AsesoraYa.es

Cursos · RGPD para pequeñas empresas (2026)

Lección 3 de 5

Registro de Actividades de Tratamiento (RAT) paso a paso: cómo hacerlo desde cero (RGPD 2026)

Tiempo de lectura: 10 minutos

Resumen rápido: El Registro de Actividades de Tratamiento (RAT) del art. 30 RGPD es el inventario interno en el que documentas los tratamientos de datos personales de tu empresa. El art. 30.5 libera a las empresas de menos de 250 trabajadores, pero solo si el tratamiento no entraña riesgo, es ocasional y no incluye datos especiales ni de condenas penales. Como las nóminas o la facturación no son ocasionales, en la práctica casi toda pyme con actividad habitual debe tenerlo. Para cada tratamiento recoge los 7 contenidos del art. 30.1 (responsable, finalidades, interesados y categorías de datos, destinatarios, transferencias internacionales, plazos de supresión y medidas de seguridad); conviene añadir la base legal y, si existen, las decisiones automatizadas. Una pyme suele tener entre 5 y 12 tratamientos.

Qué es el RAT

El Registro de Actividades de Tratamiento (RAT; en inglés, ROPA) es el inventario de los tratamientos de datos personales que hace tu empresa. Lo regula el art. 30 del RGPD.

4 cosas que conviene saber

  1. Es interno: no se publica en la web.
  2. Está a disposición de la AEPD: si te lo pide, tienes que entregarlo (art. 30.4 RGPD).
  3. Por escrito, también en formato electrónico (art. 30.3): una hoja de cálculo, un documento o un programa específico. No hay modelo oficial obligatorio.
  4. Vivo: cada tratamiento nuevo o cambio relevante se refleja.

No tener el RAT, estando obligado, es infracción grave (art. 73.n LOPDGDD), igual que no ponerlo a disposición de la AEPD cuando lo pide (art. 73.ñ).

¿Quién está obligado?

La letra pequeña del art. 30.5 RGPD

El art. 30.5 dice que la obligación no se aplica a empresas u organizaciones con menos de 250 trabajadores… y a continuación añade "a menos que":

  1. el tratamiento pueda entrañar un riesgo para los derechos y libertades de los interesados,
  2. no sea ocasional, o
  3. incluya datos especiales (art. 9.1) o datos de condenas e infracciones penales (art. 10).

Basta con que se dé una de esas circunstancias para que tengas que llevar el RAT.

En la práctica, casi siempre se da alguna

  • Las nóminas de tus empleados: no son ocasionales.
  • La facturación a clientes: no es ocasional.
  • Las bajas médicas de la plantilla: datos de salud.
  • La videovigilancia: tratamiento habitual con riesgo para los derechos.

Conclusión: salvo actividad realmente esporádica, toda pyme debería tener su RAT. La excepción del 30.5 casi nunca te libra.

Qué debe contener: 7 campos obligatorios + 2 recomendables

Si eres responsable del tratamiento (lo normal en una pyme), para cada tratamiento debes recoger los 7 contenidos del art. 30.1 RGPD (campos 1 a 7). Te recomendamos añadir 2 más (campos 8 y 9).

1. Datos del responsable

  • Nombre o razón social y datos de contacto de tu empresa.
  • Si los hay: corresponsable, representante (empresas de fuera de la UE) y DPO.

2. Fines del tratamiento

Para qué tratas los datos. Por ejemplo:

  • "Gestión de la relación laboral y de las nóminas".
  • "Facturación y gestión contable de clientes".
  • "Envío de comunicaciones comerciales sobre nuestros productos".

Cada finalidad distinta, mejor como un tratamiento distinto.

3. Categorías de interesados y de datos

De quién: empleados, clientes, proveedores autónomos, visitantes de la web, candidatos…

Qué datos: identificativos (nombre, NIF, dirección, contacto), económicos (cuenta bancaria, salario), profesionales (puesto, formación), de salud (bajas), imagen (videovigilancia, fotos).

4. Categorías de destinatarios

A quién se comunican: Administraciones (Hacienda, Seguridad Social), asesoría, hosting, software en la nube, bancos, otras empresas del grupo.

5. Transferencias internacionales

Si los datos salen del Espacio Económico Europeo: país de destino y garantías (decisión de adecuación de la Comisión Europea, cláusulas contractuales tipo…).

Un proveedor en Estados Unidos supone una transferencia internacional. Comprueba en qué se apoya: por ejemplo, que esté adherido al Marco de Privacidad de Datos UE-EE. UU. (decisión de adecuación de julio de 2023) o que el contrato incluya cláusulas contractuales tipo.

