ROPA Full Form: Record of Processing Activities
ROPA full form is Record of Processing Activities. Learn what Article 30 of the GDPR requires, what a controller and processor ROPA must include, and when the small-organisation exception applies.
ROPA significado: ¿qué es un registro de actividades de tratamiento?
ROPA son las siglas de Record of Processing Activities, es decir, registro de actividades de tratamiento. Es el documento interno que las organizaciones deben mantener en virtud del artículo 30 del RGPD, en el que se enumeran todas las actividades de tratamiento que implican datos personales. Se conserva internamente; las autoridades de control pueden solicitarlo en cualquier momento.
ROPA y términos relacionados
| Término | Siglas | Significado |
|---|---|---|
| ROPA | Record of Processing Activities | El registro del artículo 30 del RGPD de las actividades de tratamiento, mantenido por los responsables y los encargados del tratamiento. |
| Artículo 30 | RGPD Art. 30 | La disposición que hace obligatorio el registro y establece su contenido requerido. |
| EIPD | Evaluación de impacto relativa a la protección de datos | Una evaluación de riesgos más profunda y separada, requerida para tratamientos de alto riesgo en virtud del artículo 35. |
| DPD | Delegado de protección de datos | La persona responsable de asesorar sobre el cumplimiento del RGPD, incluido el registro, conforme a los artículos 37 a 39. |
¿Quién debe llevar un registro?
Responsables del tratamiento
El responsable del tratamiento debe mantener un registro de todas las actividades de tratamiento que lleva a cabo (artículo 30, apartado 1).
Encargados del tratamiento
El encargado del tratamiento debe mantener un registro de las categorías de actividades de tratamiento que realiza por cuenta de los responsables (artículo 30, apartado 2).
La excepción para pequeñas organizaciones
El artículo 30, apartado 5, exime a las empresas u organizaciones con menos de 250 personas de la obligación, pero solo si se cumplen las tres condiciones siguientes:
- El tratamiento no es probable que entrañe un riesgo para los derechos y libertades de las personas
- El tratamiento es ocasional (no se realiza de manera habitual)
- El tratamiento no incluye categorías especiales de datos del artículo 9, apartado 1, ni datos sobre condenas penales del artículo 10
En la práctica, casi todas las organizaciones tratan datos de empleados y clientes de forma habitual. Eso significa que la segunda condición no se cumple y la excepción no se aplica. Para las organizaciones que también manejan datos de salud de empleados o datos de afiliación sindical, la tercera condición tampoco se cumple.
¿Qué debe incluir el registro de un responsable del tratamiento?
El artículo 30, apartado 1, establece los campos obligatorios para el registro de un responsable:
| Campo | Notas |
|---|---|
| Nombre y datos de contacto del responsable y de cualquier corresponsable | Incluir los datos de contacto del DPD cuando proceda |
| Fines del tratamiento | Por qué se tratan los datos |
| Categorías de interesados | Por ejemplo: clientes, empleados, visitantes del sitio web |
| Categorías de datos personales | Por ejemplo: datos de contacto, datos financieros, datos de salud |
| Categorías de destinatarios | Incluidos los destinatarios en terceros países u organizaciones internacionales |
| Transferencias a terceros países u organizaciones internacionales | Identificar el país y el mecanismo de transferencia (decisión de adecuación, CCT, normas corporativas vinculantes) |
| Plazos de supresión | En la medida de lo posible, los plazos previstos para la supresión de las distintas categorías de datos |
| Descripción de las medidas de seguridad técnicas y organizativas | En la medida de lo posible, una descripción general |
La reserva "en la medida de lo posible" relativa a los plazos de supresión (artículo 30, apartado 1, letra f) y a las medidas de seguridad (artículo 30, apartado 1, letra g) refleja que estos aspectos no siempre pueden definirse con precisión. Regístrelos con la mayor especificidad que permita la información disponible.
¿Qué debe incluir el registro de un encargado del tratamiento?
El artículo 30, apartado 2, establece los campos obligatorios para el registro de un encargado:
| Campo | Notas |
|---|---|
| Nombre y datos de contacto del encargado y de cada responsable por cuya cuenta actúa | Incluir los datos de contacto del DPD cuando proceda |
| Categorías de tratamientos realizados por cuenta de cada responsable | La naturaleza del tratamiento, no el detalle completo de los tratamientos de cada responsable |
| Transferencias a terceros países u organizaciones internacionales | Identificar el país y el mecanismo de transferencia |
| Descripción de las medidas de seguridad técnicas y organizativas | En la medida de lo posible, una descripción general |
¿Qué cuenta como "tratamiento"?
