Registro de actividades de tratamiento: plantilla

En dos minutos

Qué es: una lista escrita de lo que su organización hace con datos personales. Para cada actividad indica para qué, de quién son los datos, quién los recibe, cuánto tiempo se guardan y cómo se protegen. Art. 30, apartado 1
Quién lo necesita: responsables y encargados del tratamiento. Puede ser electrónico, y hay que ponerlo a disposición de la autoridad de control si lo pide. Art. 30, apartados 2 a 4
«Tenemos menos de 250 trabajadores, así que estamos exentos» rara vez es cierto. Pagar las nóminas cada mes ya hace que el tratamiento «no sea ocasional». La CNPD, la autoridad portuguesa de protección de datos, dice que la exención solo se aplica en circunstancias «absolutamente excepcionales».
Cómo hacerlo rápido: una fila por finalidad (no por programa), cinco preguntas para cada equipo y unas pocas columnas extra que hacen útil el registro. En una pyme típica, cabe en una tarde.
Qué puede cambiar: la UE está cerrando un acuerdo para ampliar la exención a las organizaciones con menos de 1000 personas, salvo en las actividades de alto riesgo. Todavía no es ley. Vea el recuadro sobre los cambios.

Para quién es

Responsables de pymes que «también llevan el RGPD», y DPO o consultores que montan registros para clientes y quieren un método repetible. Si lleva varios clientes, vea también la guía para DPO externos con varios clientes.

Para quién no es

Para quien necesita asesoramiento jurídico sobre un caso concreto. Esta guía explica la regla y un método práctico, pero no sustituye el asesoramiento profesional.

Viernes, 14:05, Oficina Rocha

Marta es la directora de administración de la Oficina Rocha, una fábrica de muebles con 45 personas cerca de Braga, en el norte de Portugal, y una tienda online que vende a todo el país. Los viernes por la tarde, «también lleva el RGPD».

Hoy ha llegado un correo de la CNPD, la autoridad portuguesa de protección de datos. Un cliente de la tienda online ha presentado una reclamación, y la autoridad pide varios documentos, entre ellos el registro de actividades de tratamiento de la empresa.

Marta abre la carpeta compartida y encuentra RGPD_final_v3.docx, de mayo de 2018. Habla de un servidor que ya no existe, de un proveedor de software que ha cambiado de nombre y de un fax. No dice nada de la tienda online, de las cámaras del almacén ni del nuevo programa de selección de personal.

Tiene hasta el final de la tarde para averiguar qué falta. Vamos a hacerlo con ella.

La Oficina Rocha, Marta y los demás personajes son ficticios.

Qué es el registro y por qué merece la pena

El registro es el mapa de los datos personales de la organización. No es un texto jurídico ni una política. Es una tabla con una fila por actividad: pagar las nóminas, seleccionar personal, gestionar los pedidos de la tienda online, enviar la newsletter, grabar imágenes de videovigilancia.

La ley lo exige para que pueda demostrar que cumple el RGPD y para que la autoridad de control pueda consultarlo (considerando 82; art. 5, apartado 2; art. 30, apartado 4). Pero el mayor beneficio es interno. Un registro al día responde rápido a las preguntas que siempre llegan en el peor momento:

Un cliente pide todos los datos que tenemos sobre él. El registro dice dónde buscar (vea la guía del derecho de acceso y de supresión). En su acción coordinada de 2024 sobre el derecho de acceso, que abarcó 1185 organizaciones, el Comité Europeo de Protección de Datos (CEPD) recomienda usar el registro para localizar los datos e identificar a quién se comunicaron.
Hemos perdido un portátil. El registro dice qué datos podía haber en él y a quién afecta, la primera pregunta de las 72 horas después de una brecha de datos.
Vamos a cambiar de proveedor de software. El registro dice qué actividades dependen de él.
Tenemos que actualizar la política de privacidad. Las finalidades, los destinatarios y los plazos ya están escritos (arts. 13 y 14).

«Tenemos menos de 250 trabajadores, así que estamos exentos». Probablemente no.

