RAT: Registro de Actividades de Tratamiento en la Ley 21.719

Si le preguntas a la mayoría de las empresas chilenas "¿qué datos personales tratas, con qué finalidad y con quién los compartes?", la respuesta honesta suele ser un silencio incómodo. El RAT es la herramienta interna que resuelve ese silencio — y la Ley 21.719 exige, con otro nombre, la misma disciplina que produce un RAT.

Qué es el RAT

El Registro de Actividades de Tratamiento (RAT) es el inventario formal de todos los tratamientos de datos personales que realiza una empresa: qué datos recolecta, para qué los usa, cuánto tiempo los conserva, quién tiene acceso, con quién los comparte y qué medidas de seguridad aplica.

No es un documento de una sola página. Es, en la práctica, el mapa completo de cómo fluyen los datos personales dentro y fuera de la organización.

Por qué es obligatorio (aunque la ley no use la palabra "RAT")

La Ley 21.719 no exige un "Registro de Actividades de Tratamiento" con ese nombre — esa sigla es terminología del RGPD europeo. Lo que sí exige, en el Artículo 14 ter (Deber de información y transparencia), es mantener permanentemente a disposición del público, en el sitio web de la empresa o en cualquier otro medio, un conjunto específico de datos: categorías de datos, finalidades, base de licitud, destinatarios, plazos de conservación y demás información listada en el artículo. Eso no significa publicar el RAT como documento — el RAT es una herramienta de gestión interna que ayuda a producir esa información; lo que la ley exige público es el contenido puntual enumerado en el Art. 14 ter, normalmente materializado en la política de privacidad del sitio web. El RAT puede (y suele) contener además detalle operativo que no es parte de ese deber de publicación, como qué sistemas específicos almacenan cada dato o qué roles internos tienen acceso.

El Artículo 14 septies encarga a la Agencia definir estándares diferenciados para empresas de menor tamaño (Ley N° 20.416) y tratamientos de bajo riesgo, mediante instrucción general — no es la propia empresa quien decide si aplica una excepción.

No cumplir este deber de información y transparencia está tipificado como infracción leve (Art. 34 bis, letra a), y es casi siempre lo primero que revela una fiscalización: un RAT inexistente o incompleto suele destapar problemas más grandes — bases legales no identificadas, plazos de conservación indefinidos, encargados de tratamiento sin contrato.

Qué debe contener cada tratamiento registrado

Un RAT completo, por cada actividad de tratamiento, debe identificar como mínimo:

• Finalidad: para qué se usan los datos (ej. "gestión de nómina", "marketing por email")
• Categorías de datos: qué tipo de datos se tratan (identificación, contacto, financieros, sensibles)
• Categorías de titulares: quiénes son las personas afectadas (clientes, empleados, proveedores)
• Base legal: por qué la empresa puede tratar esos datos (consentimiento, ejecución de contrato, obligación legal, interés legítimo)
• Plazo de conservación: cuánto tiempo se guardan y qué pasa después
• Destinatarios: a quién se comunican los datos (proveedores, autoridades, terceros)
• Transferencias internacionales: si los datos salen de Chile y bajo qué garantías
• Medidas de seguridad: qué protege esos datos técnica y organizacionalmente

Estos campos mapean directamente con las letras d), e), h) e i) del Art. 14 ter — no es una lista arbitraria, es lo que la ley exige publicar.

El error más común: construirlo una vez y no tocarlo más

El RAT no es un ejercicio de "lo hicimos una vez para la auditoría y ya". Un tratamiento nuevo —una campaña de marketing, un proveedor de analítica, una nueva integración con un CRM— debería registrarse antes de implementarse, no seis meses después cuando alguien se acuerda.

Las empresas que fallan en esto terminan con dos versiones de la realidad: lo que dice el RAT y lo que realmente hace la empresa con los datos. En una fiscalización, esa diferencia es exactamente lo que un inspector busca — y peor aún si la versión pública en el sitio web tampoco coincide.

Quién debería llenar el RAT: no solo el equipo legal

Un error frecuente es que el área legal o de compliance intente construir el RAT sola, adivinando qué hace cada área con los datos. El resultado es, casi siempre, incompleto.

El RAT funciona mejor cuando es colaborativo por área: RRHH describe sus propios tratamientos (nómina, reclutamiento, evaluaciones de desempeño), Ventas describe los suyos (CRM, cotizaciones), Marketing los suyos (campañas, remarketing). Cada área conoce su propio flujo de datos mejor que nadie más en la empresa.

RAT y EIPD: cuándo uno lleva al otro

No todo tratamiento requiere una Evaluación de Impacto en la Protección de Datos (EIPD), pero el RAT es el punto de partida para identificar cuáles sí. El Art. 15 ter exige evaluaciones previas ante riesgos altos, como tratamientos masivos de datos sensibles o el uso de tecnología nueva con potencial de vigilancia: si el RAT detecta uno de estos casos, debería activar automáticamente la pregunta: ¿este tratamiento necesita una EIPD antes de seguir adelante?

Preguntas frecuentes

¿El RAT hay que enviarlo a la Agencia? No hay que enviarlo de forma proactiva, pero la Agencia puede requerirlo directamente en cualquier fiscalización o investigación. Distinto es el deber de información y transparencia del Art. 14 ter: ese sí obliga a mantener permanentemente disponible al público en el sitio web un conjunto específico de datos (categorías tratadas, finalidades, base de licitud, destinatarios, plazos de conservación, etc.) — no el RAT como documento completo. El detalle operativo del RAT (sistemas específicos, roles internos con acceso) no es parte de ese deber de publicación.

¿En qué formato debe estar el RAT? La ley no exige un formato específico, pero debe ser un documento estructurado y actualizado — no una explicación verbal de "más o menos sabemos qué hacemos con los datos". El RAT en sí es de uso interno; lo que debe estar públicamente accesible es el contenido puntual que exige el Art. 14 ter, típicamente publicado como parte de la política de privacidad del sitio web.

¿Una empresa pequeña también necesita RAT? En general sí. Las excepciones para empresas de menor tamaño (Ley N° 20.416) las define la Agencia mediante instrucción general (Art. 14 septies), según el riesgo del tratamiento — no las decide la propia empresa. En la práctica, casi toda empresa que tiene empleados y clientes ya tiene tratamientos que exigen registro y publicación.

¿Quién es responsable de mantener el RAT actualizado? El responsable de tratamiento (la empresa), a menudo delegado en el encargado de prevención o delegado de protección de datos cuando existe uno. Pero el contenido depende de que cada área reporte sus propios cambios.

De la planilla dispersa al RAT vivo

Mantener el RAT en un Word que nadie actualiza es, en la práctica, lo mismo que no tenerlo. El RAT Colaborativo de Askesis permite que cada área registre y actualice sus propios tratamientos, conecta cada uno con su EIPD cuando corresponde, y deja el historial de cambios listo para exhibir ante una fiscalización o publicar en el sitio web.

¿Quieres saber si el RAT de tu empresa está completo o tiene huecos? Revísalo con el análisis de brecha gratuito de Askesis.