¿Cuándo es abusivo un acuerdo de la mayoría? La «necesidad razonable» según el Tribunal Supremo

El registro de actividades de tratamiento como eje del cumplimiento en la administración local

28 October, 2026

Por Gonzalo Vázquez González abogado del Bufete Más y Calvet. Abogado especialista en Derecho Espacial y en Tecnología en el Bufete Mas y Calvet

Los registros de actividades de tratamiento de muchos Ayuntamientos cumplen sobre el papel, pero fallan en la práctica: nacieron como copia de los antiguos ficheros, dependen de un organigrama que cambia y se han convertido en listados de trámites. Este artículo propone reconstruirlos en cuatro niveles —concejalías, servicios, tratamientos y fichas— para separar lo que cambia a menudo de lo que permanece, y muestra cómo ese registro sostiene el resto de obligaciones que el RGPD, la LOPDGDD, el Esquema Nacional de Seguridad y el Reglamento de Inteligencia Artificial imponen a las Entidades Locales.

1. Una Administración distinta a las demás

Pocas organizaciones conocen tanto de una persona como su Ayuntamiento. Lo ve nacer, escolarizarse, empadronarse, pagar impuestos, pedir una ayuda o una licencia, apuntarse a un curso y, al final, ser enterrada en el cementerio municipal. Cada una de esas relaciones es un tratamiento de datos, y casi ninguna es visible para el vecino.

A esa cercanía se suman otros rasgos que complican el cumplimiento: una estructura política que se renueva cada cuatro años y a veces antes, recursos escasos en la mayoría de los más de ocho mil municipios del país, y la presencia constante de datos delicados, como los de salud, violencia de género o sanciones. Con este punto de partida, el cumplimiento no puede descansar en la buena voluntad: necesita un método estable.

El RGPD lo exige desde 2018 al sustituir la inscripción de ficheros por la responsabilidad proactiva (accountability): cumplir ya no basta, hay que poder acreditarlo. Y la herramienta que mejor lo acredita —porque recorre toda la organización y no caduca— es el Registro de Actividades de Tratamiento (RAT) del artículo 30 del RGPD, que en el sector público debe además publicarse en virtud del artículo 31.2 de la LOPDGDD.

2. Por qué fallan los registros municipales

Antes de proponer una solución conviene entender qué se ha hecho mal. En la práctica local se repiten tres errores:

Se heredó el fichero, no el tratamiento. Muchos registros se montaron en 2018 copiando los ficheros inscritos en la antigua Agencia. Pero un fichero es una unidad técnica y un tratamiento es una finalidad, y al trasladar uno como si fuera el otro se acaba partiendo en pedazos lo que es una sola actividad o mezclando en una misma ficha cosas que no tienen relación.
Se ató a las personas y a los nombres. Cuando el registro apunta al nombre de un concejal o a la denominación exacta de una concejalía, cada reorganización lo deja describiendo una realidad que ya no existe.
Se confundió con el catálogo de trámites. Un Ayuntamiento puede tener más de ciento cincuenta procedimientos en su sede electrónica. Hacer una ficha por cada uno multiplica el mantenimiento y desvirtúa el análisis de riesgos, que solo tiene sentido sobre actividades con una finalidad y una base jurídica comunes.

El resultado es un registro que no resiste una inspección, no permite redactar cláusulas informativas rigurosas, no dice cuántos tratamientos existen realmente y, además, se publica con contenido incoherente o desactualizado ante los ojos de cualquier ciudadano.

3. La solución: separar lo que cambia de lo que permanece

La propuesta consiste en dividir el registro en cuatro niveles que hoy suelen convivir mezclados en un solo documento, porque no se mueven al mismo ritmo.

Dos capas cambiantes. El primer nivel recoge las concejalías y áreas de gobierno vigentes, y es una simple fotografía del organigrama que se renueva con cada mandato o reorganización. El segundo nivel es el catálogo de servicios y trámites de cada concejalía, con un responsable funcional señalado por su cargo y no por su nombre; es donde se concentra el volumen, y puede reutilizarse además para otros inventarios internos, como el catálogo de procedimientos o los exigidos por el Esquema Nacional de Interoperabilidad.

