Un RAT que señala dónde la base jurídica es más estrecha, no solo qué tratas

Qué exige el Artículo 30

El Artículo 30 exige a un responsable mantener un registro de sus actividades de tratamiento: los fines, las categorías de interesados y de datos personales, los destinatarios, las transferencias internacionales, los plazos de conservación previstos y una descripción general de las medidas de seguridad (Art. 30(1)). Un encargado mantiene su propio registro del tratamiento que realiza por cuenta de un responsable (Art. 30(2)).

Un RAT que es solo un inventario responde a '¿qué tratamos?'. La pregunta que importa para el cumplimiento es más estrecha: cuáles de estas actividades se sitúan bajo un régimen especial en el que la base jurídica no es el menú ordinario del Artículo 6.

• Fines, categorías de interesados y de datos (Art. 30(1)(a)–(c))
• Destinatarios y transferencias internacionales (Art. 30(1)(d)–(e))
• Plazos de conservación y medidas de seguridad (Art. 30(1)(f)–(g))
• Registros del encargado del tratamiento dirigido por el responsable (Art. 30(2))

Donde la base jurídica es más estrecha — Artículos 9, 10 y 22

Los datos de categorías especiales del Artículo 9 — salud, biométricos, genéticos, origen racial o étnico, opiniones políticas, convicciones religiosas, vida sexual — están prohibidos salvo que se aplique una de las condiciones del Artículo 9(2). El consentimiento ordinario del Artículo 6 no basta; la condición tiene que venir del Artículo 9(2).

Los datos penales y de infracciones del Artículo 10 son aún más estrictos, y este es el punto que la mayoría de las herramientas se equivoca: el Artículo 10 no tiene ninguna vía de consentimiento. Solo pueden tratarse bajo el control de la autoridad pública, o cuando lo autorice el Derecho de la Unión o de un Estado miembro que ofrezca garantías adecuadas. Un RAT que ofrece 'consentimiento' como base para datos penales está registrando una base ilícita.

Y las decisiones automatizadas agravan ambos. Conforme al Artículo 22(4), una decisión basada únicamente en el tratamiento automatizado que produzca efectos jurídicos o similarmente significativos y utilice datos de categorías especiales solo puede basarse en el Artículo 9(2)(a) consentimiento explícito o en el Artículo 9(2)(g) interés público esencial — con garantías adecuadas. El conjunto de bases jurídicas se reduce a dos. La mayoría de las herramientas de RAT registra la actividad y se detiene; no revela que la base se ha estrechado.

• Art. 9 datos de categorías especiales — requiere una condición del Art. 9(2), no consentimiento ordinario
• Art. 10 datos penales — SIN vía de consentimiento; autoridad pública o ley habilitante con garantías
• Art. 22(4) decisión automatizada sobre datos de categorías especiales — solo 9(2)(a) consentimiento explícito o 9(2)(g) interés público esencial

Qué hace RINS.AI al respecto

Cuando una actividad de tratamiento en el RAT implica datos de categorías especiales, datos penales o una decisión únicamente automatizada, RINS.AI la señala — de modo que la base jurídica registrada se comprueba frente al régimen que realmente aplica, y no frente al menú ordinario del Artículo 6. Una actividad de datos penales registrada como 'consentimiento' se revela; una decisión automatizada sobre datos de salud se revela con la restricción de dos bases adjunta.

Los registros se vinculan a través de la plataforma: una entrada de RAT conecta con las EIPD, los proveedores y las evidencias relacionadas, de modo que el inventario de tratamiento sigue siendo un sistema de registro vivo y no una hoja de cálculo que envejece el día en que se archiva.

• Tratamiento del Art. 9 / 10 / 22 señalado en el RAT
• Base jurídica registrada comprobada frente al régimen aplicable
• Entradas de RAT vinculadas a EIPD, proveedores y evidencias

Qué no hace

RINS.AI señala dónde aplica un régimen especial y dónde la base registrada parece equivocada para él. No decide por ti la base jurídica correcta — si se cumple una condición de interés público esencial, o si una ley de un Estado miembro ofrece las garantías que exige el Artículo 10, es una determinación jurídica que hace el responsable o su DPO. Y mapea lo que está registrado: un RAT es tan completo como las actividades introducidas en él, y la plataforma no descubre tratamientos que ocurren en sistemas que no puede ver.