Registro de actividades de tratamiento en ayuntamientos: qué es y cómo publicarlo

El registro de actividades de tratamiento (RAT) es el documento en el que una organización describe cada uso que hace de los datos personales: para qué los trata, de quién, qué datos, a quién los comunica, cuánto tiempo los conserva y cómo los protege. Lo exige el artículo 30 del Reglamento General de Protección de Datos (RGPD). En un ayuntamiento hay una obligación añadida: el artículo 31.2 de la Ley Orgánica 3/2018 (LOPDGDD) obliga a las entidades del sector público a publicar por medios electrónicos un inventario de sus actividades de tratamiento, con la información del registro y la base legal de cada tratamiento.

Qué es una actividad de tratamiento

Una actividad de tratamiento es un conjunto de operaciones con datos personales que persiguen una misma finalidad. En un ayuntamiento son actividades, por ejemplo, la gestión del padrón municipal, la gestión tributaria, la gestión de personal, el registro de entrada y salida, los servicios sociales, las licencias urbanísticas, la videovigilancia, la policía local o la gestión de las solicitudes de acceso a la información pública.

El registro se organiza por finalidades. Las aplicaciones informáticas y los antiguos ficheros son otra cosa: una misma aplicación puede servir a varias actividades y una actividad puede apoyarse en varias aplicaciones.

Quién está obligado

El RGPD prevé una excepción para las organizaciones con menos de 250 personas, pero no se aplica cuando el tratamiento no es ocasional, cuando puede entrañar un riesgo para los derechos de las personas o cuando incluye categorías especiales de datos. Un ayuntamiento trata datos de forma continua y, en servicios sociales o personal, trata datos de salud. En la práctica, todos los ayuntamientos deben llevar su registro, sea cual sea su tamaño.

Además, la LOPDGDD exige la publicación del inventario a los sujetos de su artículo 77.1, entre los que están expresamente las entidades que integran la administración local. También están los organismos públicos y entidades de derecho público vinculados o dependientes, los consorcios y, para los tratamientos que hacen, los grupos políticos de las corporaciones locales.

Qué debe contener el registro

El artículo 30.1 del RGPD fija el contenido mínimo para el responsable del tratamiento:

1. El nombre y los datos de contacto del responsable y, en su caso, del corresponsable y del delegado de protección de datos.
2. Los fines del tratamiento.
3. Una descripción de las categorías de interesados y de las categorías de datos personales.
4. Las categorías de destinatarios a quienes se comunican los datos, incluidos los de terceros países u organizaciones internacionales.
5. En su caso, las transferencias internacionales de datos.
6. Cuando sea posible, los plazos previstos para la supresión de las distintas categorías de datos.
7. Cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad.

El registro debe constar por escrito, también en formato electrónico, y estar a disposición de la Agencia Española de Protección de Datos o de la autoridad autonómica competente si lo solicita.

La base jurídica

El RGPD no la pide en el registro, pero la LOPDGDD sí la exige en el inventario que publican las administraciones. En un ayuntamiento, la mayoría de los tratamientos se apoyan en el artículo 6.1 del RGPD, letra c (cumplimiento de una obligación legal) o letra e (cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos). Lo correcto es citar también la norma concreta que atribuye la competencia o impone la obligación, como la Ley de Bases de Régimen Local para el padrón o la Ley General Tributaria para la gestión de tributos. El consentimiento queda para casos muy concretos, como la suscripción voluntaria a un boletín.

Los plazos de conservación

En la administración, los plazos dependen de la normativa de cada procedimiento y de la de archivos. Un buen registro remite a la norma o al calendario de conservación aplicable, en lugar de poner «el tiempo necesario».

Las medidas de seguridad y el ENS

En el sector público, la disposición adicional primera de la LOPDGDD remite al Esquema Nacional de Seguridad, regulado hoy por el Real Decreto 311/2022. En el registro basta una descripción general de las medidas, con la referencia a la categoría del sistema y a la política de seguridad de la entidad. No hace falta detallar la configuración técnica.

Cómo hacer el registro, paso a paso

1. Haz el inventario de tratamientos área por área

Entrevista a cada servicio con preguntas sencillas: qué datos personales usáis, de quién, para qué, de dónde vienen, a quién se los pasáis y cuánto tiempo los guardáis. Es la fase que más trabajo lleva y la que más errores evita después.

