3.2Registro de tratamientos y obligaciones
Lo esencial en 30 segundos
- El registro es la pieza central: finalidad, datos, personas, base jurídica, destinatarios, plazos, seguridad — para cada tratamiento.
- Llevarlo revela las anomalías: conservación excesiva, recogida inútil, base jurídica ausente, proveedor no controlado.
- Cumplimiento proporcionado: base para todos (registro, informar, proteger); DPD y evaluación de impacto solo en ciertos casos.
Minicaso hilado — Yacine construye su registro
Yacine convierte su inventario en registro: una tabla sencilla (clientes, prospectos del boletín, nóminas, sitio) con finalidad, base jurídica, plazo y destinatarios. Al rellenarla, detecta dos anomalías: prospectos guardados desde hace años y un proveedor de correo sin contrato. Corrige ambas antes de avanzar hacia el consentimiento.
Continuación del caso 3.1 — Yacine pasa del inventario al registro.
1. La pieza central
No basta con respetar las reglas, hay que poder demostrarlo: esa es la función del registro de tratamientos. Para cada tratamiento: finalidad, categorías de datos y de personas, base jurídica, destinatarios (incluidos encargados), plazos, transferencias, medidas de seguridad.
Llevarlo obliga a plantearse las preguntas adecuadas y revela las anomalías (conservación excesiva, recogida innecesaria, base jurídica ausente).
2. Obligaciones proporcionadas
En torno al registro: la obligación de información, de seguridad, el control de los encargados mediante contrato, y en ocasiones un DPD y una evaluación de impacto.
El cumplimiento es proporcionado: una pyme con tratamientos sencillos no tiene las obligaciones pesadas de un gran actor. Pero la base (saber qué datos, por qué, con qué fundamento, proteger, informar, registro básico) se aplica ampliamente.
3. Mantenerlo en el tiempo
Un registro vive: se actualiza con cada nuevo tratamiento, nuevo proveedor o cambio de plazo.
Comprobar en su país las obligaciones precisas (DPD, evaluación de impacto, información) antes de fijar su dispositivo.
🔎 Ejemplo concreto — 🔎 Ejemplo concreto — Basta una tabla sencilla
Proporcionado a la actividad.
Pequeña empresa: una tabla con algunos tratamientos (clientes, prospectos, nómina, boletín, sitio)
con finalidad, base jurídica, plazo, destinatarios.
→ no es una maquinaria compleja, es un inventario razonado.Resultado: un registro asumible y las buenas obligaciones detectadas.
Reflejo: comprobar si en su caso se requiere un DPD.
Vocabulario de la sección
- Registro de tratamientos
- Documento que recoge, para cada tratamiento, su finalidad, los datos y personas afectadas, la base jurídica, los destinatarios, plazos y seguridad.
Ejemplo sencillo: La tabla de Yacine: clientes, prospectos, nóminas, sitio — cada uno documentado.
Lo que no es: un simple antivirus o un contrato de trabajo.
Reflejo: un tratamiento = una línea completa del registro.
- Obligación de información
- Deber de informar claramente a las personas sobre lo que se hace con sus datos y sobre sus derechos (avisos, política de privacidad).
Ejemplo sencillo: Yacine añade un aviso bajo cada formulario de recogida.
Lo que no es: recoger sin explicar nunca el uso.
Reflejo: informar en el momento en que se recoge.
- Control de los encargados
- Obligación de vincular mediante contrato a todo proveedor que trate datos por su cuenta, con compromisos precisos.
Ejemplo sencillo: Yacine firma un compromiso con su proveedor de correo.
Lo que no es: dejar que un proveedor trate sin ningún contrato.
Reflejo: ningún proveedor sin cláusula de datos.
- DPD
- Delegado de protección de datos: referente encargado de velar por el cumplimiento; obligatorio solo en ciertos casos según el país.
Ejemplo sencillo: Yacine comprueba si está en un caso con DPD, si no designa un referente interno.
Lo que no es: creer que toda pyme debe nombrar un DPD.
Reflejo: comprobar los casos de designación en su país.
- Evaluación de impacto
- Evaluación de los riesgos para las personas, exigida antes de un tratamiento que presente un riesgo elevado.
Ejemplo sencillo: Antes de una videovigilancia amplia, Yacine evalúa el riesgo.
Lo que no es: iniciar un tratamiento arriesgado sin ninguna evaluación.
Reflejo: riesgo elevado = evaluar antes de empezar.
