TL;DR
El art. 30.5 exime a las organizaciones con menos de 250 empleados, salvo que el tratamiento entrañe un riesgo, O no sea ocasional, O incluya categorías especiales o datos sobre condenas e infracciones penales. Las tres condiciones son alternativas. La nómina no es ocasional y contiene datos de salud: se dan dos a la vez.
El error está en la palabra «o»
El art. 30.5 exime de la obligación de registro a las organizaciones que empleen a menos de 250 personas «a menos que el tratamiento que realice pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional, o incluya categorías especiales de datos indicadas en el artículo 9, apartado 1, o datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10». Tres condiciones unidas por «o». El Grupo del Art. 29 lo aclaró expresamente en su posición de 19 de abril de 2018: son alternativas y basta una sola para que la exención decaiga.
«No ocasional» cierra la discusión casi siempre
Es ocasional el tratamiento que no se realiza con regularidad, no forma parte de la actividad ordinaria y carece de estabilidad. Las nóminas se elaboran cada mes. La gestión de clientes no se interrumpe. Las candidaturas llegan todo el año. Ninguno es ocasional, y la exención ya ha caído al margen del número de empleados. Si además hay partes de baja, se suma la excepción de categorías especiales del art. 9.1.
- La exención nunca es total: alcanzaría como mucho a los tratamientos que no cumplen ninguna de las tres condiciones. Para los demás el registro sigue siendo debido, de modo que una empresa lleva o uno parcial o uno completo.
- El art. 30.1 enumera el contenido mínimo: nombre y datos de contacto, fines, categorías de interesados y de datos, categorías de destinatarios, transferencias a terceros países con sus garantías, plazos de supresión y descripción general de las medidas del art. 32.1.
- El encargado lleva también su propio registro (art. 30.2), con contenido distinto: allí figuran los responsables por cuenta de los cuales actúa, no los fines.
- Art. 30.4: el registro se pone a disposición de la autoridad cuando lo solicite. En la práctica es el primer documento que se pide.
Lo que una plantilla no hace
Una plantilla da las columnas, no el contenido. Los dos campos en los que los registros fallan de forma sistemática no se copian: el plazo de conservación, que cambia según la categoría de dato y el ordenamiento, y las medidas del art. 32, que deben corresponderse con la técnica realmente empleada. Un registro que pone «plazos legales» en todas partes no responde a la pregunta: la esquiva.
El consejo práctico para el asesor: no abrir siquiera la discusión de los 250. Cuesta media hora y siempre acaba igual. Es más útil preguntar qué tratamientos existen y cuánto tiempo permanecen los datos, porque ahí es donde falta la respuesta y es exactamente lo que pregunta la autoridad.
¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