El RGPD prevé una exención para las organizaciones con menos de 250 trabajadores. Pero lea la frase hasta el final:

«Las obligaciones indicadas en los apartados 1 y 2 no se aplicarán a ninguna empresa ni organización que emplee a menos de 250 personas, a menos que el tratamiento que realice pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional, o incluya categorías especiales de datos personales indicadas en el artículo 9, apartado 1, o datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10.» RGPD, art. 30, apartado 5

Basta una de las tres condiciones para que la exención deje de valer, y la segunda atrapa a casi todo el mundo: pagar las nóminas cada mes no es ocasional. Por eso la CNPD, la autoridad portuguesa, considera que las circunstancias en que se aplica la exención son «absolutamente excepcionales». En España, el artículo 31 de la LOPDGDD remite a este mismo artículo 30 del RGPD.

El Grupo de Trabajo del Artículo 29, cuya posición ha asumido el CEPD, aclaró un punto útil: una organización pequeña solo tiene que registrar las actividades que cumplen alguna de las condiciones. En la práctica, como muestra la Oficina Rocha, eso es casi todo.

Actividad de la Oficina Rocha	¿No es ocasional?	¿Puede entrañar riesgo?	¿Datos especiales o penales?	¿Va al registro?
Nóminas	Sí, cada mes	Bajo	Sí, partes de baja	Sí
Videovigilancia en el almacén	Sí, continua	Sí	No	Sí
Pedidos de la tienda online	Sí, a diario	Bajo	No	Sí
Selección de personal	Sí, varias veces al año	Bajo	Normalmente no	Sí
Lista de invitados a la fiesta de los 50 años de la empresa	No, fue una vez	Bajo	No	Puede quedar fuera

Ejemplo ilustrativo. La evaluación del riesgo depende de las circunstancias concretas de cada organización.

Incluso cuando se aplica la exención, el registro sigue siendo la forma más sencilla de cumplir el principio de responsabilidad proactiva (art. 5, apartado 2; art. 24). En 2025, el CEPD y el Supervisor Europeo de Protección de Datos (SEPD) lo describieron como un instrumento útil para cumplir otras obligaciones, como la de transparencia.

Plantilla gratuita: el Kit de registro de actividades de tratamiento convierte esta guía en una hoja de cálculo lista para usar.

¿Responsable o encargado? Quizá ambos

Hay dos registros distintos, con contenidos distintos.

	Registro del responsable	Registro del encargado
Cuándo	Usted decide para qué y cómo se tratan los datos	Trata datos por cuenta de otra organización
Contenido	Los siete campos del art. 30, apartado 1 (abajo)	Los clientes por cuenta de los que actúa, los tipos de tratamiento que hace para cada uno, las transferencias fuera del EEE y las medidas de seguridad (art. 30, apartado 2)
Ejemplo	La Oficina Rocha, para las nóminas de su personal	La asesoría que gestiona esas nóminas

Una organización puede ser las dos cosas. Una agencia de marketing es responsable de los datos de su propio personal y encargada cuando envía newsletters a las listas de sus clientes. La CNPD lo deja claro: quien actúa en los dos papeles lleva dos registros separados. Las Directrices 07/2020 del CEPD ayudan a decidir qué papel corresponde en cada caso.

Los siete campos, en lenguaje sencillo

Este es el contenido mínimo del registro del responsable (art. 30, apartado 1, letras a) a g)). La última columna muestra la fila de nóminas de la Oficina Rocha como ejemplo resuelto.

Campo	Qué significa	Ejemplo: nóminas
a) Quién es	Nombre y datos de contacto de la organización y, si los hay, del corresponsable, del representante en la UE y del delegado de protección de datos (DPO)	Oficina Rocha, Lda., Braga. Contacto: privacidad@… DPO: no designado
b) Para qué	La finalidad, en una frase concreta	Pagar los salarios y cumplir las obligaciones fiscales y de seguridad social respecto a los trabajadores
c) De quién y qué datos	Categorías de interesados y categorías de datos personales	Trabajadores actuales y antiguos. Identificación, números fiscal y de seguridad social, datos bancarios, retribución, ausencias, situación familiar a efectos fiscales, partes de baja (datos de salud)
d) Quién los recibe	Categorías de destinatarios, incluidos los de fuera de la UE	Asesoría (encargado), administración tributaria, seguridad social, banco, aseguradora de accidentes de trabajo
e) ¿Salen del EEE?	Transferencias fuera del EEE y garantías utilizadas	No. Software de nóminas alojado en la UE (confirmado en el contrato)
f) Hasta cuándo	Plazos de supresión, cuando sea posible	Durante el plazo que exija la normativa fiscal y laboral aplicable, indicado en años, y después se borran. Nunca «indefinido»
g) Cómo se protegen	Descripción general de las medidas de seguridad (art. 32, apartado 1)	Acceso solo para dos personas, autenticación en dos pasos, copias de seguridad cifradas, contrato de encargo con la asesoría (art. 28)

