En Chile no existe un formato oficial de RAT. La Ley 21.719 no lo nombra, y el Decreto 662 solo enumera, en su artículo 3 letra d), once datos que debe contener la caracterización de los tratamientos, que «podrá realizarse a través de un registro de actividades de tratamiento». Una plantilla útil lleva esas once columnas, más tres de identificación y cuatro de gestión.
Lo esencial en 30 segundos
- No hay formato oficial: ni la ley ni el Decreto 662 fijan una planilla. Lo que existe es una lista de once datos mínimos.
- Esos once datos están en el artículo 3 letra d) del Decreto 662 y son exigibles a quien adopta un programa de cumplimiento, que es voluntario.
- Para todos los demás, el deber es el del artículo 14 ter: publicar buena parte de esa misma información.
- La plantilla de este artículo tiene 18 columnas: 3 de identificación, 11 del decreto y 4 de gestión.
- Se llena una fila por actividad de tratamiento, no una por sistema ni por base de datos.
Quien busca una plantilla de RAT suele encontrar formatos europeos traducidos. Sirven para ordenarse, pero están pensados para el artículo 30 del RGPD, que no rige en Chile, y dejan fuera lo que sí pide la norma chilena: el ámbito territorial, la fuente de los datos y las bases de licitud de los artículos 12 y 13. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.
Este artículo entrega un formato construido al revés: partiendo del texto chileno. Explica de dónde sale cada columna, muestra tres actividades completas y deja el archivo en Excel para descargar. Si todavía no tienes claro qué es un RAT o si te obliga, empieza por qué es el RAT y cómo se construye; aquí vamos directo al formato.
¿Existe un formato oficial de RAT en Chile?
No. La Ley 21.719 no menciona el registro de actividades de tratamiento en ninguno de sus artículos. El nombre viene del artículo 30 del RGPD europeo y se instaló en Chile por costumbre profesional, no por mandato legal.
La norma chilena que sí lo nombra es el Decreto 662, publicado en el Diario Oficial el 9 de septiembre de 2026. Su artículo 3 letra d) exige que el programa de cumplimiento contenga una caracterización de las operaciones de tratamiento con once datos mínimos, y cierra con una frase breve: «Esta caracterización podrá realizarse a través de un registro de actividades de tratamiento».
Dos precisiones evitan leer de más. La primera: el decreto regula el modelo de prevención de infracciones, que según el artículo 49 de la ley se adopta de forma voluntaria. Los once datos obligan a quien decide tener ese programa, no a todas las empresas. La segunda: el decreto dice qué información debe estar, no en qué formato. Una planilla, una base de datos o una herramienta especializada cumplen igual.
Lo que sí alcanza a todos es el artículo 14 ter de la ley, que desde el 1 de diciembre de 2026 obliga a mantener publicada buena parte de esa misma información. Por eso la lista del decreto es hoy la mejor referencia oficial para armar un RAT, la adoptes o no como programa certificable.
¿Qué columnas debe tener la plantilla?
Dieciocho. Tres identifican la fila, once reproducen los datos del artículo 3 letra d) del Decreto 662 y cuatro son de gestión: no las exige ninguna norma con ese nombre, pero sin ellas el registro no sirve para trabajar. La tabla indica qué anotar en cada una y qué artículo la respalda; las tres de identificación van juntas en la primera fila.
