Herramienta gratuita · Cumplimiento
Generador de Registro de Actividades de Tratamiento
Tu RAT del artículo 30 del RGPD pre-rellenado por actividad, editable e imprimible, sin registro. Responde siete preguntas y obtén una ficha por cada tratamiento —nóminas, clientes, videovigilancia, marketing…— con los campos oficiales cumplimentados con valores típicos, lista para revisar y adaptar. Nada de lo que escribas sale de tu navegador: no hay servidor, no hay cuenta, no hay email.
Respuesta rápida
Qué es el RAT y quién está obligado, en dos minutos.
El Registro de Actividades de Tratamiento (RAT) es el documento interno con el que el artículo 30 del RGPD te obliga a «reflejar, identificar y documentar» los tratamientos de datos personales que realizas. Consta por escrito, incluido el formato electrónico (art. 30.3), no se envía a nadie, pero debe estar a disposición de la AEPD si lo solicita (art. 30.4). La AEPD recuerda que «no existe un modelo único de RAT»: su contenido se ajusta a cada tratamiento concreto.
¿Y con menos de 250 empleados? El art. 30.5 exime a las organizaciones que empleen a menos de 250 personas… salvo que el tratamiento pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional o incluya categorías especiales de datos (art. 9) o datos de condenas penales (art. 10). Como los tratamientos habituales de cualquier pyme —nóminas, clientes, proveedores— son continuados y no ocasionales, la exención rara vez aplica de forma completa: en la práctica, casi toda empresa necesita RAT al menos para sus tratamientos habituales. El art. 31 de la LOPDGDD da por hecho ese deber.
| Letra | Responsable (art. 30.1) | Encargado (art. 30.2) |
|---|---|---|
| a | Nombre y contacto del responsable (y corresponsable, representante y DPD, en su caso) | Nombre y contacto del encargado, de cada responsable por cuya cuenta actúa, representantes y DPD |
| b | Fines del tratamiento | Categorías de tratamientos efectuados por cuenta de cada responsable |
| c | Categorías de interesados y de datos personales | Transferencias a terceros países u organizaciones internacionales y sus garantías |
| d | Categorías de destinatarios, incluidos los de terceros países | Descripción general de las medidas de seguridad (art. 32.1)* |
| e | Transferencias internacionales y, en el caso del art. 49.1 párrafo 2.º, la documentación de garantías adecuadas | — |
| f | Plazos previstos para la supresión, cuando sea posible | — |
| g | Descripción general de las medidas técnicas y organizativas de seguridad del art. 32.1, cuando sea posible | — |
* Nota técnica: en la versión española del DOUE, el art. 30.2.d remite por errata al «artículo 30, apartado 1» [sic]; la referencia material —como confirma la versión inglesa («Article 32(1)»)— es el artículo 32.1 (medidas de seguridad). La corrección de errores del RGPD de 23.5.2018 no subsanó este punto.
La sanción: no disponer del RAT es infracción grave (art. 73.n LOPDGDD; no ponerlo a disposición de la autoridad, 73.ñ) y llevarlo incompleto, leve (art. 74.l). El tope es el del art. 83.4.a RGPD: hasta 10 millones de euros o el 2 % del volumen de negocio total anual global, la cifra que sea mayor. Caso real verificado: en el procedimiento PS/00427/2020 la AEPD declaró la infracción de los arts. 30 RGPD y 31 LOPDGDD al Ayuntamiento de Gijón, que quedó en apercibimiento por el régimen de las Administraciones públicas (art. 77 LOPDGDD); a una empresa privada la misma infracción le puede costar multa. Las AAPP tienen además el deber de publicar un inventario de sus actividades de tratamiento, accesible por medios electrónicos y con su base legal (art. 31.2 LOPDGDD).
Fuentes oficiales: RGPD — Reglamento (UE) 2016/679, DOUE L 119 (texto oficial en español) · EUR-Lex CELEX 32016R0679 · LOPDGDD — Ley Orgánica 3/2018 (BOE, consolidado) · AEPD — Registro de actividades de tratamiento.
Última verificación: 24 de julio de 2026
Cómo funciona
Siete preguntas, ningún dato enviado.
Responde siete preguntas
Tu rol (responsable o encargado), sector, empleados, categorías especiales, actividades que realizas, transferencias fuera del EEE y encargados contratados. Todo queda en tu navegador.
Revisa tu RAT pre-rellenado
Una ficha por actividad con los campos del art. 30.1 (o 30.2 si eres encargado) cumplimentados con valores típicos verificados y la base jurídica del art. 6.1 que suele corresponder.
Edita cada celda
Haz clic en cualquier celda y adáptala a tu caso real. Completa la cabecera con tus datos de responsable y los puntos marcados como [completar].
Imprime y mantenlo vivo
Guarda tu RAT en PDF y actualízalo con cada tratamiento o proveedor nuevo: el art. 30.4 obliga a tenerlo a disposición de la AEPD. Tu avance se guarda en este navegador.