Sobre los plazos. En la letra f), escriba el número de años y el motivo (por ejemplo, «normativa fiscal»). Si no conoce el plazo exacto, pregunte a su asesor fiscal o a su abogado, y anote quién lo confirmó y cuándo. Un plazo comprobado vale más que un plazo perfecto.

El método de la tarde

Marta no necesita un proyecto de tres meses. Necesita hoy un registro honesto y completo, que después irá mejorando. En una organización con 10 a 20 actividades, estos cuatro pasos caben en una tarde. En una organización más grande, cuente con una tarde por departamento.

14:00 · 30 min

Haga la lista de equipos y sistemas

Escriba las áreas de la organización: recursos humanos, ventas y tienda online, finanzas, producción, informática, instalaciones. Al lado, los programas y servicios que usa cada una. No se olvide de la web: los formularios, las cookies y las herramientas de analítica también tratan datos personales.
14:30 · 90 min

Haga las mismas cinco preguntas a cada equipo

Quince minutos por persona son suficientes. Use siempre las mismas preguntas:
1. ¿Qué datos personales usa en su trabajo?
2. ¿Para qué los usa?
3. ¿De dónde vienen (de la propia persona, de otra empresa, de una lista pública)?
4. ¿Quién más los ve o los recibe, incluidos los proveedores de software y de servicios?
5. ¿Cuánto tiempo se guardan y por qué?
16:00 · 90 min

Escriba una fila por finalidad, no por programa

Este es el paso que más errores evita. La autoridad francesa de protección de datos, la CNIL, lo dice directamente: las actividades se identifican por su finalidad, no por el software que se usa. Un programa puede servir para varias finalidades, y una finalidad usa casi siempre varios programas.

[Diagrama: la finalidad «Gestionar los pedidos de la tienda online» se conecta con cuatro sistemas: plataforma de la tienda, programa de facturación, empresa de transporte, buzón de atención al cliente.]

Los sistemas van en una columna propia de la fila. Si cambia de transportista, cambia una celda, no el registro entero.
17:30 · 30 min

Añada las columnas que hacen útil el registro

El artículo 30 no las exige, pero ahorran trabajo después. La CNIL también recomienda añadir campos a su modelo básico.
- Base jurídica (contrato, obligación legal, consentimiento…) art. 6
- Origen de los datos, necesario para informar a los interesados, art. 14
- Sistemas y proveedores, con la indicación de si hay contrato de encargo, art. 28
- ¿Necesita EIPD? Sí, no o por comprobar, art. 35
- Responsable de la fila y fecha de la próxima revisión

A las 18:00, Marta tiene 14 filas. Tres están marcadas «por confirmar». No es perfecto, pero es verdad, tiene fecha y se puede enviar. Es mucho mejor que el archivo de 2018.

Seis errores que hacen inútil un registro

Una fila por programa. «Programa de RR. HH.» no es una finalidad. Seleccionar personal, pagar nóminas y evaluar el desempeño son tres.
Finalidades vagas. «Gestión» o «fines administrativos» no dicen nada. Escriba lo que pasa de verdad: «enviar la newsletter mensual a los clientes que la han pedido».
Conservación «indefinida». El RGPD pide plazos siempre que sea posible. Casi siempre es posible dar un número.
Actividades olvidadas. Las que más faltan: videovigilancia, candidaturas espontáneas, analítica web y el acceso remoto del técnico informático externo.
Destinatarios incompletos. El proveedor de correo, el alojamiento en la nube y la asesoría también son destinatarios.
Nadie es responsable. Un registro sin nadie encargado de actualizarlo se queda anticuado en meses. Asigne cada fila a una persona.