El artículo 4, apartado 2, del RGPD define el tratamiento de forma amplia. Abarca cualquier operación efectuada sobre datos personales, sea o no de forma automatizada, entre ellas:
- La recogida, registro, organización, estructuración y conservación
- La adaptación o modificación
- La extracción, consulta y utilización
- La comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso
- El cotejo o la interconexión
- La limitación, supresión o destrucción
Cualquiera de estas operaciones sobre datos personales constituye un tratamiento y debe considerarse para su inclusión en el registro.
Cómo estructurar un registro
Un registro se estructura habitualmente como una tabla con una fila o entrada por actividad de tratamiento. Una organización puede tener decenas de actividades distintas: tratamiento de RR. HH., gestión de clientes, marketing, analítica web, detección de fraude, entre otras. Cada una debe ser una entrada separada.
Para cada entrada, registre los campos del artículo 30. Si su organización actúa como responsable y como encargado a la vez (por ejemplo, trata los datos de sus propios empleados como responsable y los datos de sus clientes como encargado), lleve los dos registros por separado.
El registro puede mantenerse en forma de hoja de cálculo, base de datos o software especializado en gestión de privacidad. El formato no está prescrito, pero debe constar por escrito, lo que incluye el formato electrónico (artículo 30, apartado 3).
Transferencias fuera del EEE y del Reino Unido
Si transfiere datos personales a un país situado fuera del Espacio Económico Europeo (EEE), el registro de su responsable debe identificar el país u organización internacional y el mecanismo de transferencia en que se basa: una decisión de adecuación, cláusulas contractuales tipo (CCT), normas corporativas vinculantes (BCR) u otra excepción permitida.
En virtud del RGPD del Reino Unido (que se aplica por separado a las organizaciones establecidas en el Reino Unido o a aquellas que tratan datos de residentes en el Reino Unido tras el Brexit), la misma obligación se aplica a las transferencias fuera del Reino Unido, utilizando los equivalentes británicos: los reglamentos de adecuación del Reino Unido, el International Data Transfer Agreement (IDTA) o el UK Addendum.
El registro y la EIPD
Un registro no es lo mismo que una EIPD. El registro es un inventario general de todas las actividades de tratamiento; una EIPD es una evaluación de riesgos más profunda que se realiza antes de iniciar tratamientos de alto riesgo. El registro es un punto de partida útil para identificar qué actividades pueden requerir una EIPD: cualquier entrada que implique tratamiento a gran escala de datos sensibles, vigilancia sistemática o elaboración de perfiles con efectos significativos probablemente requerirá una.
Mantener el registro actualizado
El artículo 30 exige que los responsables y encargados del tratamiento pongan el registro a disposición de la autoridad de control cuando lo solicite. El registro debe actualizarse:
- Cuando comienza una nueva actividad de tratamiento
- Cuando una actividad existente cambia (nuevos tipos de datos, nuevos proveedores, nuevas finalidades, nuevas transferencias)
- Cuando se elimina un proveedor o sistema
- Periódicamente como revisión de rutina, al menos una vez al año
Sanciones por no mantener un registro
El incumplimiento de la obligación de mantener un registro o de ponerlo a disposición de la autoridad de control está sujeto a la franja inferior de multas del RGPD: hasta 10 millones de euros o el 2 % del volumen de negocio anual global, si esta cifra fuera superior. Las autoridades reguladoras solicitan habitualmente el registro durante las investigaciones. Un registro inexistente o inadecuado constituye en sí mismo una infracción del artículo 30, independientemente de cualquier otra violación que se esté examinando.
