El Registro de Actividades de Tratamiento (RAT) en Andorra
El RAT es el documento central de la responsabilidad proactiva. La Llei 29/2021 obliga a determinadas empresas y organismos en Andorra a mantenerlo actualizado y a ponerlo a disposición de la APDA cuando esta lo solicite. Sin RAT, no hay cumplimiento demostrable. Consulta también los modelos oficiales de la APDA para el RAT.
¿Quién está obligado a tener un RAT en Andorra?
- Administraciones públicas y organismos parapúblicos.
- Empresas con más de 50 trabajadores.
- Empresas que realicen tratamientos habituales de datos sensibles (salud, ideología, origen étnico, datos biométricos, etc.).
- Empresas que traten datos de condenas o infracciones penales.
- Empresas cuyo tratamiento pueda suponer un alto riesgo para los derechos y libertades de las personas.
Recomendación para todas las empresas
Aunque tu empresa no supere los 50 trabajadores ni trate datos sensibles, elaborar un RAT es una buena práctica que facilita la gestión interna y demuestra responsabilidad proactiva frente a clientes y socios.
¿Qué debe incluir el RAT?
Datos del responsable
Nombre, dirección y datos de contacto del responsable del tratamiento y, en su caso, del Delegado de Protección de Datos (DPD).
Finalidades del tratamiento
Descripción clara de para qué se tratan los datos en cada actividad (gestión de clientes, nóminas, videovigilancia, marketing, etc.).
Categorías de datos y destinatarios
Tipos de datos tratados (identificativos, financieros, de salud, etc.) y a qué destinatarios o categorías de destinatarios se comunican.
Plazos de conservación
Período durante el que se conservarán los datos o, si no es posible determinarlo, los criterios utilizados para fijarlo.
Medidas de seguridad
Descripción general de las medidas técnicas y organizativas aplicadas para garantizar la seguridad de los datos.
¿Con qué frecuencia debe actualizarse el RAT?
El RAT debe mantenerse permanentemente actualizado. Cada vez que se inicie una nueva actividad de tratamiento, se modifique una existente o se cese alguna, hay que reflejarlo en el registro. No es un documento «de una vez», sino un instrumento vivo. En el caso de la videovigilancia, por ejemplo, debe constar como una actividad específica del RAT.
Consecuencias de no tener RAT
La ausencia de RAT o su mantenimiento deficiente puede considerarse una infracción de la Llei 29/2021, especialmente en caso de una inspección de la APDA o ante una brecha de seguridad.
En Privand facilitamos toda la información oficial sobre la normativa andorrana y auditamos páginas web de forma gratuita. Si necesitas ayuda para elaborar o actualizar tu Registro de Actividades de Tratamiento (RAT), contáctanos y te asesoramos sin compromiso.