RAT: Registro de Actividades de Tratamiento en la Ley 21.719

Si le preguntas a la mayoría de las empresas chilenas "¿qué datos personales tratas, con qué finalidad y con quién los compartes?", la respuesta honesta suele ser un silencio incómodo. El RAT existe exactamente para resolver ese silencio — y la Ley 21.719 lo convierte en una obligación legal, no en una buena práctica opcional.

Qué es el RAT

El Registro de Actividades de Tratamiento (RAT) es el inventario formal de todos los tratamientos de datos personales que realiza una empresa: qué datos recolecta, para qué los usa, cuánto tiempo los conserva, quién tiene acceso, con quién los comparte y qué medidas de seguridad aplica.

No es un documento de una sola página. Es, en la práctica, el mapa completo de cómo fluyen los datos personales dentro y fuera de la organización.

Por qué es obligatorio

Si bien la Ley 21.719 no exige un "Registro de Actividades de Tratamiento" con ese nombre (a diferencia del RGPD europeo), el Artículo 14 ter (Deber de información y transparencia) obliga a mantener y publicar permanentemente al público categorías de datos, finalidades, base de licitud y demás información equivalente — en la práctica, esto exige la misma disciplina interna que produce un RAT. A diferencia de otras obligaciones que dependen del tamaño de la empresa, este deber aplica prácticamente a todo responsable de tratamiento, con matices menores para organizaciones muy pequeñas con tratamientos de bajo riesgo.

No tener RAT, o tenerlo desactualizado, está tipificado como infracción — típicamente leve en aislamiento, pero es casi siempre lo primero que pide una fiscalización. Un RAT inexistente o incompleto suele destapar problemas más grandes: bases legales no identificadas, plazos de conservación indefinidos, encargados de tratamiento sin contrato.

Qué debe contener cada tratamiento registrado

Un RAT completo, por cada actividad de tratamiento, debe identificar como mínimo:

• Finalidad: para qué se usan los datos (ej. "gestión de nómina", "marketing por email")
• Categorías de datos: qué tipo de datos se tratan (identificación, contacto, financieros, sensibles)
• Categorías de titulares: quiénes son las personas afectadas (clientes, empleados, proveedores)
• Base legal: por qué la empresa puede tratar esos datos (consentimiento, ejecución de contrato, obligación legal, interés legítimo)
• Plazo de conservación: cuánto tiempo se guardan y qué pasa después
• Destinatarios: a quién se comunican los datos (proveedores, autoridades, terceros)
• Transferencias internacionales: si los datos salen de Chile y bajo qué garantías
• Medidas de seguridad: qué protege esos datos técnica y organizacionalmente

El error más común: construirlo una vez y no tocarlo más

El RAT no es un ejercicio de "lo hicimos una vez para la auditoría y ya". Un tratamiento nuevo —una campaña de marketing, un proveedor de analítica, una nueva integración con un CRM— debería registrarse antes de implementarse, no seis meses después cuando alguien se acuerda.

Las empresas que fallan en esto terminan con dos versiones de la realidad: lo que dice el RAT y lo que realmente hace la empresa con los datos. En una fiscalización, esa diferencia es exactamente lo que un inspector busca.

Quién debería llenar el RAT: no solo el equipo legal

Un error frecuente es que el área legal o de compliance intente construir el RAT sola, adivinando qué hace cada área con los datos. El resultado es, casi siempre, incompleto.

El RAT funciona mejor cuando es colaborativo por área: RRHH describe sus propios tratamientos (nómina, reclutamiento, evaluaciones de desempeño), Ventas describe los suyos (CRM, cotizaciones), Marketing los suyos (campañas, remarketing). Cada área conoce su propio flujo de datos mejor que nadie más en la empresa.

RAT y EIPD: cuándo uno lleva al otro

No todo tratamiento requiere una Evaluación de Impacto en la Protección de Datos (EIPD), pero el RAT es el punto de partida para identificar cuáles sí. Un tratamiento de datos sensibles a gran escala, o el uso de tecnología nueva con potencial de vigilancia, detectado en el RAT, debería activar automáticamente la pregunta: ¿este tratamiento necesita una EIPD antes de seguir adelante?

Preguntas frecuentes

¿El RAT hay que enviarlo a la Agencia? No de forma proactiva. El RAT debe estar disponible para ser exhibido cuando la Agencia lo requiera, típicamente en el contexto de una fiscalización o investigación.

¿En qué formato debe estar el RAT? La ley no exige un formato específico, pero debe ser un documento estructurado, actualizado y accesible — no una explicación verbal de "más o menos sabemos qué hacemos con los datos".

¿Una empresa pequeña también necesita RAT? En general sí. Las excepciones para organizaciones pequeñas son acotadas y dependen del riesgo del tratamiento, no solo del tamaño. En la práctica, casi toda empresa que tiene empleados y clientes ya tiene tratamientos que exigen registro.

¿Quién es responsable de mantener el RAT actualizado? El responsable de tratamiento (la empresa), a menudo delegado en el DPO cuando existe uno. Pero el contenido depende de que cada área reporte sus propios cambios.

De la planilla dispersa al RAT vivo

Mantener el RAT en un Word que nadie actualiza es, en la práctica, lo mismo que no tenerlo. El RAT Colaborativo de Askesis permite que cada área registre y actualice sus propios tratamientos, conecta cada uno con su EIPD cuando corresponde, y deja el historial de cambios listo para exhibir ante una fiscalización.

¿Quieres saber si el RAT de tu empresa está completo o tiene huecos? Revísalo con el análisis de brecha gratuito de Askesis.