El RAAT calienta motores

Fuente de la imagen: mvc archivo propio

Mientras leo en ituser[1] que "diecisiete de 24 agencias de protección de datos de la UE no están preparadas para hacer cumplir GDPR, que se debe a la falta de financiación por parte de sus respectivos gobiernos y a las actuales legislaciones nacionales, que no han sido actualizadas para la llegada de la nueva normativa", en mi país el Registro de Actividades de Tratamiento (RAAT) que se menciona en el art. 30 del referido GDPR (también conocido como RGPD o REPD) empieza a calentar motores. Ayer informaba en el sitio Protección de Datos de la "Supresión de la obligación de notificar ficheros a la AEPD"[2], como paso previo para el RAAT. 

Y es que, con motivo de la próxima aplicación del RGPD, que suprime la obligación de notificar ficheros a la Agencia Española de Protección de Datos (AEPD) para su inscripción en el Registro General de Protección de Datos, el día 14 de mayo de 2018 dejaron de estar operativos los sistemas de notificación de ficheros, tanto a través del formulario NOTA como a través del envío de notificaciones en formato XML. La obligación de notificar ficheros se sustituye a partir del 25 de mayo de 2018 por elaborar un RAAT, que deberá contener la información señalada en el ordenamiento jurídico europeo aplicable. 

El artículo 30 del RGPD[3] establece que “cada responsable y, en su caso, su representante llevarán un registro de las actividades de tratamiento efectuadas bajo su responsabilidad”. La realización de este registro servirá a cada responsable o encargado para responder a lo expuesto en el considerando 82, que afirma que “todos los responsables y encargados están obligados a cooperar con la autoridad de control y a poner a su disposición, previa solicitud, dichos registros, de modo que puedan servir para supervisar las operaciones de tratamiento”. 

En el texto "El art. 30 del Registro de Actividades del RGPD", te comentaba que, si bien en este momento no existe ninguna previsión legal que obligue a responsables y encargados de tratamiento a publicar su RAAT, con el objetivo de mostrar cómo construirlo, la AEPD ha elaborado y publicado el suyo, que refleja los tratamientos de datos de carácter personal que realiza[4], donde se muestra de forma transparente cómo puede elaborarse este registro. El espíritu de esta publicación es ayudar a otros responsables a encontrar respuesta a su búsqueda de un ejemplo de cómo cumplir con esta obligación.

__________________

[1] Sitio visitado el 15/05/2018.

[2] Velasco Carretero, Manuel. Supresión de la obligación de notificar ficheros a la AEPD. Sitio Protección de Datos. 2018. Visitado el 15/05/2018.

[3] Artículo 30. Registro de las actividades de tratamiento.

1. Cada responsable y, en su caso, su representante llevarán un registro de las actividades de tratamiento efectuadas bajo su responsabilidad. Dicho registro deberá contener toda la información indicada a continuación: a) el nombre y los datos de contacto del responsable y, en su caso, del corresponsable, del representante del responsable, y del delegado de protección de datos; b) los fines del tratamiento; c) una descripción de las categorías de interesados y de las categorías de datos personales; d) las categorías de destinatarios a quienes se comunicaron o comunicarán los datos personales, incluidos los destinatarios en terceros países u organizaciones internacionales; e) en su caso, las transferencias de datos personales a un tercer país o una organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo, la documentación de garantías adecuadas; f) cuando sea posible, los plazos previstos para la supresión de las diferentes categorías de datos; g) cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad a que se refiere el artículo 32, apartado 1. 

2. Cada encargado y, en su caso, el representante del encargado, llevará un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta de un responsable que contenga: a) el nombre y los datos de contacto del encargado o encargados y de cada responsable por cuenta del cual actúe el encargado, y, en su caso, del representante del responsable o del encargado, y del delegado de protección de datos; b) las categorías de tratamientos efectuados por cuenta de cada responsable; c) en su caso, las transferencias de datos personales a un tercer país u organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo, la documentación de garantías adecuadas; d) cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad a que se refiere el artículo 30, apartado 1.

3. Los registros a que se refieren los apartados 1 y 2 constarán por escrito, inclusive en formato electrónico.

4. El responsable o el encargado del tratamiento y, en su caso, el representante del responsable o del encargado pondrán el registro a disposición de la autoridad de control que lo solicite.

5. Las obligaciones indicadas en los apartados 1 y 2 no se aplicarán a ninguna empresa ni organización que emplee a menos de 250 personas, a menos que el tratamiento que realice pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional, o incluya categorías especiales de datos personales indicadas en el artículo 9, apartado 1, o datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10.

[4] Si quieres acceder clickea AQUÍ. Sitio visitado el 15/05/2018.