Dos capas estables. El tercer nivel agrupa los servicios en un número reducido de tratamientos armonizados. El cuarto es la ficha completa del artículo 30 RGPD de cada uno de ellos: finalidad, base de legitimación, afectados, datos efectivamente tratados, destinatarios, plazos de conservación y medidas de seguridad. La finalidad de cobrar un tributo, gestionar el padrón o conceder una ayuda no cambia aunque lo haga la concejalía responsable.

De este modo, un cambio de gobierno o una reestructuración se resuelve ajustando dos tablas de correspondencia, sin rehacer el análisis jurídico de cada tratamiento.

El criterio para agrupar. El paso decisivo es el tercero, y en él el criterio no es quién presta el servicio sino para qué se tratan los datos. Los recursos humanos pueden repartirse entre varias concejalías y seguir siendo un único tratamiento; en cambio, la gestión ordinaria de la plantilla y un proceso selectivo, aunque los lleve el mismo departamento, tienen finalidades distintas y conviene separarlos. Aplicado a un catálogo real de más de ciento cincuenta servicios y una docena de concejalías, el método permite reducir casi toda la actividad municipal a quince o veinte tratamientos.

Lo que enseña un caso real. La propuesta procede de un proceso aún en marcha, en el que un Ayuntamiento ha reordenado su registro tras reestructurar sus áreas de gobierno. Deja tres enseñanzas aplicables a cualquier entidad:

Distinguir el “quién” del “qué”: quien gestiona un servicio y la actividad de tratamiento a la que pertenece deben registrarse por separado.
Mantener un puente histórico: una tabla que relacione el nombre antiguo de cada tratamiento con el nuevo, para poder explicar en una auditoría de dónde sale cada agrupación.
Aceptar que el proceso no termina: es mejor reservar una categoría de “pendientes de revisión” que forzar una clasificación que luego haya que deshacer.

Un registro así sigue necesitando mantenimiento: debe revisarse tras cada cambio de organigrama, cuando se implante un servicio o aplicación nuevos, cuando cambie un encargado del tratamiento o cuando se incorpore tecnología que altere los riesgos (sensores, nube, inteligencia artificial). Lo más práctico es vincular esa revisión al ciclo presupuestario y nombrar en cada concejalía a un referente que ayude al Delegado de Protección de Datos, que rara vez puede recopilarlo todo por sí solo.

4. Lo que el registro sostiene: el marco normativo, visto desde el RAT

Con un registro bien construido, las obligaciones que impone el ordenamiento dejan de ser una lista dispersa y pasan a apoyarse en una misma base.

