Registro de actividades de tratamiento: guía Ley 21.719
La Ley 21.719 no impone un RAT con formato fijo, pero es la forma práctica de cumplir y demostrar tus deberes. Qué incluir y cómo armarlo en tu pyme.
¿Tu empresa ya cumple la Ley 21.719? Haz el test gratuito de 5 minutos y recibe tu informe de brechas.
Cuando la nueva Agencia de Protección de Datos Personales fiscalice a tu empresa, lo primero que va a pedir no es una política bonita ni un banner de cookies: va a pedir evidencia de qué datos tratas, para qué y con qué base legal. La Ley 21.719 no exige un documento llamado «registro de actividades de tratamiento», pero sí que publiques esa información (artículo 14 ter) y que puedas sostenerla: incumplir el deber de información es una infracción leve, y tratar datos sin base legal, una grave. Por eso el registro de actividades de tratamiento —el RAT— dejó de ser un tecnicismo para abogados y pasó a ser el documento base de todo el cumplimiento.
La buena noticia: no es difícil de armar, pero sí toma trabajo hacerlo bien. Esta guía explica qué es el registro de actividades de tratamiento, qué exige realmente la ley, qué conviene que contenga y cómo construir el tuyo con una plantilla conceptual que puedes usar hoy.
¿Aún no dominas la ley completa? Parte por la guía de la Ley 21.719 para pymes. Y si prefieres saber rápido qué te falta, usa nuestro test gratuito de cumplimiento.
Qué es el registro de actividades de tratamiento (RAT)
El registro de actividades de tratamiento es el inventario formal de todo lo que tu empresa hace con datos personales. Documenta, para cada actividad, qué datos recolectas, con qué finalidad, bajo qué base legal, con quién los compartes y por cuánto tiempo los conservas. En el mundo se le conoce por su sigla: RAT.
Piénsalo como el mapa de tus datos. Antes de tener políticas, cláusulas de consentimiento o protocolos de brechas, necesitas saber qué datos entran a tu operación y por dónde circulan. Sin ese mapa, cualquier medida que tomes es a ciegas. Por eso el RAT es el punto de partida de la adecuación, no el último trámite.
La Ley 21.719, que reforma la antigua Ley 19.628, no usa la figura del RAT del reglamento europeo. Lo que sí hace es obligar a todo responsable del tratamiento a mantener actualizada y a disposición del público la información sobre sus tratamientos (artículo 14 ter), y lo hace legalmente responsable de cumplir los principios y deberes de la ley (artículo 3°, principio de responsabilidad). El RAT es la herramienta interna que sostiene esa información. No es un archivo que se arma una vez y se guarda: es un documento vivo que cambia cada vez que agregas un formulario, contratas un nuevo proveedor o lanzas una campaña.
¿Quién debería llevar un RAT en Chile?
Aquí está el error más caro que cometen las pymes: creer que ordenar sus datos es “cosa de empresas grandes”. Los deberes de la Ley 21.719 no tienen una excepción por tamaño: aplican a toda empresa que trate datos personales, sin importar cuántos empleados tenga. Lo que sí cambia según el tamaño es el estándar mínimo de los deberes de información y seguridad, que fijará la Agencia (artículo 14 septies). Y a diferencia del reglamento europeo (GDPR), la ley chilena no regula un registro de actividades con campos obligatorios: el RAT es una buena práctica para cumplir, no un formulario legal.
Conviene que lo lleven dos actores:
- El responsable del tratamiento: quien decide para qué y cómo se tratan los datos. Es tu empresa cuando maneja datos de clientes, trabajadores o proveedores.
- El encargado del tratamiento: el proveedor que trata datos por cuenta de otro (una agencia de marketing, un software de nómina, un servicio de correo). También le conviene documentar lo que hace para terceros: la ley le exige, entre otras cosas, cumplir el deber de seguridad y reportar las brechas al responsable.
La ventana de gracia para pymes no es un pase libre
La Ley 21.719 sí contempla un alivio para las empresas de menor tamaño (según la Ley 20.416): durante los primeros 12 meses de vigencia, cuando proceda sancionarlas, la Agencia podrá aplicar una amonestación por escrito en vez de una multa (artículo sexto transitorio).
Pero ojo con la letra chica: esa amonestación queda registrada y es una facultad de la Agencia, no un derecho automático. No es un año sin obligaciones; es un año con sanciones potencialmente más blandas para quien va llegando tarde. Los deberes de información, seguridad y respuesta a los titulares rigen desde el primer día de vigencia.
