El Registro de Actividades de Tratamiento —RAT— describe qué hace una organización con los datos personales: para qué los usa, con qué base, a quién los comunica, cuánto los conserva y cómo los protege. Es un registro de operaciones, no una copia de las bases de clientes o trabajadores.

Un RAT útil permite responder preguntas concretas. Si una persona pide eliminar sus datos, la empresa puede localizar los sistemas y proveedores involucrados y comprobar si debe conservar alguna información por una obligación legal.

¿Quién está obligado a llevarlo?

Los artículos 38 y 39 del Reglamento General de la LOPDP establecen la obligación para responsables con cien o más trabajadores. También alcanza a quienes tengan menos cuando el tratamiento pueda entrañar riesgo para derechos y libertades, no sea ocasional o incluya categorías especiales.

Por tanto, una empresa pequeña que trata habitualmente datos de clientes o empleados no debe asumir una exención por tamaño. El artículo 44 exige al encargado mantener un RAT cuando el responsable esté obligado. Fuera de los supuestos obligatorios, el inventario puede ser una herramienta útil de responsabilidad proactiva.

Los campos que debe poder completar

• Nombre y contacto del responsable y, cuando corresponda, del corresponsable y DPD.
• Finalidades y bases de legitimación por tratamiento.
• Categorías de titulares y de datos.
• Destinatarios a quienes se han comunicado o se comunicarán los datos.
• Uso de perfiles, si existe.
• Transferencias internacionales, cuando correspondan.
• Plazos de supresión o de revisión de conservación por categoría.
• Descripción general de medidas técnicas, jurídicas, administrativas y organizativas.

Evite celdas genéricas como «todos los datos», «uso empresarial» o «se guardan siempre». El registro debe coincidir con los formularios, contratos, sistemas y decisiones reales. Puede mantenerse por escrito o electrónicamente y debe estar disponible para la SPDP cuando lo solicite.

Dos ejemplos para empezar

Nómina

Describa la gestión del vínculo laboral y obligaciones de seguridad social; identifique trabajadores, datos identificativos, de pago y los adicionales realmente necesarios. Documente bases, sistemas, destinatarios, accesos por función y conservación conforme a normas laborales y tributarias aplicables. Los datos de salud deben distinguirse y tener controles adecuados, en lugar de quedar mezclados con toda la documentación administrativa.

Boletín comercial

Identifique prospectos o clientes, correo y preferencias utilizadas. Registre si se basa en consentimiento o interés legítimo y la evidencia correspondiente; la fecha de alta, oposición o revocatoria orienta las acciones, pero no sustituye la justificación jurídica. Incluya la herramienta de envío, su rol, el plazo de revisión y el mecanismo para retirar contactos de campañas.

Qué cambia cuando hay gran escala

La Resolución SPDP-SPD-2026-0005-R añade información sobre descripción, tipos de datos, titulares, frecuencia, permanencia y seguridad del tratamiento. Documente la calificación directa o el Modelo Técnico de Gran Escala —MTGE— cuando corresponda, recalculándolo ante cambios relevantes. Vincule el RAT a las revisiones e informes anuales exigibles para esos tratamientos.

¿Se entrega a un registro público?

El RAT interno es distinto del Registro Nacional de Protección de Datos Personales. Llevarlo o reportar información reglamentaria no significa publicar los datos personales de las bases. La organización debe asignar responsables de mantenimiento; el DPD asesora y supervisa, sin asumir directamente la implementación.

TempoLegal recomienda utilizar el RAT como vínculo entre avisos de privacidad y reglas de conservación y eliminación. Revíselo cuando se incorpore un proveedor, cambie una finalidad o se cierre un servicio.

Contenido revisado al 12 de octubre de 2026.