Registro de actividades de tratamiento, EIPD y cierre del cambio

Módulo 9: Personas y normas · Tiempo de lectura: 12 minutos

Objetivo de aprendizaje: Después de esta lección podrá actualizar el registro de actividades de tratamiento y la política de privacidad tras el cambio, determinar si es necesaria una EIPD, hacer que se eliminen correctamente los datos del servicio anterior y cerrar formalmente el cambio con una lista de verificación final.

Conceptos clave: registro de actividades de tratamiento (art. 30), excepción para menos de 250 empleados, EIPD (art. 35), lista de EIPD de la AEPD, política de privacidad (art. 13 y 14), destinatarios, transferencia, obligación de notificación de brechas de datos (art. 33), eliminación en el servicio anterior, confirmación de eliminación, evaluación, lista de verificación final

El cambio solo está terminado cuando el papeleo está en orden

El correo funciona, los archivos están ahí, todos trabajan en el nuevo entorno. Técnicamente ha terminado. Pero para el RGPD todavía queda trabajo: su documentación aún describe la situación anterior. Ante la pregunta de un cliente, una inspección o una brecha de datos, querrá poder demostrar cómo está la situación ahora. Esta lección cierra el cambio.

Esto es una explicación, no asesoramiento jurídico.

El registro de actividades de tratamiento

El artículo 30, apartado 1, del RGPD obliga al responsable a mantener un registro de actividades de tratamiento. En él figura, por cada tratamiento (por ejemplo "pedidos de clientes", "administración de personal", "boletín informativo"):

• nombre y datos de contacto del responsable (y, en su caso, del delegado de protección de datos);
• los fines del tratamiento;
• las categorías de interesados y de datos personales;
• los destinatarios, incluidos los encargados del tratamiento;
• transferencias a países fuera del EEE, con las garantías aplicadas;
• los plazos de conservación, cuando sea posible;
• una descripción general de las medidas de seguridad, cuando sea posible.

¿Se aplica también a una organización pequeña?

El artículo 30, apartado 5, contiene una excepción para organizaciones con menos de 250 empleados. Pero esa excepción no se aplica si el tratamiento probablemente entraña un riesgo, si no es ocasional, o si incluye categorías especiales de datos personales (como salud) o datos relativos a condenas e infracciones penales. La autoridad de control explica que, en la práctica, los tratamientos rara vez son ocasionales: en cuanto tiene empleados o clientes habituales, trata datos de forma estructural. Para la Panadería De Korrel, con administración de nóminas, pedidos de clientes y bajas por enfermedad, la excepción por tanto no se aplica.

Existe una propuesta europea para aligerar la obligación de registro para organizaciones más pequeñas (el llamado paquete Omnibus IV; en junio de 2026 el Consejo y el Parlamento alcanzaron un acuerdo provisional). Mientras no entre en vigor, se aplica el artículo 30 actual. E incluso después, tener una visión de conjunto seguirá siendo útil: la necesita para poder cumplir el resto de sus obligaciones.

¿Qué ajusta después del cambio?

Revise cada línea de su registro y ajústela:

Un cambio es un buen momento para por fin poner en orden los plazos de conservación. Para la administración fiscal, en los Países Bajos se aplica por norma general una obligación de conservación de siete años; para los datos de candidatos a un puesto, la autoridad de control neerlandesa recomienda en principio cuatro semanas tras finalizar el proceso de selección. Compruebe qué plazos rigen en España y en su sector, ya que pueden diferir.

¿Necesita hacer una EIPD?

Una EIPD (evaluación de impacto relativa a la protección de datos, en inglés DPIA) es un análisis de riesgos estructurado realizado previamente. El artículo 35 obliga a realizar una EIPD cuando un tratamiento probablemente entrañe un alto riesgo para los interesados, especialmente con nuevas tecnologías.

¿Cómo sabe si es su caso?

1. La lista de la autoridad de control. La autoridad neerlandesa de protección de datos (Autoriteit Persoonsgegevens) publicó en 2019 una lista de diecisiete tipos de tratamientos para los que una EIPD es siempre obligatoria. En ella figuran, entre otros, el tratamiento a gran escala de datos de salud, la videovigilancia, el control de empleados, los datos de comunicaciones, los datos de localización, la elaboración de perfiles y la biometría. Tenga en cuenta que cada autoridad de control de la UE, incluida la AEPD en España, elabora su propia lista conforme al artículo 35, apartado 4; conviene consultar la que corresponda a su país.
2. Los criterios europeos. Las autoridades de control europeas han establecido nueve criterios (como datos sensibles, gran escala, interesados vulnerables, seguimiento sistemático, nueva tecnología). Si un tratamiento cumple dos o más, por norma general es necesaria una EIPD.

Para una panadería que traslada su correo y sus archivos, normalmente no es obligatoria una EIPD. Para una consulta médica que traslada la comunicación con pacientes a un nuevo servicio, o un centro escolar con datos de alumnos, la cosa cambia. Incluso cuando no sea obligatoria, un breve análisis de riesgos puede resultar útil. La valoración de la lección 1.5 es un buen punto de partida. Si ya tenía una EIPD para el servicio anterior, actualícela.

La política de privacidad

En su política de privacidad informa a los interesados (clientes, candidatos, visitantes del sitio web) de cómo trata sus datos (art. 13 y 14). En ella figuran, entre otros, los destinatarios o categorías de destinatarios y las posibles transferencias fuera del EEE. Si antes decía "utilizamos servicios de empresas de Estados Unidos sobre la base del Data Privacy Framework", ajústelo. No cambie nada que no sea correcto: mencione únicamente lo que sepa con certeza a partir del contrato de encargo y de la lista de subencargados.

