Registre dels tractaments

Amb el nou Reglament en Protecció de dades (RGPD) no s’hauran de declarar fitxers, s’haurà d’implementar un registre dels tractaments.

Aquest registre es substancialment diferent del manteniment del tradicional “document de seguretat”, que exigia l’article 88 del RLOPD. El Considerant 82 del RGPD es refereix a aquest registre assenyalant que “para demostrar la conformidad con el presente Reglamento, el responsable o el encargado del tratamiento debe mantener registros de las actividades de tratamiento bajo su responsabilidad. Todos los responsables y encargados están obligados a cooperar con la autoridad de control y a poner a su disposición, previa solicitud, dichos registros, de modo que puedan servir para supervisar las operaciones de tratamiento”.

El RGPD, que es refereix a aquesta mesura expressament al seu article 30, assenyala que els responsables i els encarregats estan obligats a mantenir un registre de les activitats de tractament que es realitzin.

L’obligació de manteniment del registre, segons l’apartat 5 del citat article 30 del RGPD, s’imposa en el cas d’empreses o organitzacions que es trobin en algun dels supòsits següents: “Empleen más de 250 personas, a menos que:

· el tratamiento que realice pueda entrañar un riesgo para los derechos y libertades de los interesados;

· realicen tratamientos con datos que no sea de forma ocasional;

· Si el tratamiento que se realiza incluye categorías especiales de datos personales indicadas en el artículo 9, apartado 1. Es decir, tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientaciones sexuales de una persona física.

· Si el tratamiento que se realiza incluye datos personales relativos a condenas e infracciones penales, a que se refiere el artículo 10.”

Això vol dir que qualsevol empresa amb menys de 250 treballadors que realitzi tractaments que no siguin ocasionals, o tractaments amb categories especials de dades o el tractament pugui comportar un risc per als drets i llibertat dels interessats, haurà d’implementar un registre d’activitats. Per això la gran majoria d’empreses estaran obligades a implementar-lo.

Aquest registre, segons l’apartat 3 de l’article 30, ha de constar per escrit i, en tot cas, en format electrònic. Per altra banda, el registre ha d’estar a disposició de l’autoritat de control que ho sol·liciti.