Artículo 30 del RGPD: registro de las actividades de tratamiento

Las preguntas de Reglamento general de protección de datos (RGPD) que citan este artículo, resueltas y con su cita literal.

Estudiar la colección Leer la norma entera

Así son sus preguntas

Resueltas, y cada una con la cita literal que la justifica, para que compruebes la respuesta por tu cuenta.

Una empresa de cuarenta empleados trata cada mes los datos de nómina de su plantilla. Según el RGPD, ¿está obligada a llevar el registro de las actividades de tratamiento?

No, porque emplea a menos de 250 personas
Sí, porque ese tratamiento no es ocasional
No, porque la nómina no es categoría especial
Sí, porque toda empresa de más de 25 lo está

La regla general exime a las empresas y organizaciones que emplean a menos de 250 personas, pero la exención cae si el tratamiento puede entrañar un riesgo para los derechos de los interesados, no es ocasional o incluye categorías especiales o datos penales: basta una de esas circunstancias. La nómina mensual es un tratamiento habitual, así que la empresa lleva registro aunque sea pequeña y sin necesidad de entrar en si trata categorías especiales. El Reglamento no fija ningún umbral de 25 empleados.

Las obligaciones indicadas en los apartados 1 y 2 no se aplicarán a ninguna empresa ni organización que emplee a menos de 250 personas, a menos que el tratamiento que realice pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional

Reglamento (UE) 2016/679, de 27 de abril

Según el RGPD, y al margen de las excepciones que el propio Reglamento prevé, ¿tiene que llevar el encargado del tratamiento su propio registro de actividades?

No, porque lo que hace consta en el registro del responsable
No, salvo que la autoridad de control se lo requiera expresamente
Sí, pero solo si ha designado un delegado de protección de datos
Sí, de las actividades que realiza por cuenta de un responsable

Cada encargado, y en su caso su representante, lleva un registro de todas las categorías de actividades de tratamiento que efectúa por cuenta de un responsable, con un contenido más corto que el del responsable: por ejemplo, no recoge los fines. No lo sustituye el registro del responsable ni depende de haber designado delegado; y la autoridad de control no crea la obligación con su requerimiento: lo que puede pedir es que se le ponga a disposición.

Cada encargado y, en su caso, el representante del encargado, llevará un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta de un responsable

Reglamento (UE) 2016/679, de 27 de abril

Según el RGPD, ¿cómo deben figurar en el registro de actividades del responsable los plazos previstos para suprimir las diferentes categorías de datos?

Siempre, con la fecha exacta de supresión de cada interesado
Solo si el tratamiento incluye categorías especiales de datos
Cuando sea posible, como una de las informaciones del registro
No figuran: se fijan en el contrato con cada encargado

Los plazos previstos para la supresión son una de las informaciones del registro del responsable, pero con la reserva «cuando sea posible», igual que la descripción general de las medidas de seguridad. No se exige una fecha por interesado, la obligación no depende de que se traten categorías especiales y el Reglamento no los saca del registro para llevarlos al contrato de encargo.

cuando sea posible, los plazos previstos para la supresión de las diferentes categorías de datos

Reglamento (UE) 2016/679, de 27 de abril