y datos de contacto del responsable del tratamiento (y del DPD, si existe).
- Finalidades del tratamiento: para qué se usan los datos.
- Descripción de las categorías de interesados: clientes, empleados, proveedores, usuarios web…
- Descripción de las categorías de datos personales: identificativos, económicos, de salud…
- Categorías de destinatarios: quién tiene acceso o con quién se comparten los datos.
- Transferencias a terceros países, si las hay.
- Plazos de conservación previstos.
- Descripción general de las medidas de seguridad aplicadas.
El formato no está prescrito: puede ser un documento Word, una hoja Excel o una herramienta específica de gestión de privacidad. Lo importante es que esté actualizado y sea fácilmente presentable.
Cómo elaborarlo paso a paso
El proceso de elaboración inicial del RAT es, en esencia, un inventario de datos:
- 1. Identificar todas las actividades de la empresa que impliquen datos personales: ventas, RRHH, marketing, contabilidad, atención al cliente, videovigilancia…
- 2. Para cada actividad, documentar los campos descritos en el apartado anterior.
- 3. Verificar que cada tratamiento tiene base legal documentada.
- 4. Identificar los proveedores que acceden a datos (encargados del tratamiento) y verificar que hay contratos firmados.
- 5. Revisar los plazos de conservación aplicables a cada categoría.
El RAT inicial puede llevar entre unas horas y varios días, según la complejidad de la empresa. Las actualizaciones posteriores son mucho más rápidas si el documento está bien estructurado.
Quién se encarga del RAT en la empresa
Si la empresa tiene DPD, es su función natural coordinar el mantenimiento del RAT. El DPD no es el único que puede modificarlo —el responsable del tratamiento sigue siendo la empresa—, pero es quien debe asegurarse de que está completo, actualizado y disponible.
Si no hay DPD, la responsabilidad recae en el responsable del tratamiento directamente, habitualmente el gerente o el responsable jurídico o administrativo. En empresas con DPD externalizado, el servicio incluye la gestión del RAT como parte del servicio.
Cómo mantenerlo actualizado
El RAT no es un documento que se hace una vez y se olvida. Debe actualizarse cuando:
- Se implementa un nuevo proceso o sistema que trata datos personales (nuevo CRM, nueva app, nueva herramienta de RRHH).
- Cambia la finalidad de un tratamiento existente.
- Se incorpora o cambia un proveedor con acceso a datos.
- Cambian los plazos de conservación por una nueva norma.
- Se producen cambios significativos en la organización.
La práctica habitual es una revisión anual completa del RAT más actualizaciones puntuales cuando se produzcan los cambios descritos.
Diferencia entre responsable del tratamiento y encargado: Diferencias entre el encargado y el responsable del tratamiento
En Ubimia Compliance, el RAT es uno de los primeros documentos que elaboramos con cada nuevo cliente. No es solo un formulario que hay que rellenar: es el mapa real de cómo una empresa trata los datos, y la base sobre la que se construye todo el resto del cumplimiento.
Qué tipos de datos personales puede incluir tu RAT: ¿Qué tipos de datos personales existen?
El DPD se encarga del RAT y lo mantiene actualizado → /proteccion-de-datos-para-empresas/