- Iñigo Ardanza
- 13 min de lectura
Puntos clave
- El RAT es obligatorio en casi toda clínica.
- La exención por tamaño no vale con datos de salud.
- Recoge fines, datos, destinatarios, plazos y medidas.
- No existe un modelo único: adáptalo a tu clínica.
- Revísalo cada vez que cambies de software o proveedor.
El registro de actividades de tratamiento, conocido como RAT, es el documento donde una clínica deja por escrito qué datos personales trata, para qué, durante cuánto tiempo y con qué medidas de seguridad. Si tratas datos de pacientes, casi con seguridad estás obligado a llevarlo, aunque tu clínica sea pequeña.
En esta guía te explicamos qué es, quién debe llevarlo, qué contenido exige el RGPD y cómo se ve en una clínica real, con un ejemplo y un modelo que puedes copiar.
¿Qué es el registro de actividades de tratamiento (RAT)?
Es un documento interno previsto en el artículo 30 del RGPD y en el artículo 31 de la LOPDGDD. Según la AEPD, ayuda al responsable a identificar y documentar sus tratamientos de datos personales, sustituyó a la antigua obligación de inscribir ficheros y debe estar a disposición de la autoridad de control si lo solicita.
No se presenta ni se registra en ningún organismo: lo conserva la propia clínica, por escrito (el RGPD admite el formato electrónico).
¿Tiene que llevarlo mi clínica aunque sea pequeña?
En casi todos los casos, sí. El RGPD exime de llevar el registro a las organizaciones de menos de 250 empleados, pero esa exención no se aplica cuando el tratamiento no es ocasional o incluye categorías especiales de datos, como los datos de salud (artículo 30.5). Como una clínica trata datos de salud desde el primer paciente, la exención no le sirve, tampoco a un profesional autónomo.
La obligación recae en el responsable del tratamiento (o en el encargado, cuando proceda). No recae en el delegado de protección de datos, aunque se le puede encomendar su mantenimiento.
¿Qué debe contener el registro?
El artículo 30.1 del RGPD establece el contenido mínimo para el responsable del tratamiento:
- Nombre y datos de contacto del responsable y, en su caso, del delegado de protección de datos.
- Los fines del tratamiento.
- La descripción de las categorías de interesados y de datos personales.
- Las categorías de destinatarios a quienes se comunican los datos.
- Las transferencias a terceros países u organizaciones internacionales, si las hay.
- Los plazos previstos para la supresión de los datos, cuando sea posible.
- Una descripción general de las medidas técnicas y organizativas de seguridad, cuando sea posible.
La AEPD recuerda que no existe un modelo único de RAT: su contenido debe ajustarse al tratamiento concreto. En su web publica modelos y formularios y la herramienta FACILITA_RGPD, orientada a tratamientos de escaso riesgo.
Ejemplo de registro para una clínica
Esta tabla muestra cómo podrían describirse las actividades habituales de una clínica. Es un ejemplo orientativo: adáptalo a tu caso, a tus proveedores y a la normativa de tu comunidad autónoma.
| Actividad | Finalidad | Interesados y datos | Base jurídica | Destinatarios | Plazo de conservación |
|---|---|---|---|---|---|
| Historias clínicas | Prestar asistencia sanitaria y mantener la documentación clínica | Pacientes. Identificación, contacto y datos de salud (diagnósticos, tratamientos, pruebas) | Artículo 9.2.h del RGPD (asistencia sanitaria) y Ley 41/2002 | Profesionales de la clínica; autoridades sanitarias o judiciales cuando proceda | Mínimo cinco años desde el alta de cada proceso asistencial (art. 17 Ley 41/2002) o el plazo de tu comunidad |
| Agenda y recordatorios | Gestionar las citas y avisar al paciente | Pacientes. Identificación, contacto y fecha y hora de la cita | Ejecución de la relación asistencial (art. 6.1.b) | Proveedor del software o de mensajería, como encargado del tratamiento | Mientras dure la relación asistencial |
| Facturación y cobros | Emitir facturas y cumplir obligaciones fiscales | Pacientes y clientes. Identificación y datos de facturación | Ejecución del contrato y obligación legal (art. 6.1.b y 6.1.c) | Administración tributaria, entidad bancaria, gestoría | Los plazos de las obligaciones fiscales y mercantiles |
| Videoconsulta | Atender al paciente a distancia | Pacientes. Imagen, voz y datos de salud | Artículo 9.2.h del RGPD (asistencia sanitaria) | Proveedor de videoconsulta, como encargado del tratamiento | Las sesiones no se graban salvo que exista una finalidad y una base legal |
| Personal | Gestionar nóminas y obligaciones laborales | Empleados. Identificación, datos laborales y bancarios | Ejecución del contrato y obligación legal | Seguridad Social, Hacienda, gestoría laboral | Los plazos laborales y fiscales aplicables |
Además de cada fila, el registro debe incluir una descripción general de las medidas de seguridad (control de acceso por usuario, cifrado, copias de seguridad, registro de accesos) y los datos de contacto del responsable. Para las medidas, consulta nuestra guía de seguridad informática para médicos y la de copias de seguridad.