| Columna | Qué anotar | Norma que la respalda |
|---|---|---|
| Actividad, área y responsable interno | Nombre del tratamiento en lenguaje del negocio, el área que lo ejecuta y la persona que responde por él. | Identificación. No la exige una norma; permite saber a quién preguntar. |
| Tipo de datos personales | Qué datos se tratan y si incluyen datos sensibles (salud, biométricos) o categorías especiales (niños, niñas y adolescentes, geolocalización). | Decreto 662, art. 3 letra d) número i; ley, art. 14 ter letra d) |
| Ámbito territorial | Dónde se realiza el tratamiento y por qué queda bajo la ley chilena. | Decreto 662, número ii; ley, art. 1 bis |
| Bases de datos | En qué sistemas, planillas o archivos viven los datos de esa actividad. | Decreto 662, número iii |
| Categorías de titulares | A quiénes pertenecen los datos: clientes, trabajadores, postulantes, proveedores. | Decreto 662, número iv; ley, art. 14 ter letra d) |
| Fines del tratamiento | Para qué se usan los datos, de forma específica. «Gestión comercial» no basta. | Decreto 662, número v; ley, art. 3 letra b) y art. 14 ter letra d) |
| Fuente de los datos | De dónde provienen y si se tomaron de una fuente de acceso público. | Decreto 662, número vi; ley, art. 14 ter letra j) |
| Base de licitud | Consentimiento o la causal del artículo 13 que corresponda; para datos sensibles, las reglas de los artículos 16 a 16 ter. Si es interés legítimo, cuál es. | Decreto 662, número vii; ley, arts. 12, 13, 16 y 14 ter letra d) |
| Terceros destinatarios | A qué categorías de terceros se comunican o ceden los datos, dentro y fuera de Chile. | Decreto 662, número viii; ley, art. 14 ter letra d) |
| Transferencias internacionales | País u organización de destino y el mecanismo del artículo 27 que la ampara. | Decreto 662, número ix; ley, arts. 27 y 14 ter letra h) |
| Plazo o condición de supresión | Cuánto tiempo se conservan los datos y qué hecho gatilla su eliminación o anonimización. | Decreto 662, número x; ley, art. 3 letra c) y art. 14 ter letra i) |
| Decisiones automatizadas y perfiles | Si existen, con la lógica aplicada y las consecuencias previstas para el titular. | Decreto 662, número xi; ley, arts. 8 bis y 14 ter letra l) |
| Encargados y contrato | Proveedores que tratan los datos por cuenta de la empresa y si existe contrato firmado. | Gestión. Ley, art. 15 bis |
| Medidas de seguridad | Controles técnicos y organizativos aplicados a esa actividad. | Gestión. Ley, arts. 14 quinquies y 14 ter letra e) |
| ¿Requiere evaluación de impacto? | Sí, no o por evaluar, según los casos del artículo 15 ter. | Gestión. Ley, art. 15 ter |
| Última revisión | Fecha en que alguien confirmó que la fila sigue describiendo la realidad. | Gestión. Buena práctica, sin exigencia legal expresa |
Si comparas esta lista con una plantilla europea notarás tres diferencias. El ámbito territorial es una exigencia chilena: está en el artículo 49 letra c) de la ley y en el decreto. La fuente de los datos pesa más aquí, porque la ley somete a sus reglas incluso lo que se obtiene de fuentes de acceso público (artículo 2 letra i). Y las bases de licitud no son las seis del RGPD: el artículo 13 chileno tiene cinco causales distintas del consentimiento, una de ellas dedicada a las obligaciones económicas y comerciales.
Descarga la plantilla en Excel
El archivo trae cuatro hojas: las instrucciones, el registro en blanco con una fila de ejemplo, las tres actividades resueltas que verás más abajo y las listas desplegables con las bases de licitud de la ley. No pide correo ni registro.
Plantilla de RAT para la Ley 21.719 (Excel)
Dieciocho columnas alineadas con el artículo 3 letra d) del Decreto 662 y el artículo 14 ter de la ley. Incluye tres actividades de ejemplo y listas desplegables.
Descargar plantilla (.xlsx) Versión 1.0, octubre de 2026. Uso libre dentro de tu organización.Una advertencia honesta: la plantilla ordena la información, no la produce. El trabajo real está en las entrevistas con cada área y en decidir, fila por fila, cuál es la base de licitud.
