Qué es un RAT
Un Registro de Actividades de Tratamiento es una lista de cada tratamiento de datos personales que hace la organización, con sus características: qué datos se usan, de quiénes, para qué, con qué base legal, quién accede, con quién se comparten, dónde se guardan y por cuánto tiempo.
Un tratamiento no es un sistema ni una base de datos: es una actividad con una finalidad. «Remuneraciones», «selección de personal», «despacho de pedidos» o «videovigilancia de la bodega» son tratamientos. Un mismo sistema puede servir a varios, y un tratamiento puede pasar por varios sistemas.
El concepto viene del Reglamento General de Protección de Datos europeo, cuyo artículo 30 lo hace obligatorio para la mayoría de las organizaciones. En Chile se adoptó como buena práctica, y con la reforma se vuelve la base sobre la que se apoyan casi todos los deberes nuevos.
¿La Ley 21.719 exige un RAT?
No con ese nombre. La Ley 19.628, modificada por la Ley 21.719, no contiene un artículo que ordene llevar un «registro de actividades de tratamiento». Pero sí exige cosas que no se pueden hacer sin uno:
- Informar al público (artículo 14 ter). El responsable debe mantener publicadas las categorías de datos que trata, el universo de personas de sus bases, los destinatarios, las finalidades, la base de legitimidad, el plazo de conservación, la fuente de los datos y las transferencias internacionales. Esa información sale del inventario.
- Demostrar que cumple (artículo 3, principio de responsabilidad). Quien trata datos responde por cumplir los principios y deberes de la ley, y ante un incidente debe acreditar las medidas de seguridad que adoptó (artículo 14 quinquies).
- Responder solicitudes a tiempo (artículo 11). Hay 30 días corridos para responder a un titular que pide acceso o supresión. Sin saber en qué tratamientos están sus datos, cada solicitud se convierte en una búsqueda a ciegas.
- Controlar a los proveedores (artículo 15 bis). Cada encargado necesita un contrato con el objeto, la finalidad y el tipo de datos del encargo. El RAT dice quiénes son.
- Prevenir infracciones (artículo 49). El modelo de prevención, que es voluntario, debe identificar el tipo de información que se trata, las categorías de datos y de titulares, y los procesos donde aumenta el riesgo. Es, en la práctica, un RAT.
El RAT no es un trámite que la ley pida por sí mismo. Es la herramienta con la que una organización puede cumplir, y demostrar que cumple, los deberes de información, seguridad y responsabilidad.
Además, el artículo 14 septies encarga a la Agencia de Protección de Datos Personales fijar por instrucción general los estándares mínimos de los deberes de información y seguridad. Conviene seguir esas instrucciones cuando se publiquen: pueden precisar qué documentación se espera.
Qué debería contener
No hay un formato oficial. Esta es una estructura razonable, con el artículo del que sale cada campo:
| Campo | Qué registrar | Base |
|---|---|---|
| Tratamiento y finalidad | Nombre de la actividad y para qué se usan los datos | 14 ter d) |
| Base de legitimidad | Consentimiento, contrato, obligación legal, interés legítimo u otra; si es interés legítimo, cuál | 14 ter d) |
| Categorías de datos | Qué datos, marcando los sensibles, los de menores de 14 años y los financieros | 14 ter d), 14 sexies |
| Titulares | De quiénes son los datos: trabajadores, clientes, postulantes, visitas | 14 ter d) |
| Fuente | Si los entrega el titular, un tercero o una fuente de acceso público | 14 ter j) |
| Destinatarios | A quién se comunican o ceden los datos | 14 ter d), 15 |
| Encargados | Proveedores que tratan datos por cuenta de la empresa y su contrato | 15 bis |
| Transferencias internacionales | País de destino y si tiene un nivel adecuado de protección o qué garantías hay | 14 ter h) |
| Conservación | Cuánto tiempo se guardan los datos y qué pasa después | 14 ter i) |
| Decisiones automatizadas | Si hay perfiles o decisiones automáticas y con qué lógica | 14 ter l) |
| Sistemas y seguridad | Dónde viven los datos y qué medidas los protegen | 14 ter e), 14 quinquies |
| Dueño y revisión | Responsable interno del tratamiento y fecha de la última revisión | Buena práctica |
Si el tratamiento cae en alguno de los casos del artículo 15 ter (perfiles con efectos jurídicos, tratamiento masivo, monitoreo de zonas públicas, datos sensibles sin consentimiento), registra también que requiere una evaluación de impacto y dónde está.
Cómo levantarlo en seis pasos
1. Parte por los procesos, no por los sistemas
Haz una lista de las áreas y lo que hacen: personas (selección, contratos, remuneraciones), comercial (clientes, cotizaciones, cobranza), marketing (bases de contacto, campañas), operaciones (despachos, soporte) y seguridad (control de acceso, cámaras). Cada actividad con una finalidad propia es un tratamiento.
2. Entrevista a quien conoce cada proceso
Con una plantilla corta basada en la tabla de arriba, 30 a 45 minutos por área suelen bastar para una primera versión. La persona que hace el trabajo sabe qué datos pide y a quién se los envía mejor que cualquier diagrama.
3. Cruza lo declarado con lo que hay en los sistemas
Las entrevistas dejan cosas fuera. En Microsoft 365, las aplicaciones empresariales de Entra ID muestran qué servicios externos tienen acceso a datos de tus usuarios. Los sitios de SharePoint y los equipos de Teams revelan dónde se guardan planillas con datos de personas, y el Explorador de contenido de Microsoft Purview encuentra archivos con números de cédula u otros datos sensibles.
4. Marca los tratamientos de mayor riesgo
Datos sensibles, de menores de 14 años o de carácter financiero merecen atención especial: si sufren una vulneración, además de informar a la Agencia hay que avisar a los titulares (artículo 14 sexies). Revisa también si alguno requiere evaluación de impacto.
5. Haz que coincida con lo que publicas
La política de privacidad del sitio web y la información del artículo 14 ter tienen que decir lo mismo que el RAT. Si el registro muestra un destinatario o una finalidad que la política no menciona, uno de los dos está mal.
6. Asigna dueños y una fecha de revisión
La ley no fija una frecuencia. Una revisión anual, y otra cada vez que cambie un proveedor, una finalidad o un sistema, es un buen punto de partida. Lo importante es que cada tratamiento tenga un responsable que responda por él.
Errores frecuentes
- Un registro por sistema en vez de por finalidad. «ERP» no es un tratamiento; «facturación» y «cobranza» sí.
- Olvidar a los encargados. El proveedor de remuneraciones, el centro de llamadas o la plataforma de correo masivo tratan datos por cuenta de la empresa y necesitan contrato.
- Plazos de conservación en blanco. «Indefinido» casi nunca se puede justificar, y es justamente lo que pregunta el artículo 14 ter.
- Un RAT que contradice la política publicada. Es lo primero que se nota en una revisión.
- Hacerlo una vez y guardarlo. Un registro que nadie actualiza deja de servir en pocos meses.
¿Planilla o software?
Una planilla bien estructurada es una buena forma de partir, sobre todo con menos de veinte tratamientos. Los problemas aparecen con el tiempo: varias copias sin saber cuál es la vigente, cambios sin autor ni fecha y revisiones que se olvidan.
Cuando el registro crece o hay que mostrar su historia, conviene una herramienta que guarde versiones, avise las revisiones y conecte los tratamientos con las solicitudes de los titulares. Para eso creamos CloudRAT. Sea cual sea el formato, lo que importa es que el registro esté al día y que alguien responda por él.