Modelo de registro para copiar
Si prefieres empezar desde cero, este modelo recoge los campos que exige el artículo 30.1 del RGPD. Rellena un bloque de «Actividad de tratamiento» por cada tratamiento de tu clínica y conserva el documento actualizado.
Modelo de registro de actividades de tratamiento
Formato adaptable · Un bloque por actividad de tratamiento
¿Cómo mantenerlo actualizado?
El registro no se hace una vez y se guarda: para que sirva tiene que reflejar lo que la clínica hace de verdad. Conviene revisarlo cuando cambies de software o de proveedor, cuando incorpores un tratamiento nuevo (por ejemplo, videoconsulta o recordatorios por mensajería), cuando cambien los plazos de conservación aplicables o cuando varíe el personal con acceso a los datos.
Errores frecuentes al elaborarlo
- Creer que una clínica pequeña está exenta. Con datos de salud, la exención por tamaño no se aplica.
- Copiar un modelo genérico sin adaptarlo. El registro debe describir los tratamientos reales de tu clínica.
- No revisarlo al cambiar de software o de proveedor. Los destinatarios y las medidas de seguridad cambian con ellos.
- Confundirlo con otros documentos. El registro enumera tratamientos; la evaluación de impacto analiza los riesgos de los tratamientos de alto riesgo, y el contrato de encargado regula la relación con cada proveedor.
Cómo ayuda un software de gestión clínica
Un software de gestión clínica puede ayudarte a tener localizados los datos que alimentan el registro: qué datos se tratan, quién accede a ellos, qué documentos se firman y cuánto tiempo se conservan. El registro y la responsabilidad de mantenerlo siguen siendo de la clínica. Según su página de protección de datos, Docfav ofrece ayuda para mantener actualizado el registro de actividades de tratamiento y para gestionar consentimientos y documentos de los pacientes.
Para ver el resto de obligaciones, consulta la guía de obligaciones del RGPD en una clínica privada, la de LOPD para clínicas y las opciones de software LOPD.
Preguntas frecuentes sobre el registro de actividades de tratamiento
¿Es obligatorio el RAT para un profesional autónomo?
Sí. La exención del artículo 30.5 del RGPD no se aplica cuando se tratan datos de salud, por lo que el registro también obliga a un psicólogo, fisioterapeuta u odontólogo autónomo.
¿Hay que presentar el registro ante la AEPD?
No. Es un documento interno que no se presenta ni se registra en ningún organismo, pero debe estar a disposición de la AEPD si lo solicita.
¿Quién debe elaborarlo?
El responsable del tratamiento (o el encargado, cuando proceda). Se puede encomendar su mantenimiento al delegado de protección de datos, pero la obligación no recae en él.
¿En qué formato debe estar el registro?
Debe constar por escrito, y el RGPD admite expresamente el formato electrónico.
¿Con qué frecuencia hay que actualizarlo?
No hay una periodicidad fija: debe reflejar los tratamientos reales de la clínica, por lo que conviene revisarlo cada vez que cambien, por ejemplo al incorporar un software o un proveedor nuevo.
¿Es lo mismo que la evaluación de impacto?
No. El registro enumera y describe los tratamientos; la evaluación de impacto analiza los riesgos de los tratamientos que suponen un alto riesgo para los derechos y libertades de las personas.
¿Tengo que describir las medidas de seguridad?
El artículo 30.1 del RGPD pide una descripción general de las medidas técnicas y organizativas de seguridad, cuando sea posible.
¿Qué pasa si no tengo el registro?
Es una obligación del RGPD (artículo 30) y su incumplimiento puede sancionarse: el artículo 83.4 prevé multas de hasta 10 millones de euros o el 2 % de la facturación anual mundial para las obligaciones del responsable.
¿Cómo te ayuda Docfav con la protección de datos?
Docfav es un software de gestión clínica que te ayuda con la parte documental de la protección de datos: según su página de protección de datos, permite crear documentos personalizados, recoger la firma digital de los pacientes y guardar cada documento en su ficha. No sustituye al registro de actividades ni al asesoramiento especializado, pero facilita tener los datos de tu clínica ordenados.