Ejemplo de RAT resuelto: tres actividades
Tres tratamientos habituales en una empresa chilena. Están resumidos para caber en una tabla; en la planilla cada celda admite más detalle.
| Columna | Pago de remuneraciones | Formulario de contacto web | Boletín comercial por correo |
|---|---|---|---|
| Tipo de datos | Identificación, contacto, cuenta bancaria y datos previsionales. Sensibles si se registran licencias médicas o cuotas sindicales. | Nombre, correo, teléfono, empresa y el mensaje. Sin datos sensibles. | Nombre, correo e historial de aperturas y clics. Sin datos sensibles. |
| Titulares | Trabajadores y extrabajadores. | Personas que piden información. | Suscriptores. |
| Fines | Pagar remuneraciones y cotizaciones; cumplir obligaciones laborales y previsionales. | Responder la consulta y preparar una propuesta. | Enviar novedades y ofertas. |
| Fuente | El propio trabajador y los organismos previsionales. | El propio titular. | El propio titular, al suscribirse. |
| Base de licitud | Contrato con el titular (art. 13 letra c) y obligación legal (art. 13 letra b). Datos sensibles: art. 16 letra e) y, en salud, art. 16 bis. | Medidas precontractuales si la persona contrataría a título personal (art. 13 letra c); interés legítimo si escribe por su empresa (art. 13 letra d). | Consentimiento (art. 12). |
| Destinatarios | Organismos previsionales y tributarios; banco pagador. | No se comunican a terceros. | No se comunican a terceros. |
| Transferencias internacionales | Solo si el sistema de remuneraciones aloja los datos fuera de Chile. | Sí, si el CRM o el servicio de formularios opera desde el extranjero. | Sí, si la plataforma de envío opera desde el extranjero. |
| Supresión | Al terminar la relación laboral y vencer los plazos legales de conservación. | Datos obtenidos para medidas precontractuales: suprimir o anonimizar (art. 14 letra d). En los demás casos, cuando dejen de ser necesarios (art. 3 letra c de la ley). | Al revocar el consentimiento o darse de baja, si no hay otro fundamento (arts. 7 letra b y 3 letra c de la ley). |
| Decisiones automatizadas | No. | No. | Sí: segmentación según aperturas y clics. Sin efectos jurídicos. |
| Encargados | Proveedor del sistema de remuneraciones. | Proveedor del CRM o del formulario. | Plataforma de envío de correos. |
Tres detalles de este ejemplo suelen pasarse por alto. El primero está en los datos sensibles de la nómina. Las licencias médicas son datos de salud, y el artículo 16 bis prohíbe tratar datos de salud recolectados en el ámbito laboral salvo que la ley lo autorice expresamente en casos calificados y se refiera a alguno de los casos de ese mismo artículo. El descuento de la cuota sindical revela afiliación sindical, que también es dato sensible (artículo 2 letra g): su tratamiento sin consentimiento se apoya en el artículo 16 letra e), que cubre las obligaciones del ámbito laboral y de seguridad social cumplidas en el marco de la ley. En ambos casos conviene anotar en la fila la norma concreta, no solo «obligación legal». Evalúa también si la remuneración, por sí sola, revela la situación socioeconómica del trabajador, que el artículo 2 letra g) incluye entre los datos sensibles. El tema completo está en la guía de datos de trabajadores.
El segundo está en el formulario de contacto. El artículo 14 letra d) obliga a suprimir o anonimizar los datos obtenidos para medidas precontractuales: si la conversación no termina en contrato, guardar ese contacto «por si acaso» durante años no tiene base. Y cuando quien escribe lo hace por cuenta de su empresa, la base ya no es esa sino el interés legítimo, como explicamos en la ley y las empresas B2B; ahí el límite de conservación lo pone el artículo 3 letra c) de la ley.
El tercero está en el boletín. Segmentar por comportamiento es elaborar perfiles en los términos del artículo 2 letra w), y el número xi del decreto pide registrarlo aunque no produzca efectos jurídicos. Además, el titular puede oponerse al tratamiento con fines de marketing directo (artículo 8 letra b).
¿Cómo se llena paso a paso?
El orden importa. Llenar columna por columna para toda la empresa produce un registro prolijo y falso. Funciona mejor avanzar actividad por actividad, con la persona que la ejecuta sentada al frente.
