RAT: qué es el Registro de Actividades de Tratamiento y cómo armarlo

El Registro de Actividades de Tratamiento (RAT) es el documento que exige la Ley 21.719 donde tu empresa deja constancia formal de qué datos personales trata, con qué finalidad, por cuánto tiempo y con qué medidas de seguridad. Es, en la práctica, el primer documento que revisaría la Agencia de Protección de Datos Personales (APDP) ante una fiscalización. Si tu empresa no tiene uno, este artículo te explica cómo construirlo.

¿Por qué el RAT es tan importante?

Antes de la Ley 21.719, la mayoría de las empresas chilenas trataba datos personales sin ningún registro formal: los datos de clientes vivían repartidos entre un CRM, planillas de Excel, correos y a veces papel. Nadie tenía una vista completa de qué se recolectaba, para qué, ni por cuánto tiempo se guardaba.

El RAT obliga a resolver eso. No es un trámite burocrático más: es la evidencia de que tu empresa sabe lo que hace con los datos que maneja. Sin RAT, no hay forma de demostrar cumplimiento ante una fiscalización, aunque en la práctica tus procesos internos sean razonables.

Qué debe incluir un RAT

Un RAT completo, para cada actividad de tratamiento de datos que realiza tu empresa, debería registrar:

• Finalidad del tratamiento: para qué se usan esos datos (ej. gestión de pedidos, envío de marketing, control de acceso a instalaciones).
• Categorías de datos tratados: qué tipo de información es (nombre, RUT, correo, datos de salud, datos financieros, biométricos, etc.).
• Base legal: por qué la empresa puede tratar esos datos (consentimiento, ejecución de un contrato, obligación legal, interés legítimo).
• Plazo de conservación: cuánto tiempo se guardan los datos antes de eliminarse o anonimizarse.
• Encargados de tratamiento: qué terceros (proveedores de software, agencias, plataformas de email marketing) procesan estos datos por cuenta de tu empresa.
• Medidas de seguridad aplicadas: qué controles técnicos y organizativos protegen esos datos.
• Transferencias internacionales: si los datos salen de Chile (ej. servidores en el extranjero), con qué garantías.

Cómo armar tu RAT en 3 etapas

1. Mapeo de datos

Antes de documentar nada, hay que identificar dónde están los datos personales dentro de tu empresa. Esto incluye:

• Formularios del sitio web (contacto, checkout, newsletter).
• Sistemas de CRM y ventas.
• Sistemas de recursos humanos (datos de postulantes y empleados).
• Cámaras de seguridad, si registran personas identificables.
• Planillas y documentos internos que contengan datos de clientes o proveedores.

Esta etapa suele revelar más puntos de recolección de los que la empresa recordaba tener. Es normal.

2. Documentación por actividad de tratamiento

Con el mapeo hecho, se documenta cada flujo de datos identificado usando los campos listados arriba (finalidad, base legal, plazo, encargados, seguridad). Cada "actividad de tratamiento" es, en general, un proceso de negocio distinto: no es lo mismo tratar datos para procesar una venta que para enviar campañas de marketing, aunque uses el mismo correo del cliente.

3. Mantención y actualización

El error más común es tratar el RAT como un documento que se hace una vez y se archiva. No lo es. Cada vez que tu empresa:

• Contrata un nuevo proveedor que procese datos (ej. una nueva plataforma de email marketing),
• Lanza un nuevo formulario o canal de recolección de datos,
• Cambia la finalidad de un tratamiento existente,

el RAT debe actualizarse. Un RAT desactualizado es casi tan riesgoso como no tener uno.

Errores frecuentes al armar un RAT

• Copiar una plantilla genérica sin adaptarla: un RAT que no refleja la operación real de tu empresa no sirve como evidencia de cumplimiento.
• Olvidar a los encargados de tratamiento: muchas empresas no consideran que su proveedor de CRM, su agencia de marketing o su plataforma de pagos también procesan datos personales por su cuenta, y eso debe quedar registrado.
• No asignar un responsable interno: si nadie es dueño del RAT dentro de la empresa, nadie lo actualiza.

¿Cómo te ayudamos con esto?

Armar un RAT que realmente refleje tu operación —y no una plantilla descargada de internet— requiere entender tanto la ley como los sistemas técnicos que usa tu empresa. En nuestra evaluación gratuita revisamos tu operación de datos actual y te decimos exactamente qué necesita tu RAT para estar en regla antes del 1 de diciembre de 2026.

¿Necesitas el contexto completo de la ley antes de profundizar? Parte por la Guía completa de cumplimiento de la Ley 21.719.