RAT: registro de actividades de tratamiento (con plantilla)
Actualizado el
El RAT (registro de actividades de tratamiento) es el inventario de todos los tratamientos de datos personales que hace su empresa: qué datos usa, con qué finalidad, sobre qué base de licitud, con quién los comparte y por cuánto tiempo los conserva. Es la pieza que ordena todo el cumplimiento de la Ley 21.719, porque sin saber qué datos trata no puede elegir bases de licitud, responder derechos ARCOP ni decidir dónde hace falta una EIPD. No es un trámite decorativo: es el mapa desde el cual se construye todo lo demás y la evidencia de que su empresa sabe qué hace con los datos. Cada registro debe identificar responsable, categorías de datos y de titulares, finalidad, destinatarios, transferencias internacionales y plazos de conservación. La ley rige desde el 1 de diciembre de 2026. Al final de esta página le dejamos una plantilla base gratuita para empezar hoy.
La Ley 21.719 obliga al responsable a mantener un registro de sus actividades de tratamiento, que identifique la finalidad, las categorías de datos y de titulares, los destinatarios y los plazos de conservación.
Qué es el RAT
El registro de actividades de tratamiento (RAT) es un documento interno donde su organizacion lista, una por una, todas las actividades en que trata datos personales. No es un tramite que se presente ante nadie hoy. Es una herramienta de gestion que le permite saber, con exactitud, que datos tiene, de donde vienen, para que los usa y a quien se los entrega.
Piense en el RAT como el mapa de sus datos. Sin ese mapa no puede responder las preguntas basicas que exige la Ley 21.719: donde estan sus datos sensibles, que proveedores los procesan, cuanto tiempo los conserva. Por eso el RAT es lo primero que se arma en cualquier proyecto de cumplimiento, antes de redactar politicas o revisar contratos.
La ley en Chile no usa la sigla RAT de forma literal en un solo articulo, pero el deber de tener este inventario se desprende del principio de responsabilidad y de la obligacion de acreditar cumplimiento. En la practica, es la fuente de la que salen la EIPD y la revision de contratos con proveedores.
Qué debe contener cada registro
Cada fila del RAT describe una actividad de tratamiento. Estos son los campos minimos que conviene llenar para cada una:
- Nombre de la actividad (por ejemplo: nomina, postulaciones, marketing, ficha clinica).
- Finalidad: para que se tratan esos datos, en lenguaje claro.
- Base de licitud: consentimiento, contrato, obligacion legal, interes legitimo u otra.
- Categorias de titulares: clientes, trabajadores, postulantes, pacientes, proveedores.
- Categorias de datos: identificacion, contacto, financieros y, aparte, los sensibles.
- Datos sensibles involucrados: salud, origen, afiliacion sindical y situacion socioeconomica, que en Chile se clasifica como dato sensible.
- Destinatarios y encargados: a quien se comunican los datos y que proveedores los procesan (SaaS de RRHH, correo, facturacion, nube).
- Transferencias internacionales: si el dato sale de Chile y hacia donde.
- Plazo de conservacion: cuanto tiempo se guarda y cuando se elimina.
- Medidas de seguridad: control de acceso, cifrado, respaldos, segregacion.
| Campo | Qué anotar |
|---|---|
| Responsable | Quién decide el tratamiento y sus datos de contacto |
| Finalidad | Para qué se usan los datos |
| Base de licitud | Fundamento legal: consentimiento, contrato, interés legítimo... |
| Categorías de datos y titulares | Qué datos y sobre quiénes |
| Destinatarios y encargados | Con quién se comparten los datos |
| Transferencias y conservación | Si salen de Chile y por cuánto tiempo se guardan |
Cómo llenar el RAT paso a paso
No empiece por la teoria, empiece por las areas. Recorra la empresa por procesos y pregunte donde se manejan datos de personas. RRHH, ventas, marketing, finanzas, atencion al cliente y sistemas casi siempre generan actividades de tratamiento.
Para cada actividad complete los campos de la plantilla. Un consejo practico: marque de inmediato las filas que involucran datos sensibles o tratamiento a gran escala, porque esas son las que probablemente gatillan la obligacion de hacer una EIPD segun el articulo 15 ter.
Al listar destinatarios y encargados va a descubrir el problema mas comun en Chile: proveedores SaaS que procesan sus datos sin un contrato de encargo firmado. Anote cada uno, porque de ahi sale la lista de contratos que hay que remediar. Vea como abordarlo en el pack de remediacion de DPA y en detalle sobre el contrato de encargo de tratamiento.
El RAT no es un documento que se hace una vez y se archiva. Se actualiza cuando aparece un proceso nuevo, un proveedor nuevo o un cambio de finalidad. Fije un responsable y una revision periodica.
El RAT dentro del cumplimiento de la ley
El RAT es la base, no el objetivo final. Una vez que tiene el inventario, sabe exactamente que tratamientos son de alto riesgo y necesitan una EIPD, y que proveedores requieren un contrato de encargo. Sin RAT, esos dos pasos se hacen a ciegas.
Nosotros somos un servicio de implementacion, no un estudio juridico. El RAT lo armamos con usted sobre la realidad operativa de su empresa y, cuando hay una duda legal, trabajamos junto a su asesor legal. Si quiere ver el recorrido completo, revise como cumplir la Ley 21.719.
La ley entra en vigencia el 1 de diciembre de 2026 y esa fecha es firme. Tener el RAT listo antes le da tiempo real para cerrar las brechas que el propio inventario deje al descubierto.
Plantilla base gratuita
Le dejamos una plantilla base del RAT en formato de planilla, con las columnas descritas arriba y filas de ejemplo ya llenas para RRHH, marketing y proveedores SaaS. Sirve como punto de partida para una empresa mediana y se adapta a su realidad.
La plantilla es un formato de trabajo, no un dictamen legal ni una garantia de cumplimiento por si sola. Es la primera herramienta: a partir de ella se decide que tratamientos necesitan una EIPD y que contratos hay que ordenar. Si prefiere que la llenemos con usted en una sesion de trabajo, esa es exactamente la manera en que empezamos cada proyecto.
Preguntas frecuentes
¿La Ley 21.719 obliga a tener un RAT?
La ley no menciona la sigla RAT en un articulo especifico, pero el deber de mantener este inventario se desprende del principio de responsabilidad y de la obligacion de poder acreditar cumplimiento. En la practica es indispensable: sin RAT no puede demostrar que sabe que datos trata ni sustentar una EIPD.
¿Cuál es la diferencia entre el RAT y la EIPD?
El RAT es el inventario de todos sus tratamientos. La EIPD (articulo 15 ter) es una evaluacion de impacto que solo se hace sobre los tratamientos de alto riesgo, gran escala, datos sensibles o decisiones automatizadas. El RAT le dice cuales son esos tratamientos; la EIPD los analiza en profundidad.
¿Qué campos debe tener como mínimo un RAT?
Finalidad, base de licitud, categorias de titulares, categorias de datos (separando los sensibles), destinatarios y encargados, transferencias internacionales, plazo de conservacion y medidas de seguridad. Recuerde que en Chile la situacion socioeconomica se clasifica como dato sensible.
¿Sirve la plantilla gratuita por sí sola para cumplir la ley?
Es el punto de partida, no el punto de llegada. La plantilla le ordena la informacion, pero cumplir la ley exige actuar sobre lo que revela: hacer las EIPD que correspondan y firmar los contratos de encargo con sus proveedores. Somos implementacion, no un estudio juridico, y en las dudas legales trabajamos junto a su asesor legal.