- Lista las actividades por área. Una fila por actividad, no por sistema: «selección de personal» es una actividad aunque use tres herramientas.
- Completa primero los fines y los datos. Son las dos columnas que el área conoce de memoria y de las que dependen todas las demás.
- Asigna la base de licitud al final de la entrevista, no al principio. Si nadie sabe cuál es, escribe «pendiente»: es un hallazgo, no un error del registro.
- Sigue el dato hacia afuera. Pregunta a quién se envía, qué proveedor lo aloja y en qué país. Ahí aparecen los encargados sin contrato y las transferencias internacionales.
- Fija la supresión con un hecho, no con un número suelto. «Seis meses después de cerrado el proceso de selección» se puede ejecutar; «el tiempo necesario» no.
- Marca las filas de riesgo. Datos sensibles, menores, perfiles con efectos, tratamientos a gran escala y monitoreo de zonas de acceso público: son las candidatas a evaluación de impacto.
Al terminar la primera vuelta, las celdas vacías y los «pendiente» forman tu plan de trabajo. Ese listado vale más que el registro completo, porque dice exactamente qué falta para cumplir.
¿Qué errores se repiten al completar un RAT?
Son pocos y casi siempre los mismos.
- Poner «consentimiento» en todas las filas. El consentimiento se puede revocar en cualquier momento (artículo 12). Si el tratamiento es necesario para ejecutar un contrato o cumplir una ley, esa es la base, y usar la otra te deja sin piso el día que alguien lo retire.
- Confundir fin con base de licitud. El fin es para qué usas el dato; la base es qué norma te permite usarlo.
- Escribir «indefinido» en la supresión. El artículo 3 letra c) de la ley solo permite conservar los datos por el tiempo necesario para el fin. Un plazo mayor requiere autorización legal o consentimiento del titular.
- Tratar al proveedor como destinatario. Quien aloja o procesa datos por tu cuenta es un encargado del artículo 15 bis, no un tercero al que se los cedes. Va en otra columna y necesita contrato.
- Olvidar lo que no parece un sistema. Cámaras, planillas compartidas, grupos de mensajería, formularios antiguos y respaldos también son tratamientos.
¿Qué parte del RAT hay que publicar?
El registro completo es un documento interno. Pero el artículo 14 ter obliga a mantener «permanentemente a disposición del público», en el sitio web o un medio equivalente, una versión agregada de varias de sus columnas:
- Categorías de datos, universo de personas, destinatarios, finalidades y base de legitimidad, con el interés legítimo cuando corresponda (letra d).
- Política y medidas de seguridad adoptadas para proteger las bases de datos (letra e).
- Transferencias a terceros países y si ofrecen o no un nivel adecuado de protección (letra h).
- Periodo durante el que se conservarán los datos (letra i).
- Fuente de la que provienen y si es de acceso público (letra j).
- Existencia de decisiones automatizadas y perfiles, con la lógica aplicada y sus consecuencias (letra l).
En la práctica, el RAT es el insumo y la política de privacidad es la salida. Si la política dice algo que el registro no respalda, el problema no es de redacción. Incumplir este deber de información, total o parcialmente, es infracción leve según el artículo 34 bis letra a), con amonestación escrita o multa de hasta 5.000 UTM.
¿Hasta cuándo sirve una planilla?
Hasta que deja de estar al día. Una planilla funciona bien con algunas decenas de actividades y una persona que la cuida. Empieza a fallar cuando varias áreas la editan, cuando hay que demostrar quién cambió qué y cuándo, o cuando el registro debe conectarse con las solicitudes de derechos, los contratos con encargados y las evaluaciones de impacto.
En ese punto conviene una herramienta que mantenga la trazabilidad. La decisión no es técnica sino de volumen: si tu organización trata datos de cientos de miles de personas en decenas de sistemas, revisa cómo se implementa una plataforma de privacidad en Chile. Si recién partes, la planilla basta y es mejor empezar hoy con ella que esperar la herramienta perfecta.