Qué dicen las autoridades

Todavía no ha habido una acción coordinada europea dedicada al registro, pero las autoridades han sido coherentes:

La CNPD recuerda que la obligación también alcanza a las organizaciones con menos de 250 trabajadores y que la exención es «absolutamente excepcional». Publica plantillas en Excel para responsables y encargados.
La AEPD (Agencia Española de Protección de Datos) explica cómo elaborar el RAT en sus preguntas frecuentes.
El CEPD, en su informe de 2024 sobre el derecho de acceso, dice que el registro debe mantenerse «siempre actualizado», también cuando entran sistemas o encargados nuevos, y recomienda usarlo para encontrar los datos cuando llega una solicitud.
El CEPD y el SEPD reconocieron en 2025 que la exención actual no siempre cumplió su objetivo. Apoyaron la simplificación sin dejar de considerar el registro un instrumento útil.
En la consulta pública del CEPD de 2025 sobre plantillas, el registro de actividades encabezó la lista de las más pedidas. El CEPD ha incluido una plantilla europea de registro en su programa de trabajo 2026–2027. Si el registro le parece difícil, no es el único.

Lo que puede cambiar · actualizado el 21 oct 2026

La exención se va a ampliar. Todavía no es ley.

En mayo de 2025, la Comisión Europea propuso modificar el artículo 30, apartado 5, dentro de su paquete de simplificación «Omnibus IV». El procedimiento legislativo es el 2025/0130(COD).

21 may 2025: propuesta de la Comisión: exención para las organizaciones con menos de 750 trabajadores, salvo que el tratamiento pueda entrañar un alto riesgo.
25 feb 2026: las comisiones del Parlamento Europeo aprueban su posición: umbral de 1000 trabajadores y ninguna exención para el tratamiento de datos sensibles.
26 jun 2026: acuerdo provisional entre el Parlamento y el Consejo, confirmado en el Comité de Representantes Permanentes.
23 nov 2026: fecha indicativa de la votación en el pleno del Parlamento. Después llegan la adopción por el Consejo y la publicación en el Diario Oficial.

El texto de compromiso (documento del Consejo 10482/26 ADD 3, de 19 de junio de 2026) eximiría de las obligaciones de registro a las empresas y organizaciones con menos de 1000 personas, con tres límites:

habrá que seguir registrando toda actividad que pueda entrañar un alto riesgo para las personas, en el sentido del artículo 35, y solo esa actividad;
habrá que seguir llevando el registro cuando la actividad sea de las que obligan a designar un DPO;
la exención no alcanza a las autoridades y organismos públicos.

Los considerandos añaden que tratar datos de salud solo para cumplir obligaciones laborales y de seguridad social (como los partes de baja) no obliga, por sí solo, a llevar el registro.

Qué significa hoy para usted: mientras el texto final no se publique en el Diario Oficial y no empiece a aplicarse, vale la regla actual de los 250 trabajadores. E incluso después, una organización exenta seguirá necesitando saber qué datos tiene para responder a las solicitudes de acceso, gestionar las brechas de datos y redactar una información de privacidad correcta. Estar exento del formato no exime del conocimiento.

Otro paquete, el «Digital Omnibus» de noviembre de 2025, no modifica el artículo 30, pero propone listas europeas de tratamientos que requieren una evaluación de impacto (EIPD). Si se aprueba, ayudará a rellenar la columna «¿Necesita EIPD?». Revisamos este recuadro en cada etapa del procedimiento. Lo que esa propuesta cambia en las brechas de datos y en el derecho de acceso está en el artículo sobre el Digital Omnibus.

Mantenerlo vivo en 15 minutos al trimestre

Un registro es una foto. Para que no se quede anticuado, necesita disparadores y una rutina corta.

Cuándo	Qué hacer
Nuevo proveedor o programa	Añadirlo a los sistemas y destinatarios de las filas afectadas. Comprobar el contrato del art. 28.
Nuevo proyecto, producto o formulario en la web	Crear la fila antes de empezar a recoger datos. Comprobar si hace falta una EIPD.
Alguien se va o cambia de puesto	Pasar sus filas a otra persona responsable.
Una vez al trimestre	Cada responsable revisa sus filas: ¿sigue siendo verdad? ¿Se cumplen los plazos de conservación? Actualizar la fecha de revisión.