Cuéntame cómo trata datos tu organización
Tus respuestas y las ediciones de tu RAT se guardan automáticamente en este navegador. No se envía nada a ningún servidor.
Registro de actividades de tratamiento
Art. 30.1 RGPD · Responsable del tratamiento
| Responsable / razón social | [completar: nombre o razón social] |
|---|---|
| NIF | [completar: NIF] |
| Datos de contacto | [completar: dirección, email y teléfono] |
| Delegado de protección de datos (si existe) | No designado / [completar: contacto del DPD] |
Fecha de elaboración: · Elaborado con el generador gratuito de angelortegacastro.com · Art. 30 RGPD y art. 31 LOPDGDD
✎ Todas las celdas son editables: haz clic en cualquiera y adapta el texto a tu caso. Los puntos [completar] exigen tu dato concreto.
Documento orientativo, punto de partida: revísalo, adáptalo a tus tratamientos reales y mantenlo actualizado. El registro debe constar por escrito (art. 30.3 RGPD) y estar a disposición de la autoridad de control que lo solicite (art. 30.4). Si hay delegado de protección de datos, comunícale cualquier adición, modificación o exclusión (art. 31.1 LOPDGDD). No sustituye el asesoramiento jurídico profesional.
Orientativo, no es asesoramiento jurídico. En 30 minutos repasamos tus fichas, las bases jurídicas y los plazos de conservación de tu caso concreto.
El artículo 30, explicado
El registro que casi toda empresa debe llevar y casi nadie tiene al día
Última verificación de artículos, sanciones y criterios AEPD: 24 de julio de 2026 (fuentes oficiales al final).
Qué exige exactamente el artículo 30
El art. 30.1 del RGPD obliga a cada responsable a llevar un registro de las actividades de tratamiento efectuadas bajo su responsabilidad con siete contenidos: identificación y contacto del responsable (y corresponsable, representante y delegado de protección de datos, si existen), los fines del tratamiento, las categorías de interesados y de datos, las categorías de destinatarios —incluidos los de terceros países—, las transferencias internacionales con sus garantías, los plazos previstos de supresión y una descripción general de las medidas de seguridad del art. 32.1. El art. 30.2 impone al encargado un registro paralelo de las categorías de tratamientos que efectúa por cuenta de cada responsable. Una curiosidad técnica: en la versión española del DOUE, la letra d) del 30.2 remite por errata al «artículo 30, apartado 1»; la referencia material, como confirma la versión inglesa, es el artículo 32.1, y la corrección de errores de 2018 no subsanó ese punto.
La exención que casi nunca aplica
El art. 30.5 exime del registro a quien emplee a menos de 250 personas, pero con tres salvedades que lo vacían en la práctica: que el tratamiento pueda entrañar un riesgo para los derechos y libertades de los interesados, que no sea ocasional o que incluya categorías especiales (art. 9) o datos penales (art. 10). Nóminas, clientes y proveedores son tratamientos continuados —no ocasionales—, así que la exención rara vez cubre a una empresa real: la lectura honesta es que casi toda organización debe documentar al menos sus tratamientos habituales. El art. 31.1 de la LOPDGDD asume ese deber, permite organizar el registro «en torno a conjuntos estructurados de datos» y obliga a comunicar los cambios al delegado de protección de datos, si existe.
Cómo mantener el RAT vivo (y por qué importa)
El RAT no se presenta ante nadie: consta por escrito, incluso en formato electrónico (art. 30.3), y se pone a disposición de la autoridad de control que lo solicite (art. 30.4). Eso lo convierte en lo primero que la AEPD pide cuando investiga —por ejemplo, tras una brecha de seguridad—, y en la radiografía con la que contrasta el resto de tu cumplimiento. Actualízalo con cada alta o baja de tratamiento, proveedor o finalidad, y revísalo al menos cuando cambie algo relevante: un CRM nuevo, una campaña con datos nuevos, un encargado distinto. Si sufres un incidente, te será mucho más fácil decidir con nuestro simulador de notificación de brechas a la AEPD en 72 horas si ya sabes qué datos tratas y dónde. Y si quieres dimensionar el riesgo económico de incumplir, prueba la calculadora de sanciones RGPD: la falta de RAT es infracción grave del art. 73.n) LOPDGDD con el tope del art. 83.4 RGPD (hasta 10 millones de euros o el 2 % del volumen de negocio global).
Administraciones públicas: registro + inventario público
Para una AAPP el art. 30 se queda corto: el art. 31.2 de la LOPDGDD obliga a los sujetos del art. 77.1 (Administraciones, organismos públicos, universidades públicas…) a hacer público un inventario de sus actividades de tratamiento, accesible por medios electrónicos, con la información del art. 30 RGPD y su base legal; la disposición final undécima añadió además el art. 6 bis a la Ley 19/2013 de transparencia. El incumplimiento existe y se sanciona: la resolución PS/00427/2020 de la AEPD declaró la infracción de los arts. 30 RGPD y 31 LOPDGDD al Ayuntamiento de Gijón, resuelta con apercibimiento por el régimen sancionador especial de las AAPP (art. 77 LOPDGDD). Más recursos sobre seguridad y cumplimiento, en la guía del vertical de ciberseguridad y protección de datos.