¿Quieres el RAT levantado y sin celdas pendientes?
Entrevistamos a tus áreas, completamos el registro contigo y te entregamos la lista de brechas que revela: tratamientos sin base de licitud, encargados sin contrato y plazos de conservación sin definir.
Solicitar diagnósticoPreguntas frecuentes
¿Existe un formato oficial de RAT en Chile?
No. La Ley 21.719 no menciona el registro de actividades de tratamiento y el Decreto 662 no fija un formato. Su artículo 3 letra d) solo enumera once datos mínimos de la caracterización de los tratamientos y agrega que esa caracterización «podrá realizarse a través de un registro de actividades de tratamiento».
¿Qué columnas debe tener un RAT en Chile?
Las once del artículo 3 letra d) del Decreto 662, que son el mínimo para quien adopta un programa de cumplimiento y la mejor referencia para los demás: tipo de datos, ámbito territorial, bases de datos, categorías de titulares, fines, fuente, base de licitud, terceros destinatarios, transferencias internacionales, supresión y decisiones automatizadas. Conviene sumar actividad, área responsable, encargados, medidas de seguridad, evaluación de impacto y fecha de revisión.
¿El RAT es obligatorio en Chile?
No. La ley no menciona el RAT: obliga a publicar la información del artículo 14 ter, que coincide en gran parte con la de un registro. El Decreto 662 exige la caracterización de los tratamientos solo a quien adopta un programa de cumplimiento, que es voluntario. En los hechos, sin un registro no hay forma ordenada de cumplir ninguna de las dos cosas.
¿Cuál es la diferencia entre RAT y RoPA?
Ninguna de fondo. RoPA es la sigla en inglés de Records of Processing Activities, el registro del artículo 30 del RGPD europeo. RAT es su traducción habitual al español. En Chile se usan los dos nombres para el mismo documento.
¿Cuántas filas debe tener un RAT?
Una por actividad de tratamiento, no una por sistema ni por base de datos. No hay un número correcto: depende de cuántos procesos distintos usan datos personales. Si el registro tiene tantas filas como sistemas, es señal de que está registrando herramientas y no actividades.
¿Cada cuánto se actualiza el RAT?
La ley no fija una periodicidad. El artículo 14 ter exige mantener la información «permanentemente» a disposición del público, de modo que el registro debe actualizarse cada vez que cambia un proceso, se contrata un proveedor o se inicia un tratamiento nuevo. Una revisión completa al año es una práctica razonable.
¿Sirve una plantilla de RAT del RGPD europeo?
Sirve como punto de partida, pero no calza con la norma chilena. Le faltan el ámbito territorial y la fuente de los datos que pide el Decreto 662, y sus bases de licitud son las del RGPD, no las de los artículos 12 y 13 de la ley chilena.
¿El encargado del tratamiento también necesita un RAT?
La ley no se lo exige con ese nombre. El artículo 15 bis le impone tratar los datos solo conforme a las instrucciones del responsable, guardar secreto y aplicar medidas de seguridad. Para demostrarlo necesita saber qué datos trata, de qué cliente y para qué, y eso se ordena igual con un registro.
¿Esta plantilla sirve para certificar un modelo de prevención de infracciones?
Cubre uno de los elementos: la caracterización de la letra d) del artículo 3 del Decreto 662. El programa de cumplimiento exige además, entre otros elementos, designar un delegado de protección de datos, una matriz de riesgos, protocolos, mecanismos de reporte y denuncia, y sanciones internas.
Fuentes oficiales
- Decreto 662, Ministerio de Hacienda — texto oficial, Biblioteca del Congreso Nacional
- Ley 19.628 consolidada con las modificaciones de la Ley 21.719 (vigente desde el 1 de diciembre de 2026)
- Ley 21.719 — texto publicado, Biblioteca del Congreso Nacional
Este artículo tiene fines informativos y no constituye asesoría legal para un caso particular.