Art. 39 del Reglamento a la Ley Orgánica de Protección de Datos Personales

La obligación de registro de actividades también la tendrán los responsables de tratamiento que, teniendo menos de cien trabajadores, cumplan alguna de las siguientes condiciones; 1. El tratamiento que realice pueda entrañar un riesgo para los derechos y libertades de los titulares, de acuerdo con el análisis de riesgos, amenazas y vulnerabilidades, de conformidad con lo dispuesto en la ley; 2. No se trate de un tratamiento ocasional: o, 3. Incluya categorías especiales de datos personales.