Quién responde de qué. La Ley de Bases del Régimen Local atribuye a cada entidad los tratamientos ligados a sus competencias; la diputación, en cambio, actúa como encargada cuando presta asistencia a municipios con pocos medios. Esa distinción, que el RAT debe reflejar, se completa con los contratos del artículo 28 del RGPD con quien trate datos por cuenta del Ayuntamiento (nóminas, videovigilancia, recaudación, sistemas informáticos).
Con qué legitimación. En la inmensa mayoría de los casos, el Ayuntamiento trata datos por obligación legal o por una misión de interés público, siempre con respaldo en una norma con rango de ley: la de bases locales para el padrón, la de haciendas locales para los tributos, la de función pública para el personal. El consentimiento es excepcional, porque entre Administración y administrado hay un desequilibrio que le resta validez, y solo tiene sentido en servicios realmente voluntarios. El nivel 4 de la ficha es el lugar donde esa base queda anotada tratamiento por tratamiento.
Con qué cautelas. Los servicios sociales concentran las categorías especiales de datos y requieren más atención en las medidas de seguridad; los datos sobre infracciones y sanciones tienen un régimen reforzado, reservado a los órganos competentes. Para la seguridad, el RGPD y el Esquema Nacional de Seguridad (Real Decreto 311/2022) comparten el enfoque basado en el riesgo, y el plazo de adaptación a este último ya venció en 2024; sus exigencias deben trasladarse por contrato a quien preste servicios externalizados. Si hay una brecha, la notificación a la AEPD ha de hacerse en setenta y dos horas, en paralelo a la que impone el Esquema.
Con qué evaluaciones. Un registro ordenado permite ver qué tratamientos son de alto riesgo y requieren una evaluación de impacto, como los proyectos de smart city con sensores o videovigilancia inteligente, en la que la intervención del Delegado de Protección de Datos es obligatoria. El Reglamento de Inteligencia Artificial añade, para los sistemas de alto riesgo usados por organismos públicos, una evaluación sobre derechos fundamentales, que conviene planificar junto con la anterior y que alcanza a ámbitos tan habituales en un Ayuntamiento como las prestaciones públicas, la educación o la seguridad. Tampoco conviene olvidar que está en tramitación una reforma que elevaría a dieciséis años la edad de consentimiento digital, con efecto directo en servicios dirigidos a jóvenes.
Con qué asesoramiento. Toda Administración debe contar con un Delegado de Protección de Datos independiente. En los municipios pequeños, donde esa función suele recaer en personal con otras tareas, lo razonable es compartirlo a través de la Diputación, externalizarlo o crear servicios mancomunados.
Con qué transparencia. La Ley 19/2013 obliga a publicar el inventario de tratamientos y reconoce el derecho de acceso a la información pública, que debe ponderarse con la protección de datos. Conviene no mezclarlo con el acceso del interesado a su expediente ni con el derecho de acceso a los propios datos del RGPD: son tres regímenes distintos, y confundirlos genera respuestas erróneas y reclamaciones evitables. Los vecinos, por su parte, pueden ejercer sus derechos de acceso, rectificación, supresión, oposición y limitación, que deben resolverse en un mes, ampliable en casos complejos.

5. Lo que está en juego

Las Entidades Locales no sufren las multas del RGPD: el artículo 77 de la LOPDGDD las excluye. Pero eso no las deja a salvo. Ante una infracción, la AEPD declara la vulneración, ordena corregirla y, cuando hay indicios de responsabilidad personal, propone actuaciones disciplinarias, con aviso al Defensor del Pueblo y posible publicación de la resolución. Y no atender una orden de la Agencia es en sí misma una infracción, que ya se ha declarado contra varios Ayuntamientos.

A ello se añade un coste menos visible pero igual de real: el reputacional, en un contexto de reclamaciones crecientes, entre las que la videovigilancia aparece con frecuencia.

Como señal de hacia dónde va el nivel de exigencia, en noviembre de 2025 la AEPD sancionó a Aena con 10.043.002 euros por implantar reconocimiento facial en el embarque sin una evaluación de impacto válida (PS/00431/2024). No era una Administración local ni se aplicó el régimen atenuado, pero es un aviso claro para cualquier Ayuntamiento que se plantee videovigilancia inteligente o identificación biométrica, y anticipa el rigor que cabe esperar con la inteligencia artificial de alto riesgo.

6. Con qué es importante quedarse como conclusión

El cumplimiento en materia de datos no es un trámite añadido a la gestión municipal, sino la base de confianza que legitima la digitalización de los servicios públicos. Y como las exigencias solo han ido a más desde 2018, la pregunta práctica es dónde invertir primero.

La respuesta de este trabajo es que no en lo más caro ni en lo más sofisticado, sino en lo más estructural: un registro construido desde abajo, que resista los cambios de gobierno y de personal. Sobre él se apoyan después las bases de legitimación, los datos realmente tratados, el análisis de riesgos, las cláusulas informativas y la publicidad activa que la ley exige.

Gonzalo Vázquez González es desde septiembre de 2026 Abogado del Bufete Mas y Calvet, especializado en las áreas de Tecnología y Derecho Espacial

Obtuvo un doble Máster en Derecho Digital y Acceso a la Abogacía y la Procura por la Universidad de Navarra en 2025