¿Mantiene la empresa un registro de las actividades de tratamiento?

Registro de actividades de tratamiento: frecuentemente preguntado, respaldado de forma variable

Si la empresa mantiene un registro de actividades de tratamiento es diferente según cada empresa y depende de la situación real en el expediente de cadena: a veces ya está establecido como respuesta de un cuestionario anterior, a veces todavía falta el documento justificativo. Esta es una pregunta que aparece regularmente en cuestionarios sobre privacidad y protección de datos, normalmente en el mismo bloque que las preguntas sobre acuerdos de tratamiento de datos y brechas de seguridad. El cliente que hace esta pregunta normalmente quiere saber si existe un documento — no lo completo que sea.

Si la respuesta es "sí", debe ir acompañada de un documento justificativo concreto: el registro en sí, o un extracto del mismo con los tratamientos relevantes para la relación con ese cliente. Si falta ese documento, entonces "no" o "desconocido" es la respuesta honesta — afirmar que existe un registro sin que el sistema encuentre uno, genera más preguntas en una auditoría del cliente que un no. Esta pregunta suele estar en la misma categoría que la pregunta si la empresa celebra acuerdos de tratamiento de datos con sus proveedores de servicios, y las dos respuestas deben ser internamente consistentes: un registro sin acuerdos de tratamiento de datos, o al revés, llama la atención de quien revisa la lista.

Por qué esta pregunta no se deriva sustancialmente de la CSRD

La fuente proporcionada en este expediente es la Directiva (UE) 2022/2464 (CSRD), que trata sobre notificación de sostenibilidad y no sobre un registro de actividades de tratamiento — ese concepto procede del RGPD, no de la CSRD. Por lo tanto, no hay artículo alguno de esta directiva que sirva de fundamento para esta pregunta; la respuesta debe proceder del expediente de cadena de la empresa en sí, no de esta fuente. Quien recibe esta pregunta junto con otras preguntas sobre privacidad, a menudo reconoce el mismo origen que en la pregunta sobre la denominación social de la empresa: un bloque fijo de datos básicos que casi todos los portales de clientes solicitan, independientemente de si la normativa subyacente realmente lo exige para esta empresa.