Plantillas gratuitas, comparadas con franqueza

No hace falta empezar de cero. Estos son los modelos oficiales disponibles:

Modelo	Bueno para	Límites
AEPD, Facilita RGPD (herramienta en línea)	Pymes con tratamientos de escaso riesgo; genera el registro junto con otros documentos	Solo para tratamientos de escaso riesgo; poco margen para adaptar las filas
CNIL (modelo simplificado, .ods)	Pensado para pymes y asociaciones, sencillo	En francés
CNPD (Excel, responsable y encargado)	Sigue de cerca el art. 30	En portugués y vacío. Poca orientación para rellenar cada campo
CEPD (plantilla europea)	Estará armonizada en toda la UE	Prevista en el programa de trabajo 2026–2027, todavía sin publicar

El kit de Pulsaiq sigue las mismas reglas y añade lo que falta: filas ya escritas para las actividades que tienen casi todas las pymes y una explicación breve en cada columna.

Checklist: ¿está listo su registro?

Ha decidido si es responsable, encargado o ambos, y tiene un registro para cada papel.
Ha hablado con todos los equipos, incluidos informática y quien lleva la web.
Cada fila es una finalidad, escrita como una acción concreta.
Los siete campos del art. 30, apartado 1, están rellenados en todas las filas.
Todos los plazos de conservación tienen un número y un motivo.
Los proveedores de software y de servicios aparecen como destinatarios.
Las transferencias fuera del EEE están identificadas, con la garantía utilizada.
Las actividades que pueden necesitar una EIPD están marcadas.
Cada fila tiene un responsable y una fecha de próxima revisión.
El registro tiene fecha y podría enviarse a la autoridad de control el mismo día en que lo pida.

Dudas habituales

Preguntas frecuentes

¿Una pyme con menos de 250 trabajadores necesita registro de actividades de tratamiento?

Casi siempre, sí. La exención del art. 30, apartado 5, deja de valer si el tratamiento no es ocasional, si puede entrañar un riesgo o si incluye datos de categorías especiales o penales. Pagar las nóminas cada mes ya no es ocasional, y la autoridad portuguesa considera que la exención solo se aplica en circunstancias «absolutamente excepcionales».

¿Tengo que enviar el registro a la autoridad de control?

No. El registro se queda en la organización, por escrito, y puede ser electrónico (art. 30, apartado 3). Solo tiene que entregarlo cuando la autoridad lo pida (art. 30, apartado 4), así que conviene tenerlo listo para enviarlo el mismo día.

¿Sirve una hoja de cálculo como registro?

Sí. La ley no impone formato ni programa, solo el contenido de los siete campos. Varias autoridades publican sus propios modelos en hoja de cálculo. Lo que importa es que el registro esté completo, fechado y al día.

¿Cada cuánto tiempo tengo que actualizar el registro?

Cada vez que algo cambia, más una revisión breve cada trimestre. La ley no fija una periodicidad, pero el CEPD recomienda mantener el registro «siempre actualizado», también cuando entran sistemas o encargados nuevos.

¿La propuesta Omnibus IV ya me exime del registro?

Todavía no. Mientras el texto final no se publique en el Diario Oficial y no empiece a aplicarse, vale la regla actual de los 250 trabajadores. El acuerdo provisional de 26 de junio de 2026 prevé la exención para las organizaciones con menos de 1000 personas, pero mantiene el registro de las actividades de alto riesgo.

Plantilla gratuita Kit de registro de actividades de tratamiento 12 filas ya escritas para actividades habituales de una pyme, un registro del encargado y una checklist de 10 puntos. Excel y ODS.

Descargar el kit

Fuentes

Última revisión: 21 de octubre de 2026. Revisamos esta guía cada vez que cambian la ley o las orientaciones de las autoridades.

Esta guía es información general sobre el RGPD y no constituye asesoramiento jurídico. Para decisiones sobre un caso concreto, consulte a un profesional cualificado. Los personajes y las empresas de los ejemplos son ficticios.

Equipo editorial de PulsaiqÚltima revisión: 23 de octubre de 2026. Revisamos esta guía cada vez que cambian la ley o las orientaciones de las autoridades. Cómo hacemos las guías.Esta guía es información general sobre el RGPD y no constituye asesoramiento jurídico. Para decidir sobre un caso concreto, consulte a un profesional cualificado. Las personas y empresas de los ejemplos son ficticias.