El artículo 30 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 (RGPD) establece la obligación de los responsables de tratamiento y encargados de tratamiento de datos de la creación y mantenimiento de un Registro de las Actividades de Tratamiento efectuadas bajo su responsabilidad.

El RGPD entiende por tratamiento cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.

La finalidad de este registro se basa en el principio de responsabilidad proactiva, uno de los principios fundamentales del RGPD. En términos prácticos, requiere que las organizaciones analicen qué datos personales tratan, con qué finalidades lo hacen y qué tipo de operaciones de tratamiento llevan a cabo, siendo una herramienta que permite tener una perspectiva general de todas las actividades de tratamiento de datos que la organización está llevando a cabo.

La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales exige que las autoridades y organismos públicos hagan público un inventario de sus actividades de tratamiento accesible por medios electrónicos en el que constará la información establecida en el artículo 30 del RGPD.

La información que se recoge es la siguiente:

Acceso al RAT