6. Plazos previstos para la supresión

Cuánto tiempo guardas cada categoría de datos. Algunas referencias:

  • Libros contables, facturas y justificantes: 6 años (art. 30 del Código de Comercio).
  • Documentación tributaria: al menos 4 años, el plazo de prescripción de Hacienda (art. 66 LGT).
  • Registro de jornada: 4 años (art. 34.9 del Estatuto de los Trabajadores).
  • Documentación laboral y de cotización: durante la relación y después, los plazos que te indique tu asesoría laboral.
  • Currículums no seleccionados: suprímelos al terminar el proceso; solo puedes guardarlos para futuras vacantes con el consentimiento del candidato y por un plazo definido.
  • Imágenes de videovigilancia: se suprimen en 1 mes como máximo, salvo que deban conservarse para acreditar actos que atenten contra la integridad de personas, bienes o instalaciones (art. 22.3 LOPDGDD).

7. Medidas de seguridad

Una descripción general de las medidas técnicas y organizativas:

  • Control de accesos (usuarios y contraseñas, permisos por perfil).
  • Cifrado de comunicaciones (HTTPS) y de portátiles.
  • Copias de seguridad periódicas.
  • Formación del personal.
  • Bloqueo automático de sesión.

8. Base legal (recomendable)

No está en la lista del art. 30.1, pero conviene incluirla: cuál de las 6 bases del art. 6 RGPD legitima el tratamiento (consentimiento, contrato, obligación legal, intereses vitales, interés público o interés legítimo). Si tratas datos especiales, añade también la excepción del art. 9.2 que aplicas.

9. Decisiones automatizadas (recomendable)

Si tomas decisiones automatizadas con efectos jurídicos o significativos (por ejemplo, conceder o denegar crédito con un algoritmo), indícalo (art. 22 RGPD). En la mayoría de pymes no las hay: anota "no aplica".

Si eres encargado del tratamiento

Si tu empresa trata datos por cuenta de otras (una asesoría, un hosting, un servicio informático), además de tu RAT como responsable llevas uno como encargado con 4 contenidos (art. 30.2):

  1. Tus datos y los de cada responsable por cuenta del que actúas (y DPO, si lo hay).
  2. Las categorías de tratamientos que haces para cada uno.
  3. Las transferencias internacionales, si las hay.
  4. Una descripción general de las medidas de seguridad.

Los tratamientos típicos de una pyme

Una pyme suele tener entre 5 y 12 tratamientos:

# Tratamiento Datos Base legal típica
1 Gestión de empleados y nóminas Identificativos, económicos, bancarios, salud (bajas) Contrato + obligación legal; art. 9.2.b para la salud
2 Clientes y facturación Identificativos, fiscales, de pago Contrato + obligación legal
3 Proveedores Identificativos, fiscales, bancarios Contrato + obligación legal
4 Marketing y newsletter Email y preferencias Consentimiento
5 Web Formularios, cookies, IP Consentimiento + interés legítimo
6 Videovigilancia Imagen Interés público (art. 6.1.e RGPD y art. 22 LOPDGDD, criterio de la AEPD) + cartel informativo
7 Selección de personal Identificativos, formación, experiencia Medidas precontractuales; consentimiento para conservar el CV
8 Atención al cliente Identificativos y comunicaciones Contrato + interés legítimo
9 Control de accesos Identificativos Contrato / interés legítimo
10 Canal de denuncias Identificativos y hechos denunciados Obligación legal (Ley 2/2023)

Huella dactilar o reconocimiento facial: son datos biométricos de alto riesgo. Según la guía de la AEPD de noviembre de 2023 sobre control de presencia, para el registro de jornada o el control de acceso de empleados hace falta una norma con rango de ley que lo autorice expresamente, el consentimiento no sirve y es obligatoria una evaluación de impacto previa. Antes de instalar un sistema así, consúltalo.

Ejemplo de ficha: "Gestión de nóminas"

TRATAMIENTO: Gestión de nóminas y obligaciones laborales

1. RESPONSABLE
   TU EMPRESA SL, B-12345678
   c/ Ejemplo 1, 28001 Madrid
   privacidad@tuempresa.es

2. FINALIDAD
   Gestión de la relación laboral, nóminas y
   obligaciones fiscales y de Seguridad Social.

3. INTERESADOS Y DATOS
   Interesados: empleados.
   Datos: identificativos (DNI, dirección,
   contacto), económicos (cuenta bancaria,
   salario, IRPF), de salud (bajas),
   profesionales (puesto, antigüedad).