Las herramientas oficiales de la AEPD
La AEPD publica ayudas gratuitas que conviene conocer: Facilita_RGPD, pensada para pymes con tratamientos de escaso riesgo (clientes, proveedores, RRHH), que genera entre otros documentos un registro de actividades básico —la propia Agencia advierte de que obtenerlos «no implica cumplimiento automático» y de que no vale para alto riesgo ni datos de salud—; la sección de modelos y formularios, con un modelo de RAT para responsables privados y un modelo de inventario para organismos públicos; y el cartel oficial de videovigilancia si tienes cámaras. Este generador sigue el mismo espíritu: darte un punto de partida sólido que después se revisa y se adapta.
Preguntas frecuentes
Lo que más se pregunta sobre el registro de actividades de tratamiento
¿Estoy obligado a tener un RAT con menos de 250 empleados? +
Casi con total seguridad, sí. El artículo 30.5 del RGPD exime a las organizaciones de menos de 250 empleados, pero la exención decae si el tratamiento puede entrañar un riesgo para los derechos y libertades de los interesados, no es ocasional o incluye categorías especiales de datos (art. 9) o datos de condenas penales (art. 10). Los tratamientos habituales de cualquier empresa —nóminas, clientes, proveedores— son continuados, no ocasionales, así que en la práctica casi toda empresa debe llevar un RAT al menos de esos tratamientos.
¿Existe un modelo oficial de RAT? +
No hay un modelo único obligatorio: la propia AEPD indica que el contenido debe ajustarse a cada tratamiento concreto. La AEPD publica modelos orientativos en su sección de modelos y formularios (incluido un modelo específico de inventario para organismos públicos) y la herramienta Facilita_RGPD, que genera un RAT básico para pymes con tratamientos de escaso riesgo. El resultado de este generador es también un punto de partida orientativo que debes revisar y adaptar.
¿El RAT es lo mismo que el antiguo registro de ficheros de la AEPD? +
No. La inscripción de ficheros en el registro de la AEPD desapareció con el RGPD: ya no se inscribe nada ante la Agencia. El RAT es un documento interno de la organización, por escrito (incluido formato electrónico, art. 30.3), que no se envía a nadie pero que debe estar a disposición de la autoridad de control si lo solicita (art. 30.4).
¿Cada cuánto hay que actualizar el RAT? +
El RAT es un documento vivo: debe reflejar los tratamientos reales en todo momento, así que hay que actualizarlo cada vez que incorporas una actividad, una finalidad, un destinatario o un proveedor nuevo, o cuando eliminas alguno. Además, el artículo 31.1 de la LOPDGDD obliga a comunicar al delegado de protección de datos, si existe, cualquier adición, modificación o exclusión en el registro.
¿Responsable y encargado llevan el mismo registro? +
No exactamente. El responsable lleva el registro del artículo 30.1, con los fines, categorías de interesados y datos, destinatarios, transferencias, plazos de supresión y medidas de seguridad. El encargado (una gestoría, un hosting) lleva el registro del artículo 30.2: sus datos y los de cada responsable por cuya cuenta actúa, las categorías de tratamientos que efectúa para cada uno, las transferencias internacionales y las medidas de seguridad. Una gestoría suele necesitar ambos: el 30.1 por sus propios tratamientos y el 30.2 por los de sus clientes.
¿Qué multa hay por no tener el RAT? +
No disponer del registro de actividades de tratamiento es infracción grave según el artículo 73.n) de la LOPDGDD (y no ponerlo a disposición de la autoridad, el 73.ñ); llevarlo incompleto es infracción leve (art. 74.l). El tope sancionador es el del artículo 83.4 del RGPD: hasta 10 millones de euros o el 2 % del volumen de negocio total anual global, la cifra que sea mayor. Hay casos reales: en el procedimiento PS/00427/2020 la AEPD declaró la infracción de los artículos 30 RGPD y 31 LOPDGDD al Ayuntamiento de Gijón, que quedó en apercibimiento por ser Administración pública; a una empresa privada la misma infracción le puede costar multa.
¿Sirve este RAT para el inventario público de una Administración pública? +
Como punto de partida, sí, pero una AAPP tiene una obligación adicional: el artículo 31.2 de la LOPDGDD exige a las entidades del artículo 77.1 (Administraciones públicas, organismos públicos, universidades públicas...) hacer público un inventario de sus actividades de tratamiento accesible por medios electrónicos, con la información del artículo 30 RGPD y su base legal. La AEPD publica un modelo específico de inventario para organismos públicos en formato editable.
¿Y ahora qué?
¿Convertimos este borrador en tu RAT de verdad?
Agenda una sesión gratuita de 30 minutos y repasamos juntos tus fichas: si las bases jurídicas son las correctas, qué plazos de conservación te aplican de verdad y qué tratamientos se te están escapando (los que la AEPD mira primero).