Estás obligado a llevar un registro de los trabajos de tratamiento de datos personales de clientes o usuarios que realizas y de las que eres responsable.
El Reglamento europeo te exige como responsable del fichero o del tratamiento que lleves un registro de las actividades que realizas para llevar a cabo el tratamiento de los datos personales de tus clientes y usuarios.
Están obligados, tanto, los responsables como los encargados del tratamiento de los datos personales. Esta obligación sustituirá a la registrar los ficheros de datos en la AEPD (Agencia española de protección de Datos).
Los responsables del fichero o del tratamiento, o sus representantes, llevarán un registro con la siguiente información:
el nombre y los datos de contacto del responsable y, del corresponsable, del representante del responsable y del delegado de protección de datos
los fines del tratamiento
una descripción de las categorías de interesados y de las categorías de datos personales
las categorías de destinatarios a quienes se comunicaron o se comunicarán los datos personales, incluidos los destinatarios en terceros países u organizaciones internacionales
las transferencias de datos personales a un tercer país o una organización internacional, incluida la identificación de dicho tercer país u organización internacional
los plazos previstos para la supresión o eliminación de categorías de datos, si fuera posible
una descripción general de las medidas técnicas y organizativas de seguridad, si fuera posible
Los encargados del tratamiento o sus representantes, llevarán un registro de todas las categorías de actividades de tratamiento que se hayan realizado por cuenta del responsable. La información de este registro será:
el nombre y datos de contacto del encargado y de cada responsable, por cuenta del cual, trabaje el encargado, y los respectivos responsables. También los datos del delegado de protección de datos
las categorías de tratamientos efectuados por cuenta de cada responsable
las transferencias de datos personales a un tercer país u organización internacional, incluida la identificación de dicho tercer país u organización internacional
una descripción de las medidas técnicas y organizativas de seguridad
Ahora bien, si tu empresa tiene menos de 250 trabajadores, no será obligatoria la llevanza de estos registros, salvo que el tratamiento que se dé a los datos personales de clientes o usuarios pueda suponer un riesgo en los derechos y libertades de clientes o usuarios, es decir, se trate de datos especiales o sensibles (raza,opinión política, religión, afiliación política o sindical, datos de salud, vida sexual, condenas o infracciones penales).
Este tipo de registro y su información deberán constar por escrito, aunque se podrá usar un formato informático.
Tanto el responsable del fichero o del tratamiento, como el encargado del mismo, o sus representantes, están obligados a dar acceso a esta información cuando la Agencia de Protección de Datos u otro órganos de control autonómico, se lo solicite.