2. Agrupa por finalidades

Une las operaciones que comparten finalidad en una misma actividad. Un registro con trescientas entradas es tan poco útil como uno con cinco.

3. Identifica la base jurídica de cada actividad

Para cada una, la letra del artículo 6.1 del RGPD y la norma que la sostiene. Si tratas categorías especiales de datos, como salud en servicios sociales, añade también la excepción del artículo 9.2 que la permite.

4. Completa destinatarios, plazos y medidas

Incluye a los encargados del tratamiento, como empresas de servicios informáticos o de recaudación, y comprueba que con cada uno hay un contrato de encargo.

5. Revisa si alguna actividad necesita evaluación de impacto

El artículo 35 del RGPD exige una evaluación de impacto cuando un tratamiento es probable que entrañe un alto riesgo. Es obligatoria, en particular, en la elaboración de perfiles con efectos jurídicos o significativos, en el tratamiento a gran escala de categorías especiales de datos y en la observación sistemática a gran escala de zonas de acceso público. La AEPD publica una lista de tipos de tratamiento que la requieren. En un ayuntamiento conviene revisar con atención la videovigilancia, los servicios sociales y cualquier proyecto que use inteligencia artificial.

6. Prepara la versión pública

El inventario que se publica debe recoger la información del registro y la base legal, de forma que cualquier persona pueda entenderlo. Evita incluir datos que comprometan la seguridad, como nombres de servidores o detalles de configuración.

7. Publícalo donde se encuentre

Lo habitual es publicarlo en la sede electrónica o en el portal de transparencia, en el apartado de protección de datos, y enlazarlo desde las cláusulas informativas de los formularios.

8. Mantenlo vivo

Cada nuevo servicio, aplicación o contrato que suponga tratar datos personales debe reflejarse en el registro. La LOPDGDD obliga a comunicar al delegado de protección de datos cualquier alta, modificación o baja en su contenido, así que lo razonable es fijar un circuito para que las áreas avisen.

Errores habituales

• Copiar el registro de otro ayuntamiento sin comprobar qué tratamientos existen realmente.
• Confundir actividades con aplicaciones o con los antiguos ficheros inscritos en la AEPD.
• Bases jurídicas genéricas, sin citar la norma concreta, o recurrir al consentimiento cuando el tratamiento es una obligación legal.
• Plazos de conservación indefinidos.
• Registro sin actualizar desde que se hizo la adaptación al RGPD.
• No publicarlo, o publicarlo en un PDF escondido.

El registro y la publicación de documentos

El registro también ayuda a la transparencia. Cuando sabes qué datos tratas y con qué base, es más fácil decidir qué puede publicarse en el portal y qué hay que ocultar. Lo explicamos en qué datos ocultar al publicar según el artículo 15 de la Ley 19/2013 y en qué significa anonimizar un documento.

Preguntas frecuentes

¿Hay que publicar el registro de actividades de tratamiento completo?

La LOPDGDD obliga a publicar un inventario con la información del artículo 30 del RGPD y la base legal. El registro interno puede tener más detalle, sobre todo en las medidas de seguridad, que no conviene exponer.

¿Quién elabora el registro, el delegado de protección de datos?

La obligación es del responsable del tratamiento, es decir, del ayuntamiento. El delegado asesora y supervisa, pero el registro lo mantienen las áreas que tratan los datos, con su apoyo.

¿Cada cuánto hay que actualizarlo?

No hay un plazo fijo. Debe reflejar la realidad en todo momento, así que se actualiza cada vez que cambia un tratamiento, y conviene revisarlo completo al menos una vez al año.

¿Un ayuntamiento pequeño también tiene que tenerlo?

Sí. La excepción de las organizaciones de menos de 250 personas no se aplica a tratamientos habituales como los de un ayuntamiento, y la obligación de publicar el inventario alcanza a toda la administración local.

Cómo te ayudamos

Hacemos con tu entidad el inventario de tratamientos, dejamos el registro completo con sus bases jurídicas y preparamos la versión pública. Trabajamos junto al delegado de protección de datos que tenga la entidad, propio o externo, sin sustituirlo. Tienes el detalle en protección de datos y cumplimiento, y si además publicas documentos con datos personales, Anonimiza te ayuda a hacerlo sin exponerlos.