4. DESTINATARIOS
   - Agencia Tributaria (modelos 111 y 190).
   - Seguridad Social.
   - Asesoría laboral (con contrato de encargo).
   - Mutua y entidad bancaria.

5. TRANSFERENCIAS INTERNACIONALES
   No previstas.

6. PLAZO DE SUPRESIÓN
   - Documentación contable: 6 años (C. Comercio).
   - Documentación tributaria: 4 años (LGT).
   - Registro de jornada: 4 años (ET).
   - Documentación de cotización: el plazo que
     indique la asesoría laboral.

7. MEDIDAS DE SEGURIDAD
   - Acceso restringido a dirección y RR. HH.
   - Programa de nóminas con usuarios y permisos.
   - Copias de seguridad diarias.
   - Portátiles cifrados.

8. BASE LEGAL
   Art. 6.1.b) RGPD: contrato de trabajo.
   Art. 6.1.c) RGPD: obligaciones legales
   (ET, LGSS, Ley del IRPF).
   Art. 9.2.b) RGPD: datos de salud en el
   ámbito laboral.

9. DECISIONES AUTOMATIZADAS
   No aplica.

Repite la ficha con cada tratamiento.

Cómo construir tu RAT desde cero

Un plan realista para una pyme de 5 a 15 trabajadores (los tiempos son orientativos):

Paso 1. Inventario de tratamientos (orientativo: 1-2 días)

Haz una lista de todo lo que hace tu empresa con datos personales. Repasa cada área (administración, personal, ventas, marketing, atención al cliente, informática) y anota qué datos se usan y para qué.

Paso 2. Una ficha por tratamiento (2-3 días)

Rellena para cada uno los 9 campos. Con una plantilla (como la del PDF de esta lección) se va mucho más rápido.

Paso 3. Comprobación cruzada (1 día)

  • Los proveedores que aparecen como destinatarios, ¿tienen contrato de encargo firmado (lección 2)?
  • Las cláusulas informativas (lección 4), ¿dicen las mismas finalidades?
  • Las bases legales, ¿coinciden con lo que informas?

Paso 4. Aprobación y archivo (1 día)

Lo aprueba la dirección o el administrador y se guarda en el dossier RGPD.

Paso 5. Revisión (cada año)

Revísalo al menos una vez al año y cada vez que haya cambios: un programa nuevo, un proveedor nuevo con acceso a datos, un nuevo tipo de cliente o producto, o cambios normativos.

Resumen

  1. El RAT es obligatorio para casi toda pyme: la excepción del art. 30.5 solo sirve si el tratamiento es ocasional, sin riesgo y sin datos especiales.
  2. 7 campos obligatorios por tratamiento (art. 30.1) + 2 recomendables (base legal y decisiones automatizadas).
  3. Una pyme típica tiene 5-12 tratamientos.
  4. La AEPD puede pedírtelo (art. 30.4 RGPD); no tenerlo es infracción grave.
  5. Revisión anual y cada vez que cambie algo relevante.

¿Quieres que lo llevemos nosotros?

En AsesoraYa.es, la asesoría 100% online de Grupo TREBIA, el RGPD completo (auditoría y documentación) está incluido en los planes Plus:

  • Plan Autónomos Plus, desde 44,95 €/mes + IVA: impuestos trimestrales, declaración de la renta, RGPD completo y consulta jurídica mensual, con asesor personal.
  • Plan Sociedades Plus, desde 119,95 €/mes + IVA: contabilidad, Impuesto sobre Sociedades y cuentas anuales, más Renta, RGPD, canal de denuncias y consulta jurídica.

¿Quieres saber en qué punto estás? Haz gratis el Test RGPD. Más información en asesoraya.es/servicios o en el 91 000 47 83.

En la lección 4 vemos las cláusulas para la web, los formularios y los contratos, con textos listos para adaptar.

Última actualización: octubre de 2026. Normativa: Reglamento (UE) 2016/679 (RGPD, arts. 6, 9, 22 y 30), Ley Orgánica 3/2018 (LOPDGDD, arts. 22 y 73), Código de Comercio (art. 30), Ley 58/2003 General Tributaria (art. 66), Estatuto de los Trabajadores (art. 34.9) y Guía de la AEPD sobre tratamientos de control de presencia mediante sistemas biométricos (noviembre de 2023). Información divulgativa: no sustituye al asesoramiento personalizado.