Registro de Actividades de Tratamiento (RAT): Qué es, quién está obligado y qué debe incluir

El registro de actividades de tratamiento (RAT) es el documento que la AEPD solicita de forma sistemática al inicio de cualquier inspección de protección de datos, y su ausencia es una de las infracciones más frecuentemente sancionadas en España. A pesar de ello, muchas empresas siguen sin tenerlo o lo tienen desactualizado, a menudo por la confusión sobre si realmente están obligadas a elaborarlo.

En este artículo te explicamos qué es exactamente el RAT, quién está obligado a mantenerlo, qué información debe incluir según el artículo 30 del RGPD y cómo elaborarlo sin complicaciones.

¿Qué es el registro de actividades de tratamiento?

El registro de actividades de tratamiento, conocido por sus siglas RAT (o también RoPA, del inglés Record of Processing Activities), es un inventario interno y estructurado de todas las actividades de tratamiento de datos personales que realiza una organización. Está regulado en el artículo 30 del Reglamento General de Protección de Datos (RGPD) y es uno de los pilares del principio de responsabilidad proactiva que articula toda la normativa europea de protección de datos.

Su función principal es proporcionar una visión completa y ordenada de qué datos personales trata la organización, con qué finalidad, durante cuánto tiempo y con qué medidas de seguridad. No es un documento que se envía a ningún organismo: es un registro interno que la empresa debe conservar y poner a disposición de la AEPD cuando esta lo solicite.

¿Es obligatorio el RAT para todas las empresas?

Esta es la pregunta que más confusión genera. El artículo 30.5 del RGPD prevé una exención para organizaciones con menos de 250 empleados, pero esta exención es mucho más limitada de lo que la mayoría de empresas creen.

Advertencia normativa

La exención del artículo 30.5 del RGPD NO se aplica cuando el tratamiento sea habitual, entrañe riesgo para los interesados o incluya categorías especiales de datos.

En la práctica, cualquier empresa que gestione datos de clientes, empleados o proveedores de forma regular —es decir, prácticamente cualquier empresa— está obligada a mantener el Registro de Actividades de Tratamiento (RAT).

La AEPD y el Grupo de Trabajo del artículo 29 han confirmado este criterio en múltiples ocasiones.

Para que una empresa de menos de 250 empleados pueda acogerse a la exención, sus tratamientos deberían ser estrictamente ocasionales, no incluir datos sensibles y no suponer ningún riesgo para los derechos de los interesados. En la práctica, esto excluye a prácticamente cualquier empresa que tenga empleados, clientes, una web con formulario de contacto o una cámara de videovigilancia.

¿Qué debe incluir el RAT según el artículo 30 del RGPD?

El artículo 30 del RGPD establece un contenido mínimo distinto según si la organización actúa como responsable o como encargada del tratamiento.

Información del responsable del tratamiento

Nombre y datos de contacto del responsable del tratamiento y, en su caso, del corresponsable
Datos de contacto del Delegado de Protección de Datos (DPO), si existe
Nombre y datos de contacto del representante del responsable en la UE, si procede

Finalidades y bases legales

Descripción de los fines del tratamiento (para qué se tratan los datos)
Base jurídica de cada tratamiento: consentimiento, contrato, obligación legal, interés legítimo, etc.

Categorías de datos y destinatarios

Categorías de interesados (clientes, empleados, proveedores, usuarios web…)
Categorías de datos personales tratados (identificativos, económicos, de salud, biométricos…)
Categorías de destinatarios a quienes se comunicarán los datos, incluidos los encargados del tratamiento
Transferencias internacionales de datos a terceros países y garantías aplicadas, si procede

Plazos de supresión y medidas de seguridad

Plazos previstos para la supresión de las diferentes categorías de datos
Descripción general de las medidas técnicas y organizativas de seguridad aplicadas

Ejemplo práctico: actividades habituales en una pyme

Una pyme tipo con empleados, clientes y proveedores tendría que documentar en su RAT actividades como estas:

Ejemplos de Registro de Actividades de Tratamiento (RAT)

Actividad de tratamiento	Finalidad	Base legal	Plazo de conservación
Gestión de clientes	Gestión comercial y facturación	Ejecución de contrato	5 años (obligación fiscal)
Gestión de empleados	Relación laboral y nóminas	Obligación legal	4 años (Seguridad Social)
Videovigilancia	Seguridad de instalaciones	Interés legítimo	30 días máximo
Web / formulario de contacto	Atender consultas	Consentimiento	Hasta resolución de la consulta
Email marketing	Comunicaciones comerciales	Consentimiento	Hasta baja del interesado

Este esquema es orientativo. Cada empresa debe adaptar su RAT a sus tratamientos reales y a las bases legales concretas que los amparan.

¿En qué formato debe conservarse el RAT?

El RGPD exige que el RAT se mantenga por escrito, incluyendo el formato electrónico. No existe un modelo oficial obligatorio: puede ser una hoja de cálculo, un documento Word, una herramienta de gestión de cumplimiento o cualquier otro formato que permita conservarlo, actualizarlo y ponerlo a disposición de la AEPD cuando sea necesario.

Lo importante no es el formato, sino que esté completo, actualizado y que sea accesible. El RAT debe revisarse siempre que cambien los tratamientos, se incorporen nuevos proveedores que actúen como encargados o se implementen nuevos sistemas informáticos que afecten al tratamiento de datos personales.

Herramientas gratuitas de la AEPD para elaborar el RAT

La AEPD pone a disposición de empresas y autónomos herramientas gratuitas para facilitar la elaboración del RAT:

Facilita RGPD: herramienta simplificada para empresas con tratamientos de bajo riesgo, disponible en la sede electrónica de la AEPD
Gestiona RGPD: herramienta más completa para empresas con tratamientos más complejos, que permite gestionar también el análisis de riesgos y las evaluaciones de impacto

Ambas están disponibles en la sede electrónica de la AEPD. Para tratamientos simples, estas herramientas pueden ser suficientes. Para tratamientos complejos o con datos sensibles, lo más recomendable es contar con asesoramiento profesional que garantice que el RAT refleja correctamente la realidad de la organización.

Conclusión: el primer documento que pedirá la AEPD

El registro de actividades de tratamiento no es un trámite opcional ni reservado a grandes empresas: es la base documental sobre la que se construye todo el cumplimiento del RGPD. Tenerlo completo y actualizado demuestra responsabilidad proactiva, facilita la respuesta ante inspecciones y es el punto de partida para cualquier auditoría de protección de datos.

Si necesitas elaborar o revisar el RAT de tu empresa, en GrupoPIC podemos ayudarte a documentar correctamente todos los tratamientos de datos y a mantenerlo actualizado de forma continua.

Protección de Datos · RGPD