¿Quién debe llevar un registro?
En Suiza, los responsables y los encargados del tratamiento llevan cada uno un registro de sus actividades de tratamiento (art. 12 apdo. 1 LPD). Según el art. 24 OPD, están exentas las empresas que el 1 de enero de un año empleen a menos de 250 personas, así como las personas físicas, salvo que traten a gran escala datos personales sensibles o realicen elaboración de perfiles de alto riesgo.
En la UE rige el art. 30 RGPD. La excepción para empresas con menos de 250 empleados (art. 30 apdo. 5 RGPD) es estrecha: no se aplica si el tratamiento entraña un riesgo, no es ocasional o afecta a categorías especiales de datos. Quien trata con regularidad datos de clientes o de personal está, por tanto, obligado por regla general. La UE quiere ampliar esta excepción; la modificación correspondiente está en tramitación legislativa, pero aún no ha entrado en vigor (situación: octubre de 2026).
¿Qué debe contener el registro?
La LPD suiza y el RGPD exigen casi los mismos datos:
| Dato | LPD (art. 12 apdo. 2) | RGPD (art. 30 apdo. 1) |
|---|---|---|
| Identidad del responsable | sí | sí, con datos de contacto y delegado de protección de datos |
| Finalidad del tratamiento | sí | sí |
| Categorías de personas interesadas y de datos personales | sí | sí |
| Categorías de destinatarios | sí | sí |
| Plazo de conservación o criterios para determinarlo | si es posible | si es posible |
| Descripción de las medidas de seguridad | si es posible | si es posible |
| Comunicación al extranjero con Estado y garantías | sí | sí |
¿Por qué se queda obsoleto tan rápido el registro?
Muchos registros se elaboran una vez a partir de entrevistas y cuestionarios y después quedan en una hoja de cálculo. Llegan nuevas aplicaciones, servicios en la nube y herramientas de IA, se generan exportaciones, cambian los responsables, y nadie actualiza los cambios.
A ello se suma un segundo problema: los plazos de conservación figuran en el registro, pero en los sistemas no se borra. El documento describe entonces un orden que en la realidad no existe.
De la hoja de Excel al registro vivo
Un registro se mantiene actualizado si está conectado con los sistemas y no solo con las personas que lo mantienen:
- 1Gestionar los sistemas con personas responsables, criticidad y estado.
- 2Contrastar los hallazgos de una búsqueda técnica para que también afloren repositorios desconocidos.
- 3Hacer que los responsables funcionales confirmen las ubicaciones con datos personales.
- 4Aprobar los plazos de conservación con justificación y base jurídica según el principio de los cuatro ojos.
- 5Transferir los plazos aprobados al borrado para que rijan en los sistemas.
- 6Hacer visibles las lagunas: sistemas sin responsable, entradas sin confirmar, plazos sin fundamento.