Qué es el Registro de Actividades de Tratamiento (RAT) y cómo armarlo

Si tuvieras que explicar en una reunión qué datos personales trata tu empresa, para qué los usas y con quién los compartes — ¿podrías hacerlo sin ir a revisar diez sistemas distintos? Esa es, en esencia, la pregunta que responde el Registro de Actividades de Tratamiento (RAT).

El RAT es el primer paso de cualquier cumplimiento real de la Ley 21.719. No porque sea el requisito más importante en abstracto, sino porque todo lo demás depende de él: no puedes responder una solicitud de un cliente sobre sus datos, evaluar el riesgo de un nuevo sistema, o saber qué proveedores externos tienen acceso a información personal, si primero no tienes claro qué datos tratas.

Qué debería registrar tu RAT

Por cada actividad de tratamiento de datos personales que tiene tu empresa, el registro debería dejar claro:

• Qué datos personales se tratan — nombre, RUT, email, historial de compras, datos de salud, lo que corresponda.
• Para qué finalidad — facturación, marketing, gestión de recursos humanos, soporte al cliente.
• De dónde vienen — formulario web, CRM, planilla manual, integración con otro sistema.
• Con quién se comparten — un proveedor de email marketing, un sistema de cobranza, un agente de IA conectado al CRM.
• Cuánto tiempo se conservan — y cuándo se eliminan o anonimizan.
• Qué medidas de seguridad protegen esos datos.

Un error común: pensar que el RAT es un documento de una sola vez

El RAT no es un PDF que se firma una vez y se archiva. Es un documento vivo: cada vez que tu empresa empieza a usar un sistema nuevo, cambia de proveedor, o lanza un proceso que trata datos personales de forma distinta, el registro debería actualizarse. Un RAT desactualizado no sirve de mucho el día que alguien — un cliente, un fiscalizador — pregunta qué pasa con sus datos.

Por dónde empezar si no tienes nada

1. Haz un barrido de los sistemas que usa tu empresa. CRM, ERP, email, WhatsApp Business, planillas de Excel, formularios web — cualquier lugar donde entren datos de clientes, trabajadores o proveedores.
2. Para cada sistema, identifica qué datos personales contiene y para qué se usan. No hace falta perfección en la primera pasada — es mejor un registro incompleto que ninguno.
3. Identifica a los responsables de cada área — quién administra el CRM, quién gestiona recursos humanos — porque ellos conocen el detalle operativo que falta en el registro.
4. Revisa y actualiza el registro de forma periódica, no solo cuando algo cambia de forma evidente.

Hacerlo en una planilla vs. hacerlo en un sistema

Para una empresa muy pequeña, una planilla ordenada puede ser un punto de partida razonable. El problema aparece cuando la empresa crece: varias personas editando el mismo documento, sin historial de cambios, sin alertas cuando algo queda desactualizado. En ese punto, un sistema dedicado — que además conecte el RAT con las solicitudes de los titulares, las evaluaciones de impacto y la gestión de brechas — deja de ser un lujo y empieza a ahorrar tiempo real.

¿Quieres ver cómo luce ese registro centralizado en la práctica? Conoce DPOnet, el software que ya usan empresas en Chile para ordenar su cumplimiento de la Ley 21.719. Y si antes quieres entender qué tan expuesta está tu empresa hoy, responde nuestra autoevaluación de 10 preguntas.