Registro de actividades de tratamiento en Notion: qué columnas pide el art. 30
29 de octubre de 2026 · Fuentes comprobadas el 29 de octubre de 2026.
El Reglamento general de protección de datos (RGPD, Reglamento (UE) 2016/679) se aplica desde el 25 de mayo de 2018 (art. 99.2) y su art. 30 pide llevar un registro de las actividades de tratamiento. Dice qué datos lleva, no en qué formato: el apartado 3 solo exige que conste por escrito, «inclusive en formato electrónico». Una base de datos de Notion con una fila por actividad y una columna por dato es una forma de ordenarlo. Este artículo resume lo que dice el texto oficial y propone esas columnas; no interpreta y no constituye asesoramiento jurídico.
Quién lo lleva
- **El responsable del tratamiento** (quien decide para qué y cómo se tratan los datos) lleva un registro de las actividades de tratamiento efectuadas bajo su responsabilidad (apartado 1).
- **El encargado del tratamiento** (quien trata datos por cuenta de otro, como una gestoría con las nóminas de sus clientes) lleva un registro de todas las categorías de actividades de tratamiento que hace por cuenta de cada responsable (apartado 2).
- Los dos ponen el registro a disposición de la autoridad de control que lo solicite (apartado 4). En España, la Ley Orgánica 3/2018 de protección de datos (LOPDGDD) añade en su art. 31.1 que el registro puede organizarse «en torno a conjuntos estructurados de datos», que debe especificar las actividades según sus finalidades y que, si hay delegado de protección de datos, se le comunica cualquier adición, modificación o exclusión.
Las columnas del registro del responsable (art. 30.1)
Una fila es una actividad de tratamiento («Nóminas», «Clientes», «Selección de personal», «Videovigilancia»). Las letras son las del apartado 1; el nombre de la columna y el tipo de propiedad de Notion son una propuesta, no lo dice el RGPD.
| Letra | Qué pide el art. 30.1 | Columna | Tipo en Notion |
|---|---|---|---|
| — | (cada actividad de tratamiento) | Actividad de tratamiento | Título |
| a) | El nombre y los datos de contacto del responsable y, en su caso, del corresponsable, del representante del responsable y del delegado de protección de datos | Responsable y contactos | Relación con una base «Organización» de una sola fila (son los mismos en casi todas las actividades); «Corresponsable», texto, en las que lo tengan |
| b) | Los fines del tratamiento | Fines | Texto |
| c) | Una descripción de las categorías de interesados | Categorías de interesados | Selección múltiple (empleados, clientes, candidatos…) |
| c) | Una descripción de las categorías de datos personales | Categorías de datos | Selección múltiple (identificativos, económicos…) |
| d) | Las categorías de destinatarios a quienes se comunicaron o comunicarán los datos, incluidos los de terceros países u organizaciones internacionales | Destinatarios | Selección múltiple (Agencia Tributaria, entidad bancaria, gestoría…) |
| e) | En su caso, las transferencias a un tercer país o una organización internacional, con su identificación y, en las del art. 49.1, párrafo segundo, la documentación de garantías adecuadas | Transferencias internacionales | Casilla, más un texto con el país u organización y la documentación |
| f) | Cuando sea posible, los plazos previstos para la supresión de las diferentes categorías de datos | Plazos de supresión | Texto |
| g) | Cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad del art. 32.1 | Medidas de seguridad | Relación con una base «Medidas» (cifrado, copias, control de acceso…), para no escribirlas en cada fila |
Dos detalles del texto: la letra c) pide **dos** descripciones (de interesados y de datos), por eso son dos columnas; y las letras f) y g) dicen «cuando sea posible», mientras que las demás no llevan esa salvedad.
Columnas que el art. 30 no pide y que ayudan a mantenerlo: la fecha de la última revisión de cada fila y quién se ocupa de ella dentro de la empresa. La base jurídica del tratamiento (art. 6 del RGPD) tampoco está en el art. 30.1; la LOPDGDD sí la pide en el inventario público que deben publicar las entidades de su art. 77.1 (art. 31.2), que son del sector público.
