Normativa y datos
ROPA (registro de actividades de tratamiento)
El ROPA, o registro de actividades de tratamiento, es el documento que el art. 30 del RGPD exige al responsable y al encargado: qué datos se tratan, para qué, de quién, a quién se comunican, si salen fuera de la UE, cuándo se suprimen y con qué medidas de seguridad. Se entrega a la autoridad de control que lo pida.
También se le llamaRAT · registro de actividades de tratamiento · record of processing activities
Qué tiene que contener
Es el documento que pide la AEPD en cuanto hay una reclamación, y el que ordena lo demás: cada proveedor que aparece como destinatario necesita su DPA, y cada plazo de supresión es el que se aplica cuando alguien ejerce los derechos que le da el RGPD. Un ejemplo publicado es el ROPA de Bedel. Su contenido lo fija el art. 30.1, por escrito o en formato electrónico (art. 30.3):
- el nombre y los datos de contacto del responsable y, si lo hay, del delegado de protección de datos;
- los fines de cada tratamiento;
- las categorías de interesados y de datos: residentes, familias, personal; identificativos, de salud, de accesos;
- las categorías de destinatarios, también los de terceros países;
- las transferencias internacionales y, en su caso, sus garantías;
- cuando sea posible, los plazos de supresión y una descripción general de las medidas de seguridad.
Ojo con esto
La excepción de las doscientas cincuenta personas no suele servir a un centro. El art. 30.5 libera del registro a quien emplea a menos de 250 personas, salvo que el tratamiento entrañe un riesgo, no sea ocasional o incluya categorías especiales. Una residencia trata datos de sus residentes todos los días, y si tiene comedor trata alergias, que son datos de salud. El encargado lleva además el suyo, con lo que trata por cuenta de cada responsable (art. 30.2), y el art. 31 de la LOPDGDD lo confirma en España.
Fuentes
Términos relacionados
- RGPDEl RGPD es el Reglamento (UE) 2016/679, la norma de la Unión que regula el tratamiento de datos personales. Se aplica directamente desde el 25 de mayo de 2018 y en España lo completa la LOPDGDD. Obliga igual a un colegio mayor, a una residencia privada y a un coliving.
- DPA (contrato de encargo del tratamiento)Un DPA (data processing agreement) es el contrato que el art. 28.3 del RGPD exige entre el responsable del tratamiento y cada encargado: fija el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos y de interesados, y las obligaciones y derechos de cada parte.