Cómo hacer el inventario de datos antes del RAT
Para hacer el inventario de datos personales de su empresa, recorra la organización en tres capas antes de armar el RAT. Primero, los activos donde viven los datos: sistemas, planillas, carpetas, correos y respaldos. Segundo, las categorías que recolecta: clientes, trabajadores, proveedores y datos sensibles. Tercero, el flujo, es decir cómo se mueven esos datos entre áreas, sistemas y proveedores externos. Parta con cuatro preguntas simples para cada proceso: qué datos recolecta, dónde viven, quién accede a ellos y cuánto tiempo los conserva. Documéntelo en una planilla, sin sobre-complicarlo: el objetivo es ver el mapa completo, no lograr la perfección. Este levantamiento es el paso previo al RAT que exige la Ley 21.719, y además alimenta la EIPD cuando un tratamiento es de alto riesgo. El hueco más común aparece en los proveedores que tratan datos por usted. La ley rige desde el 1 de diciembre de 2026.
La Ley 21.719 obliga al responsable a mantener un registro de sus actividades de tratamiento, que documenta qué datos trata, con qué finalidad y con quién los comparte. El inventario previo es lo que permite construir ese registro de forma completa.
Qué es el inventario de datos y por qué va antes del RAT
El inventario de datos es la foto completa de todos los datos personales que tu empresa maneja: qué recolectas, en qué sistemas viven, quién los toca y a qué proveedores viajan. No es todavía un documento legal, es el trabajo de campo que hace posible todo lo demás.
Mucha gente intenta partir directo por el Registro de Actividades de Tratamiento (RAT) y se traba a la segunda fila, porque el RAT te pide describir cada tratamiento con su finalidad, base de licitud, categorías de datos, destinatarios y plazos de conservación. Si no levantaste antes el inventario, esa información no existe ordenada en ninguna parte y terminas inventando o dejando casilleros en blanco.
Piénsalo así: el inventario es la materia prima, el RAT es el documento formal que se construye con esa materia prima, y la EIPD es el análisis de riesgo que se hace sobre los tratamientos más sensibles que el inventario dejó a la vista. Los tres pasos van en ese orden, y saltarse el primero es la razón número uno por la que un proyecto de cumplimiento se atasca.
Las tres capas del inventario
No trates de listar datos sueltos. Levanta el inventario en tres capas, de lo concreto a lo abstracto, porque así no se te escapa nada y cada capa alimenta a la siguiente.
- Capa 1, activos: el listado físico de dónde viven los datos. Tu ERP, el CRM, la planilla de RR.HH., el correo, la carpeta compartida, el sistema de facturación, la herramienta de marketing, las cámaras, incluso ese Excel que alguien mantiene en su escritorio. Si un dato personal puede estar ahí, es un activo y va en la lista.
- Capa 2, categorías: qué tipos de datos hay dentro de cada activo. Nombre, RUT, correo, domicilio, datos de salud, datos de menores, situación socioeconómica, geolocalización, historial de compra. Marca cuáles son datos sensibles, porque en Chile la categoría es más amplia de lo que se cree: la situación socioeconómica es dato sensible bajo la Ley 21.719.
- Capa 3, flujo: cómo se mueven los datos. De dónde entran (formulario web, sucursal, un proveedor), por qué sistemas pasan y hacia dónde salen. Aquí aparecen los terceros: la nube donde alojas, el proveedor de facturación electrónica, el SaaS de soporte, la agencia de marketing. Cada flecha que sale hacia afuera es un encargado de tratamiento que después vas a necesitar cubrir con contrato.
Las cuatro preguntas de arranque
Para cada activo que listaste en la capa 1, siéntate con la persona que lo usa de verdad, no con el organigrama, y hazle cuatro preguntas. Son simples a propósito, porque una entrevista de diez minutos con el jefe de bodega o la encargada de cobranza te da más verdad que cualquier diagrama corporativo.
- ¿Qué recolectas? Qué datos personales entran a este sistema y con qué finalidad. Ojo con las finalidades escondidas: un mismo dato muchas veces se usa para más de una cosa.
- ¿Dónde vive? En qué servidor, nube o país está alojado, y si hay copias en otros lados (respaldos, exportaciones a Excel, correos con adjuntos). Los datos rara vez viven en un solo lugar.
- ¿Quién accede? Qué personas y qué proveedores externos pueden ver o tocar estos datos. Aquí saltan los accesos que nadie recuerda haber dado y los proveedores que operan sin contrato.