Las columnas del registro del encargado (art. 30.2)
Si la empresa trata datos por cuenta de clientes, ese registro es otro, con menos datos. Una fila es una categoría de tratamiento que hace para un responsable:
| Letra | Qué pide el art. 30.2 | Columna | Tipo en Notion |
|---|---|---|---|
| a) | El nombre y los datos de contacto del encargado o encargados y de cada responsable por cuenta del cual actúe, y, en su caso, del representante del responsable o del encargado y del delegado de protección de datos | Responsable (cliente) | Relación con una base «Clientes»; los datos del encargado, en la base «Organización» |
| b) | Las categorías de tratamientos efectuados por cuenta de cada responsable | Categoría de tratamiento | Título |
| c) | En su caso, las transferencias a un tercer país u organización internacional, con su identificación y, en las del art. 49.1, párrafo segundo, la documentación de garantías adecuadas | Transferencias internacionales | Casilla, más texto |
| d) | Cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad | Medidas de seguridad | Relación con la base «Medidas» |
Cuándo no hay que llevarlo: el apartado 5
El art. 30.5 dice que las obligaciones de los apartados 1 y 2 «no se aplicarán a ninguna empresa ni organización que emplee a menos de 250 personas, a menos que el tratamiento que realice pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional, o incluya categorías especiales de datos personales indicadas en el artículo 9, apartado 1, o datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10».
Son tres supuestos unidos por «o». El Grupo de Trabajo del Artículo 29 (el órgano consultivo europeo independiente que creó la Directiva 95/46/CE, anterior al RGPD) lo explicó en un documento de posición sobre el art. 30.5: basta con que se dé uno de los tres para que haya que llevar el registro; solo hay que registrar los tratamientos que entran en alguno de ellos; y pone como ejemplo que una organización pequeña trata con regularidad los datos de sus empleados, por lo que ese tratamiento no puede considerarse «ocasional». Para el Grupo, un tratamiento solo es ocasional si no se hace con regularidad y queda fuera del curso normal de la actividad.
En la base de Notion, una casilla «Entra en el art. 30.5» o una selección con el supuesto («no ocasional», «riesgo», «categorías especiales o penales») deja anotado por qué cada actividad está en el registro.
La herramienta gratuita de la AEPD
La Agencia Española de Protección de Datos ofrece Facilita RGPD, gratuita, para empresas que tratan datos de escaso riesgo (clientes, proveedores, recursos humanos). Entre los documentos que genera está el registro de actividades de tratamiento; no sirve para tratamientos de alto riesgo, como los datos de salud o los tratamientos masivos, y la AEPD advierte que obtener los documentos no supone el cumplimiento automático de las obligaciones. Qué hace y para quién, en su página: https://www.aepd.es/guias-y-herramientas/herramientas/facilita-rgpd
Una base de Notion no sustituye a esa herramienta: es otra forma de llevar los mismos datos, útil si la empresa ya trabaja en Notion y quiere relacionar el registro con sus proveedores, sus medidas o sus sistemas.
Si la empresa usa IA
Un sistema de IA que trata datos personales (un filtro de currículums, un chat con clientes identificados) es una actividad más del registro. La plantilla Inventario de IA de Reglario lleva el inventario que pide el Reglamento europeo de IA y marca en cada sistema «Trata datos personales» y «Trata categorías especiales de datos», para cruzarlo con este registro: Inventario de IA. No es el registro del art. 30.
Reglario estudia una plantilla de Notion para el registro de actividades de tratamiento, con estas columnas y el texto del art. 30 enlazado en cada una. No tiene fecha. Si te interesa, apúntate a los avisos por correo al final de esta página: te escribiremos si sale.
Fuentes (abiertas el 29 de octubre de 2026)
- Reglamento (UE) 2016/679 (RGPD), de 27 de abril de 2016 (DOUE L 119 de 4 de mayo de 2016), la versión que da EUR-Lex: https://eur-lex.europa.eu/legal-content/ES/TXT/HTML/?uri=CELEX:32016R0679 — arts. 30, 32 y 99.
- Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, texto consolidado del BOE (última actualización publicada el 27 de diciembre de 2025): https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673 — art. 31.
- Grupo de Trabajo del Artículo 29, documento de posición sobre las excepciones a la obligación de llevar el registro de actividades de tratamiento del art. 30.5 del RGPD (en inglés): https://ec.europa.eu/newsroom/article29/items/624045
- Agencia Española de Protección de Datos, Facilita RGPD: https://www.aepd.es/guias-y-herramientas/herramientas/facilita-rgpd
Herramienta de organización documental basada en textos oficiales; no constituye asesoramiento jurídico.