Qué conviene que contenga el registro de actividades de tratamiento
La ley no fija un formato, pero sí la información que debes tener a disposición del público: tu política de tratamiento, las categorías de datos, a quiénes se refieren, los destinatarios, las finalidades, la base de licitud, las medidas de seguridad, las transferencias internacionales, el plazo de conservación y la fuente de los datos (artículo 14 ter). Un RAT que documenta estos campos por cada actividad te deja esa información lista y demostrable. Esta es, en la práctica, tu plantilla conceptual:
| Campo | Qué documentar | Ejemplo (proceso “Postulantes”) |
|---|---|---|
| Actividad | Nombre y descripción del tratamiento | Reclutamiento y selección de personal |
| Responsable / encargado | Quién decide y quién ejecuta; contacto y representante en Chile | Gerencia de RR.HH.; software ATS externo |
| Finalidad | Para qué se usan los datos | Evaluar y contactar candidatos |
| Base de licitud | Qué autoriza el tratamiento (consentimiento, contrato, ley, interés legítimo) | Consentimiento del postulante |
| Categorías de titulares | De quién son los datos | Postulantes a empleos |
| Categorías de datos | Qué datos, marcando los sensibles | Nombre, RUT, CV, pretensión de renta |
| Origen de los datos | De dónde provienen: del titular, de terceros o de fuentes de acceso público | Formulario del propio postulante |
| Destinatarios | A quién se comunican, dentro y fuera de la empresa | Jefaturas del área; proveedor ATS |
| Transferencias internacionales | Si los datos salen de Chile y con qué resguardo | Servidor del ATS en EE. UU. |
| Plazo de conservación | Cuánto tiempo se guardan o cuándo se eliminan | 12 meses tras cerrar el proceso |
| Decisiones automatizadas | Si hay perfilamiento o decisiones sin intervención humana, con su lógica y consecuencias | Preselección automática de CV, con revisión humana |
| Medidas de seguridad | Descripción general de los controles | Acceso restringido, cifrado, respaldo |
Si el tratamiento involucra datos sensibles (salud, biometría, situación socioeconómica) o perfilamiento de alto riesgo, ese registro es además la señal de que probablemente necesites una evaluación de impacto (DPIA) y te conviene evaluar si designar un delegado de protección de datos.
Cómo armar tu RAT paso a paso
No necesitas un software caro para empezar. Una planilla bien estructurada basta para la primera versión; lo difícil no es la herramienta, es el levantamiento. Este es el orden que funciona:
- Recorre tus procesos, no tus sistemas. Pregunta área por área: ¿qué datos de personas usan y para qué? Ventas, RR.HH., cobranza, marketing y soporte casi siempre aparecen. Un tratamiento es cada finalidad distinta, no cada base de datos.
- Llena una fila por actividad con los campos de la tabla anterior. No busques perfección: busca cobertura. Es mejor un RAT completo al 80 % que tres actividades perfectas y quince sin registrar.
- Asigna la base de licitud a cada una. Este suele ser el paso más revelador: descubres tratamientos que no tienen consentimiento ni contrato que los respalde. Ahí aparece el trabajo real de adecuación.
- Mapea a tus proveedores y sistemas. Cada software que toca datos —tu ERP, tu facturador, tu pasarela de pago— es un encargado. Aquí se cruza con tus integraciones y flujos de datos: el SII, tu banco, Bsale o Defontana mueven datos personales y deben quedar en el registro.
- Define plazos de conservación reales. “Para siempre” no es un plazo. Guardar datos “por si acaso” es justamente lo que la ley busca frenar.
- Fecha y versiona el documento. Un RAT sin fecha de última actualización pierde valor como evidencia. Deja registro de cuándo se revisó y quién lo hizo.
El RAT no se termina: se mantiene. Cada nuevo formulario web, campaña o proveedor debería gatillar una revisión. Por eso conviene nombrar a un responsable claro de mantenerlo vivo, aunque tu pyme no esté obligada a tener un DPO formal.
Los 4 errores que dejan tu RAT inservible
Un registro existe en el papel pero falla en la fiscalización cuando cae en estos puntos ciegos, los mismos que revisamos en el checklist de adecuación a la Ley 21.719:
- Registrar sistemas en vez de finalidades. Poner “CRM” como una actividad no dice nada. La ley pregunta para qué tratas los datos, no dónde los guardas.
- Olvidar el marketing y los datos de trabajadores. Las promociones por WhatsApp, la base de correos y los datos de RR.HH. (incluida la asistencia biométrica) son tratamientos que casi siempre quedan fuera del primer borrador.
- No marcar los datos sensibles. Son los que reciben el estándar más alto. Si no los identificas en el RAT, tampoco los proteges como corresponde.
- Dejarlo sin dueño. Un RAT que “es de todos” no lo actualiza nadie. Si depende de que alguien se acuerde de editar una planilla, ese registro va a fallar el día de la fiscalización.
Empieza por el RAT, no por el papeleo
El registro de actividades de tratamiento es aburrido de armar y por eso muchas empresas lo dejan para el final. Es exactamente al revés: es lo primero, porque ordena todo lo demás. Sin el mapa de tus datos no puedes definir bases de licitud, plazos de conservación ni medidas de seguridad con criterio.
En Softdigital ayudamos a pymes chilenas a llegar al 1 de diciembre de 2026 con su adecuación a la Ley 21.719 resuelta: levantamos tus tratamientos, armamos el registro de actividades de tratamiento y dejamos tus procesos con trazabilidad real. Parte por el test gratuito de cumplimiento o agenda un diagnóstico de 15 minutos: sin compromiso, con propuesta a precio fijo en menos de 24 horas.
Tags
¿Este artículo te fue útil?
Implementamos lo que enseñamos. Agenda una llamada de 15 minutos y analizamos cómo aplicar esto en tu empresa.
Quiero una consulta gratuitaArtículos relacionados
Postergación de la Ley 21.719 a 2027: qué hacer ahora
La postergación de la Ley 21.719 a 2027 es todavía un proyecto en el Senado. Qué dice, qué fecha rige hoy y por qué frenar la adecuación te sale más caro.
Checklist Ley 21.719 pymes: 12 puntos y evidencia
Checklist Ley 21.719 para pymes: 12 puntos para cumplir la ley y demostrar que cumples, la evidencia que puede pedirte la Agencia y el año de gracia.
Delegado de Protección de Datos en Chile: ¿es obligatorio?
La Ley 21.719 no obliga a designar un delegado de protección de datos (DPO): solo lo exige si adoptas un modelo de prevención. Cuándo conviene y cómo designarlo.