Requisitos de registro en otras leyes de privacidad
| Ley | Equivalente | Notas |
|---|---|---|
| RGPD de la UE | ROPA (artículo 30) | Obligatorio para responsables y encargados del tratamiento; la excepción para pequeñas organizaciones raramente se aplica |
| RGPD del Reino Unido | ROPA (artículo 30 UK GDPR) | Las mismas obligaciones se aplican a las organizaciones que tratan datos de residentes en el Reino Unido |
| LGPD de Brasil | Registro de actividades de tratamiento | Obligación similar; las orientaciones de la ANPD indican lo que debe incluirse |
| PIPL de China | Registros de evaluaciones de impacto sobre el tratamiento | El artículo 55 exige evaluaciones de impacto sobre la protección de la información personal, con registros conservados al menos tres años; vinculadas a desencadenantes de tratamientos de alto riesgo, no es un registro autónomo de tipo ROPA |
| Ley DPDP de la India | Sin equivalente directo | Se aplican obligaciones generales de responsabilidad; no existe un requisito de registro completo de tipo ROPA |
Cómo le ayuda UniConsent con su registro
Para el seguimiento en sitios web y aplicaciones, el registro debe reflejar qué cookies, rastreadores y proveedores están activos y qué datos recopilan. UniConsent ofrece:
- El escáner de cookies detecta cookies, píxeles y SDK en su sitio con categorías y duraciones, proporcionando los datos necesarios para las entradas del registro relativas a la analítica web y la publicidad
- El banner de consentimiento bloquea los rastreadores no consentidos antes de que se activen, de modo que los flujos de datos descritos en su registro coincidan con lo que ocurre realmente en el sitio
- La lista de proveedores muestra qué terceros reciben datos a través de su configuración de consentimiento, cubriendo el campo "categorías de destinatarios" de su registro
- Los registros de consentimiento proporcionan la pista de auditoría que demuestra la responsabilidad junto con el registro
Preguntas frecuentes
¿Qué significan las siglas ROPA?
ROPA son las siglas de Record of Processing Activities, es decir, registro de actividades de tratamiento. Es el registro exigido por el artículo 30 del RGPD que documenta cada actividad de tratamiento de una organización.
¿Es obligatorio el registro para todas las organizaciones?
El artículo 30, apartado 5, establece una excepción restringida para las organizaciones con menos de 250 personas, pero solo se aplica cuando se cumplen las tres condiciones: el tratamiento no es probable que entrañe un riesgo para los interesados, es ocasional y no incluye datos sensibles ni datos sobre condenas penales. La mayoría de las organizaciones tratan datos de empleados o clientes de forma continua, por lo que la excepción raramente se aplica.
¿Cuál es la diferencia entre un registro y una EIPD?
Un registro es un inventario de todas las actividades de tratamiento, exigido por el artículo 30. Una EIPD es una evaluación de riesgos más profunda, requerida solo para tratamientos de alto riesgo conforme al artículo 35. El registro cubre todo; una EIPD se centra en actividades específicas que cumplen los criterios de alto riesgo.
¿Quién puede solicitar ver el registro?
La autoridad de control de su jurisdicción puede solicitar el registro en cualquier momento. La publicación no es obligatoria, pero debe ponerlo a disposición de la autoridad cuando lo solicite.
¿Debe el registro incluir a todos los interesados?
Sí. El registro del responsable debe enumerar las categorías de interesados para cada actividad de tratamiento. Esto incluye empleados, clientes, visitantes del sitio web, suscriptores al boletín y cualquier otro grupo cuyos datos personales se traten.
¿Con qué frecuencia debe actualizarse el registro?
Siempre que cambie una actividad de tratamiento: nuevas finalidades, nuevos tipos de datos, nuevos proveedores, nuevas transferencias o el fin de una actividad. Como mínimo, revise todo el registro al menos una vez al año.
Lecturas adicionales
Gestor de consentimiento de UniConsent para el cumplimiento del RGPD
- Escaneo y divulgación de cookies
- Bloqueo de etiquetas JavaScript y de cookies
- Compatibilidad con Google Consent Mode v2
- CMP certificada por IAB
- Implementación con una sola etiqueta
- Compatibilidad con múltiples idiomas
- Solución de autoservicio sencilla
- Más información en Guía de cumplimiento del RGPD
Cumple con las normativas de privacidad globales
Comienza a hacer que tu sitio web y tu aplicación cumplan con el RGPD de la UE, la CPRA de EE. UU., la PIPEDA de Canadá, etc.
RegístrateAdelántese en privacidad y consentimiento
Leyes de privacidad, consentimiento y cumplimiento, unos pocos correos al mes.