- ¿Cuánto conservas? Hace cuánto tiempo tienes el dato más antiguo y si existe una regla para borrarlo. La respuesta honesta casi siempre es "lo guardamos todo, por si acaso", y ese "por si acaso" es un riesgo que el RAT te va a obligar a justificar.
Cómo lo documentas, sin sobre-complicarlo
No necesitas software caro para esto. Una planilla bien hecha basta para la mayoría de las empresas. Una fila por cada combinación de activo y finalidad, y columnas para: sistema, categorías de datos, si hay datos sensibles, de dónde entran, quién accede, a qué terceros viajan, dónde están alojados y plazo de conservación.
Esa estructura no es casual: son casi exactamente los campos que después te va a pedir el RAT. Si armas bien el inventario, el registro deja de ser un documento en blanco y pasa a ser un ejercicio de ordenar y darle forma legal a algo que ya tienes levantado.
Marca en color aparte todo lo que involucre datos sensibles, datos de menores, tratamiento automatizado que tome decisiones sobre personas, o monitoreo por video de zonas públicas. Esas filas son las candidatas a necesitar una EIPD, y quieres tenerlas identificadas desde ya.
Dónde suele estar el hueco real: los proveedores
Cuando el inventario llega a la capa de flujo, casi siempre aparece el mismo hallazgo: la empresa manda datos personales a un montón de proveedores SaaS y no tiene contrato de encargo con casi ninguno. Es el gap más común y silencioso, mucho más frecuente que un problema con la política de privacidad del sitio web.
El proveedor de correo, el de facturación electrónica, el CRM en la nube, la herramienta de tickets, la agencia que corre las campañas: todos son encargados de tratamiento y todos deberían tener su contrato. El inventario es lo que te da la lista concreta de con quién te falta ese acuerdo, para después cerrarlos de forma ordenada, por ejemplo con el Pack Remediación DPA.
Por eso el inventario no es un trámite burocrático. Es el diagnóstico que te dice, con nombre y apellido, dónde están tus riesgos reales antes de gastar plata resolviéndolos.
Del inventario al RAT y a la EIPD
Con el inventario listo, el resto del cumplimiento deja de ser abstracto. El RAT se llena con lo que ya levantaste. Los tratamientos que marcaste como sensibles o de alto riesgo pasan al filtro de la EIPD, que la Ley 21.719 exige en su artículo 15 ter para tratamientos de alto riesgo, datos sensibles a gran escala, decisiones automatizadas o videovigilancia sistemática de espacios públicos. Y los proveedores sin contrato entran a tu plan de remediación.
No hacer la EIPD cuando corresponde es una infracción grave, con multas de hasta 10.000 UTM, y la fiscalización parte el 1 de diciembre de 2026 sin período de gracia para las empresas sobre 100.000 UF de ingresos. Pero el punto no es el miedo a la multa: es que sin inventario no sabes siquiera cuáles de tus tratamientos gatillan una EIPD.
Si quieres ver el orden completo del cumplimiento paso a paso, revisa cómo cumplir la Ley 21.719. El inventario es siempre el paso 1, y es el que hace que todo lo demás sea manejable en lugar de una hoja en blanco.
Preguntas frecuentes
¿El inventario de datos es lo mismo que el RAT?
No. El inventario es el trabajo de campo previo: recorres tus sistemas y levantas qué datos tienes, dónde viven, quién accede y cuánto los conservas. El RAT es el documento formal que exige la Ley 21.719 y que se construye con esa información. Sin inventario, el RAT queda incompleto o inventado. Primero inventario, después RAT.
¿Cuánto se demora levantar un inventario de datos?
Depende del tamaño, pero para una PYME o empresa mediana suele tomar entre una y tres semanas de entrevistas cortas con las áreas que usan cada sistema. Lo que más lo alarga es descubrir proveedores y accesos que nadie tenía mapeados. Es tiempo bien invertido, porque acelera el RAT y la EIPD que vienen después.
¿Necesito software especial para hacer el inventario?
No para empezar. Una planilla bien estructurada, con una fila por activo y finalidad y columnas para categorías, terceros, alojamiento y conservación, cubre a la gran mayoría de las empresas. Lo importante es la calidad de la información, no la herramienta. Puedes migrar a software más adelante si el volumen lo justifica.
¿Qué hago con los proveedores que aparecen en el inventario?
Cada proveedor que recibe datos personales tuyos es un encargado de tratamiento y necesita un contrato de encargo (DPA). El inventario te da la lista concreta de con quién te falta ese acuerdo. Ese suele ser el hueco más grande y silencioso del cumplimiento en Chile, más que la política de privacidad del sitio.