No puedes proteger datos que no sabes que tienes. El registro de tratamiento obliga a las áreas de la organización a declarar qué datos personales gestionan, con qué fin y bajo qué base legal. Sin este inventario, el cumplimiento es imposible.
El registro interno es más detallado que el catálogo público (Art. 14 ter): incluye los sistemas donde viven los datos, quién tiene acceso, los encargados del tratamiento y los riesgos detectados. Es el instrumento de auditoría interna que demuestra que la organización tiene control real sobre sus datos personales.
En caso de investigación del CPLT o la Agencia de Protección de Datos, el registro es la primera evidencia de diligencia que presentará tu empresa.
Los campos marcados como obligatorios son los requeridos para elaborar el catálogo público y la política de datos. Los campos adicionales son necesarios para la gestión interna y la auditoría.
Decide qué áreas y sistemas abarca el levantamiento: RRHH, clientes, proveedores, marketing, soporte. Incluye todos los flujos donde circulan datos personales, no solo las bases de datos formales.
Cada área responsable de un tratamiento completa una ficha por tipo de dato. El área de RRHH documenta los datos de empleados, el área comercial los de clientes, TI los de acceso a sistemas, etc.
El encargado de privacidad revisa las fichas para detectar inconsistencias, falta de base legal, datos sensibles sin declarar o tratamientos sin responsable claro.
Marca los tratamientos sin base de licitud, sin contrato de encargo, con transferencias internacionales sin garantías, o con períodos de conservación indefinidos. Estas son las brechas que debes resolver.
El registro no es un proyecto único: debe actualizarse ante cambios en los sistemas, nuevos proveedores, nuevas finalidades o cambios en la estructura organizacional. Revísalo al menos anualmente.
Un inventario interno que documenta todos los tratamientos de datos que realiza la organización: qué datos, de quién, para qué, bajo qué base legal, quién accede y dónde se almacenan. Es la base para construir el catálogo público y la política de datos exigidos por la Ley 21.719.
El registro interno no se publica, pero es el insumo del catálogo de datos personales (Art. 14 ter) que sí debe estar disponible públicamente. En caso de investigación del CPLT, el registro es la primera evidencia de diligencia que presentará tu empresa.
La ley no exige formato específico. Puede ser una planilla Excel, Notion, herramienta de gestión de privacidad o cualquier sistema que permita mantenerlo actualizado. Lo importante es que esté disponible para auditoría y se revise ante cambios significativos.
El registro interno es más detallado: incluye sistemas, accesos internos, responsables y riesgos. El catálogo público (Art. 14 ter) es la versión simplificada para los titulares: categorías de datos, finalidades, base de licitud, destinatarios y período de conservación.
Te ayudamos a construirlo desde cero o a validar el que tienes frente a los requisitos de la Ley 21.719.