Modelos y registros · ISO 27701 · Apartado A.1 y A.2
Modelo de registro de actividades de tratamiento ISO 27701
La pieza central del sistema de privacidad: qué datos se tratan, para qué, de quién, con quién se comparten y cuánto tiempo se guardan, tratamiento por tratamiento.
En una frase
El registro de actividades de tratamiento describe, por cada tratamiento, la finalidad, las categorías de interesados y de datos, los destinatarios, las transferencias internacionales, los plazos de supresión y las medidas de seguridad, porque el artículo 30 del RGPD lo exige al responsable y al encargado e ISO/IEC 27701 lo recoge entre los controles de sus tablas A.1 y A.2.
- Dónde lo pide la norma
- ISO 27701 · Apartado A.1 y A.2 Se cita la edición de 2025: los números de 4 a 10 son capítulos; A.1, A.2 y A.3 son las tablas del Anexo A con los controles del responsable, del encargado y comunes a ambos.
- Tipo de información
- Documento obligatorio Documento que hay que mantener actualizado (art. 30 RGPD; controles de las tablas A.1 y A.2)
- Quién lo rellena
- El responsable de cada tratamiento, con el delegado de protección de datos Quien conoce el proceso lo describe; el delegado o el responsable del PIMS revisa que esté completo
- Cuándo
- Antes de iniciar un tratamiento y en cada cambio Una herramienta nueva, un proveedor nuevo o una finalidad nueva obligan a revisarlo
- Cuánto se conserva
- Mientras exista el tratamiento Es un documento vivo: se actualiza y se guarda la versión anterior para poder enseñar cómo era en cada momento.
Qué pide la norma
Lo que exige ISO 27701 y lo que deja a tu criterio
La norma pide al responsable y al encargado mantener un registro de los tratamientos que llevan a cabo, con el detalle suficiente para gestionarlos y demostrarlo. No fija la plantilla: lo que exige es que el registro sea completo, esté al día y lo conozca quien decide sobre cada tratamiento.
El RGPD concreta el contenido mínimo: el artículo 30.1 para el responsable y el 30.2 para el encargado, que registra las categorías de tratamientos que hace por cuenta de cada cliente. Debe constar por escrito, también en formato electrónico, y ponerse a disposición de la autoridad de control si lo solicita.
El artículo 30.5 exime a las organizaciones de menos de 250 empleados salvo que el tratamiento entrañe riesgo, no sea ocasional o incluya categorías especiales de datos. En la práctica casi ninguna empresa con plantilla propia queda exenta, porque las nóminas no son ocasionales.
Estructura
Campos que debe tener el modelo
- Nombre y contacto del responsable y, en su caso, del delegado de protección de datos
- Papel de la organización: responsable, corresponsable o encargado
- Finalidad del tratamiento y base jurídica
- Categorías de interesados y de datos personales
- Categorías de destinatarios, incluidos encargados
- Transferencias internacionales y garantías aplicadas
- Plazos previstos de supresión
- Descripción general de las medidas de seguridad
- Sistemas o aplicaciones que soportan el tratamiento
- Fecha de la última revisión y quién la hizo
Ejemplo
Ejemplo: tratamiento de nóminas en una empresa ficticia
Empresa, personas y cifras inventadas: el ejemplo solo enseña cómo queda un registro bien cumplimentado.
| Campo | Contenido |
|---|---|
| Tratamiento | RAT-04 · Gestión de nóminas · Talleres Ebro Norte, S. L. (ficticia) |
| Papel | Responsable del tratamiento |
| Finalidad y base jurídica | Pago de salarios y obligaciones de Seguridad Social y fiscales · Ejecución del contrato de trabajo y obligación legal |
| Interesados y datos | 86 empleados · Identificativos, bancarios, retributivos, situación familiar a efectos fiscales |
| Destinatarios | Asesoría laboral externa (encargada, contrato EN-2026-03), Seguridad Social, Agencia Tributaria, entidad bancaria |
| Transferencias | No hay |
| Supresión | Durante la relación laboral y después mientras duren los plazos de prescripción aplicables |
| Medidas | Acceso restringido a dos personas de administración, doble factor, cifrado del envío a la asesoría |
| Revisión | 12 de marzo de 2026 · Responsable del PIMS |
En la auditoría
Errores que suelen señalar los auditores
- El registro se hizo una vez y no recoge las herramientas incorporadas después.
- Se describe la base jurídica como «consentimiento» en tratamientos laborales que se apoyan en el contrato o en la ley.
- El encargado copia el registro de responsable y no distingue los tratamientos que hace por cuenta de cada cliente.
- Los plazos de supresión dicen «los legalmente establecidos» sin concretar ninguno.
- Los encargados que aparecen en el registro no tienen contrato vigente.
En Kimobox
Cómo se lleva este registro en Kimobox
- 1Cada tratamiento es una ficha del registro de actividades con su responsable y su fecha de revisión.
- 2El alta de una herramienta o de un proveedor nuevos lanza un flujo que obliga a revisar los tratamientos afectados.
- 3Los destinatarios se enlazan con los proveedores y su contrato de encargado.
- 4El historial de versiones permite enseñar cómo era el registro en cualquier fecha.
Preguntas frecuentes
Lo que nos preguntan antes de empezar
¿El registro de actividades es lo mismo que el inventario de datos?
No exactamente. El registro describe tratamientos —para qué se usan los datos— con el contenido que fija el artículo 30. El inventario baja a dónde están los datos: sistemas, ficheros, copias. El primero es obligatorio; el segundo es una buena práctica que alimenta la evaluación de riesgos.
¿Hay que publicarlo?
El RGPD no lo exige: hay que ponerlo a disposición de la autoridad de control cuando lo pida. Algunas leyes nacionales imponen su publicación a organismos públicos.
¿Cada cuánto se revisa?
Siempre que cambie un tratamiento y, además, con una revisión periódica planificada, normalmente anual, que el auditor de la norma comprobará en su muestra.
Lleva los registros de ISO 27701 sin plantillas sueltas
Te enseñamos el módulo funcionando con datos parecidos a los tuyos.
Sigue explorando
Páginas relacionadas
Registro de actividades de tratamiento
El registro de actividades de tratamiento (RAT) es el inventario obligatorio de todos los tratamientos de…
Controles para responsables y encargados
El Anexo A reúne los controles de referencia del PIMS para responsables y encargados; el Anexo B, también…
Modelo de inventario de datos personales ISO 27701
Cómo montar un inventario de datos personales para un PIMS ISO 27701: dónde están los datos, en qué…
Modelo de evaluación de riesgos de privacidad ISO 27701
Cómo documentar la evaluación de riesgos de privacidad de ISO 27701: criterios, riesgo para las personas…
Fuentes
De dónde sale cada dato
Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.
- Reglamento (UE) 2016/679, Reglamento General de Protección de Datos EUR-Lex · 27 de abril de 2016; aplicable desde el 25 de mayo de 2018
- ISO/IEC 27701:2025 — Sistemas de gestión de la información de privacidad. Requisitos y orientación ISO/IEC · Segunda edición, octubre de 2025