En la práctica — En la práctica — Construir y llevar su registro
- Enumere todos sus tratamientos (gestión de clientes, prospección, nóminas, sitio, videovigilancia…) — es la cartografía inicial.
- Para cada uno, anote: finalidad, datos, personas afectadas, base jurídica, destinatarios/encargados, plazo, seguridad y posibles transferencias.
- Corrija las anomalías detectadas (datos guardados demasiado tiempo, recogida excesiva, base jurídica ausente, proveedor no controlado).
- Ajuste según la proporcionalidad y compruebe sus obligaciones específicas (DPD, evaluación de impacto, información) en su país.
Script listo para decir — pedir el inventario al proveedor (30 s)
«Para nuestro registro, envíeme la lista de los datos que trata por nosotros, dónde están almacenados, quién accede y cuánto tiempo los guarda. Añadimos sus compromisos al contrato.»
Para decir a cada proveedor: obtener la información que falta en el registro.
Modelo para copiar — línea de registro
TRATAMIENTO : _______________
FINALIDAD : _______________ | BASE JURÍDICA : _______________
DATOS / PERSONAS : _______________
DESTINATARIOS / ENCARGADOS : _______________
PLAZO : _______________ | SEGURIDAD : _______________
TRANSFERENCIAS : _______________TPE / presupuesto pequeño
Basta una hoja con 6 columnas (tratamiento, finalidad, base, plazo, destinatarios, seguridad); media jornada para rellenarla, luego 15 minutos al mes.
Pyme Argelia
Yacine hace revisar su tabla por su contable y comprueba el régimen de la ley 18-07: registro, información y seguridad adaptados a su tamaño.
Proveedor difuso
Sin respuesta del proveedor sobre almacenamiento y plazos: cambiar de cláusula o de proveedor — el registro no puede quedar vacío.
Nuevo proyecto
Antes de todo nuevo fichero o herramienta: crear primero la línea de registro (finalidad, base, plazo), desplegar después.
✓ Buenas prácticas
- Lleve un registro, aunque sea sencillo (una tabla basta para una pyme).
- Controle a sus encargados mediante contrato.
- Ajuste sus obligaciones al tamaño y a los riesgos (proporcionalidad).
✗ Errores frecuentes
- Creer que el registro está reservado a las grandes organizaciones.
- Imaginarse que hay que desplegar un dispositivo de multinacional.
- Olvidar controlar a los proveedores que tratan sus datos.
Puntos clave
- El registro de tratamientos es la pieza central: recoge finalidad, datos, base jurídica, destinatarios, plazos y seguridad de cada tratamiento.
- Llevarlo obliga a plantearse las preguntas adecuadas y revela las anomalías (conservación excesiva, recogida innecesaria, base jurídica ausente).
- Obligaciones asociadas: informar a las personas, proteger, controlar a los encargados mediante contrato, y en ocasiones DPD y evaluación de impacto.
- El cumplimiento es PROPORCIONADO (una pyme no tiene las obligaciones de un gran actor); comprobar el régimen preciso de su país.
Reto 48h — aplíquelo mañana
Cree su tabla de registro con 3 tratamientos (clientes, prospectos, nóminas) y corrija 1 anomalía (plazo demasiado largo, base ausente, proveedor sin contrato).
- Puedo citar el contenido de una línea de registro.
- Mi tabla cubre 3 tratamientos reales.
- He corregido 1 anomalía detectada por el registro.
Preguntas frecuentes
¿Una pequeña empresa debe realmente llevar un registro y nombrar un DPD?
Distinga ambos. El registro es ampliamente recomendable (y a menudo obligatorio) incluso para las pequeñas estructuras — y útil en sí: pone orden y revela anomalías. Para una pyme, basta una tabla sencilla. El DPD solo es obligatorio en ciertos casos concretos (organismos públicos, seguimiento a gran escala, datos sensibles a gran escala). El mensaje: proporcionalidad — obligaciones reales pero ligeras, ni ninguna ni las de una multinacional.
¿Por dónde empezar sin ahogarse?
Por etapas: 1) cartografiar sus tratamientos (ya su registro en construcción); 2) interrogar cada tratamiento (finalidad, base, demasiado recogido, demasiado guardado) y corregir; 3) proteger (accesos, contraseñas, copias); 4) informar (avisos claros); 5) controlar a los proveedores; 6) saber responder a los derechos; 7) documentar y mantener. Priorice el riesgo, acepte lo progresivo, siga proporcionado, apóyese en las guías de la autoridad de su país.
¿Cuál es la pieza central del cumplimiento «datos»?