Brechas de datos: sepa a quién llamar

Tras el cambio, su proveedor ha cambiado, y por tanto también el procedimiento en caso de brecha de datos. Incluya en su procedimiento:

• la dirección de contacto del nuevo proveedor para incidentes de seguridad;
• el plazo dentro del cual el proveedor le informará según el contrato de encargo;
• quién decide en su organización si hay que notificar, ya que la notificación a la autoridad de control debe realizarse en el plazo de 72 horas desde que se tenga constancia (art. 33);
• dónde mantiene el registro de brechas de datos: incluso las brechas que no esté obligado a notificar debe documentarlas internamente (art. 33, apartado 5).

Cerrar el servicio anterior

No cancele el servicio anterior hasta que todo haya funcionado bien durante unas semanas (lección 3.3). Después:

1. Última comprobación: ¿se ha trasladado todo? ¿Hay carpetas compartidas, formularios o enlaces que aún apunten al servicio anterior?
2. Exporte un último archivo para su propia administración, si desea conservarlo (por ejemplo, correo sujeto a la obligación de conservación). Guárdelo cifrado.
3. Elimine las cuentas y los datos en el servicio anterior, o haga que los eliminen. El artículo 28, apartado 3, letra g, obliga al antiguo encargado del tratamiento a eliminar o devolver los datos una vez finalizada la prestación, a su elección. Solicite una confirmación de eliminación y consérvela junto a su registro.
4. Elimine los enlaces: enlaces de "iniciar sesión con" en otros servicios, aplicaciones con acceso y registros de verificación en su DNS (lección 4.3).
5. Actualice su registro, su política de privacidad y su procedimiento de brechas de datos (vea más arriba).

Evaluar

Planifique una breve evaluación un mes después del cambio con los embajadores (lección 9.1). ¿Qué funcionó bien, qué no, qué haría de otra manera la próxima vez? Anote también su plan de salida para el nuevo servicio (lección 8.2) y fije una fecha en la agenda para probarlo anualmente.

En la práctica: así funciona con un proveedor

Muchos proveedores disponen de una función para descargar sus datos o eliminar su cuenta. En WebOké, el manual de WebOké explica cómo descargar sus datos o solicitar su eliminación. En los grandes servicios estadounidenses esto suele llamarse "exportar datos" y "eliminar cuenta", y el administrador de una cuenta de organización dispone de sus propias funciones de exportación. Infórmese de antemano de cuánto tiempo conserva el servicio los datos en copias de seguridad tras la eliminación; suele indicarse en la política de privacidad o en el contrato de encargo.

Lista de verificación final

• [ ] Todos los elementos del inventario (lección 3.1) están en el nuevo entorno y han sido comprobados
• [ ] Contrato(s) de encargo del tratamiento con el/los nuevo(s) proveedor(es) firmados y conservados (lección 9.2)
• [ ] Registro de actividades de tratamiento actualizado: destinatarios, transferencias, seguridad, plazos de conservación
• [ ] EIPD valorada (necesaria o no, y motivo documentado)
• [ ] Política de privacidad ajustada
• [ ] Procedimiento de brechas de datos con los nuevos datos de contacto
• [ ] Servicio anterior cancelado, datos eliminados, confirmación conservada
• [ ] Enlaces y registros DNS antiguos eliminados
• [ ] Copia de seguridad del nuevo entorno configurada y probada (lección 8.1)
• [ ] Plan de salida para el nuevo servicio documentado (lección 8.2)
• [ ] Evaluación realizada

Resumen

• Tras el cambio, actualice el registro de actividades de tratamiento: destinatarios, transferencias, seguridad y plazos de conservación.
• La excepción para menos de 250 empleados rara vez se aplica en la práctica; una propuesta para aligerarla aún no ha entrado en vigor (situación en noviembre de 2026).
• Una EIPD es obligatoria en caso de alto riesgo (lista de la autoridad de control, criterios europeos); para datos de oficina habituales, normalmente no.
• Ajuste su política de privacidad y su procedimiento de brechas de datos.
• Haga que el servicio anterior elimine sus datos y solicite una confirmación.

Cuestionario

Ejercicio

Ejercicio E9.3: Cierre su cambio. Actualice, para tres tratamientos de su organización, las líneas del registro de actividades de tratamiento (destinatarios, transferencia, seguridad, plazo de conservación), valore con la lista de la autoridad de control y los criterios europeos si es necesaria una EIPD, y complete la lista de verificación final.

Para saber más

Los pasos de estos artículos se aplican a los servicios de WebOké; en otros proveedores el funcionamiento es similar.

• Manual de WebOké 11.7: Privacidad: descargar o solicitar la eliminación de sus datos
• Manual de Nextcloud 16.7: Un colega se va: cómo recuperar de forma segura sus archivos, calendario y carpetas compartidas
• Manual de Nextcloud 15.13: Preguntas frecuentes sobre seguridad y privacidad
• Reglamento (UE) 2016/679 (RGPD), artículos 13, 14, 28, 30, 33 y 35, en EUR-Lex
• Decisión relativa a la lista de tratamientos de datos personales para los que es obligatoria una EIPD (Autoriteit Persoonsgegevens, Stcrt. 2019), en wetten.overheid.nl (BWBR0042812); se trata de una publicación de la autoridad neerlandesa, y conviene recordar que la AEPD en España dispone de su propia lista conforme al artículo 35, apartado 4
• Agencia Española de Protección de Datos (AEPD), apartados "Registro de actividades de tratamiento" y "Evaluación de impacto": https://www.autoriteitpersoonsgegevens.nl