¿Qué debe contener el registro de actividades según la Ley 3/2018 de Protección de Datos? ¿Quiénes están obligados?

Con la aprobación del Reglamento (UE) 2016/679 ha desaparecido la obligación, que existía en nuestro ordenamiento jurídico de inscripción de los distintos ficheros (clientes, proveedores, trabajadores, etc) en la Agencia Española de Protección de datos (en adelante AEPD). Sin embargo, la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los Derechos Digitales, normativa española que adapta los preceptos de este Reglamento, obliga a la configuración de un registro de actividades de tratamiento de datos.

En su artículo 30, el Reglamento (UE) 2016/679, establece la obligatoriedad que tendrá el responsable del tratamiento de llevar un registro de actividades de tratamiento que como mínimo deberá contener la siguiente información: 

1.    El nombre y datos de contacto del responsable, de su representante, y en su caso, del delegado de protección de datos (en adelante DPO)

2.    La finalidad del tratamiento.

3.    La descripción de los interesados en este tratamiento, así como sus datos personales.

4.    Los destinatarios a quienes se les comunicarán los datos personales. Incluyendo los destinatarios en terceros países u organizaciones internacionales.

5.    Los plazos que se establezcan para la supresión de las diferentes categorías de datos, siempre que sea posible.

6.    Cuándo se factible, una descripción general de las medidas técnicas y organizativas de seguridad que se han adoptado para evitar la difusión de datos personales.

La materialización de estas actividades será llevada a cabo por el encargado del tratamiento o DPO, quien a su vez llevará un registro de todas las categorías de actividades de tratamiento que se realicen por cuenta del responsable y que deberá contener como mínimo: 

1.    El nombre y datos de contacto del encargado, del responsable en nombre del que actúa, y en su caso, del DPO

2.    Las categorías de tratamientos.

3.    La identificación, así como documentación de garantía, de las transferencias de datos que se realicen a un tercer país u organización internacional.

4.    La descripción, siempre que sea posible, de las medidas técnicas y organizativas de seguridad fijadas por el responsable del tratamiento. 

La Ley 3/2018 establece que esta información a la que está obligado tanto el responsable como su encargado o DPO, debe constar por escrito, permitiéndose también en formato electrónico. Y que deberá estar siempre a disposición de la autoridad de control que lo solicite, en nuestro caso la AEPD

Para finalizar, y a modo de excepción, nuestra normativa establece la obligatoriedad de este registro de actividades a aquellas empresas u organizaciones que empleen a más de 250 personas. Salvo que, el tratamiento que ser realice pueda suponer un riesgo para los derechos y libertades de las personas interesadas, se trate de una relación continuada, o incluya datos que revelen categorías especiales: origen étnico o racial, opiniones políticas, convicciones religiosas, orientación sexual, afiliación sindical, tratamiento de datos genéticos, datos biométricos y datos sobre la salud y vida sexual. O bien, datos relativos a condenas e infracciones penales o medidas de seguridad.