Cómo construir tu Registro de Actividades de Tratamiento (RAT) paso a paso

Si la Agencia de Protección de Datos golpea tu puerta, lo primero que va a pedir no es tu política de privacidad: es tu Registro de Actividades de Tratamiento. Es el inventario que demuestra que sabes qué datos tratas, de quién, para qué y con quién los compartes. Sin RAT no hay cumplimiento demostrable — todo lo demás se construye encima.

Qué es exactamente

El RAT es un documento vivo que describe cada actividad de tratamiento: un proceso de negocio que usa datos personales. “Pagar remuneraciones”, “gestionar postulantes”, “operar el CRM”, “monitorear con cámaras la planta” — cada una es una fila de tu registro.

Para cada actividad debes documentar, como mínimo:

• Finalidad: para qué tratas esos datos.
• Categorías de titulares: trabajadores, clientes, proveedores, visitantes.
• Categorías de datos: identificación, contacto, salud, biometría, financieros.
• Base de licitud: consentimiento, contrato, obligación legal, interés legítimo.
• Destinatarios: con qué terceros se comparten (incluidos proveedores cloud).
• Transferencias internacionales: si los datos salen de Chile y con qué garantía.
• Plazos de conservación: cuándo se eliminan o anonimizan.
• Medidas de seguridad aplicadas.

Cómo levantarlo sin morir en el intento

1. Parte por procesos, no por sistemas. Pregunta a cada área qué hace con datos de personas, no qué software usa. Los sistemas aparecen solos al describir el proceso.

2. Entrevista a RRHH primero. Es siempre el área con más tratamientos y más datos sensibles (salud, afiliación sindical, exámenes preocupacionales).

3. No busques la perfección en la primera pasada. Un RAT al 80% que existe vale infinitamente más que uno perfecto en proyecto. Se itera.

4. Asigna un dueño. El RAT desactualizado es casi peor que no tenerlo: documenta que sabías y no actualizaste. Alguien debe ser responsable de mantenerlo.

5. Hazlo consultable. Una planilla escondida en una carpeta compartida no sobrevive al segundo trimestre. Nuestro tooling lo mantiene versionado y conectado a la evidencia.

El error más común

Confundir el RAT con la política de privacidad. La política es lo que le cuentas al mundo; el RAT es lo que te consta internamente. Cuando no coinciden — y en el 90% de los diagnósticos que hacemos, no coinciden — cada diferencia es una infracción esperando fiscalización.

En nuestro Diagnóstico Ley 21.719 el borrador de RAT es uno de los cuatro entregables. En dos semanas sabes exactamente dónde estás.