La Ley 21.719 de Chile no nombra el «registro de actividades de tratamiento» ni lo exige como documento. Lo que sí obliga es el artículo 14 ter: publicar y mantener disponible el detalle de qué datos tratas, con qué finalidad, bajo qué base de licitud, a quién los cedes y por cuánto tiempo. El RAT es la herramienta para poder responder eso.
Lo esencial en 30 segundos
- El RAT inventaría todas las actividades en que tratas datos personales.
- La ley chilena no lo exige con ese nombre: el deber está en el artículo 14 ter, que obliga a publicar esa misma información.
- Es una pieza central de la responsabilidad proactiva y de lo primero que pide una fiscalización.
- Debe tener, como mínimo, 9 columnas (las ves más abajo).
- Lo difícil no es crearlo, es mantenerlo vivo: alguien debe actualizarlo cuando cambia un proceso.
Si solo pudieras hacer una cosa para empezar a cumplir la Ley 21.719, sería esta: saber qué datos tratas. No puedes proteger —ni declarar ante la Agencia— lo que no sabes que tienes. Ese inventario, ordenado y mantenido, es el Registro de Actividades de Tratamiento (RAT). Forma parte del checklist de cumplimiento (frente nº 2) y es la base sobre la que se apoya todo lo demás. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.
Qué es el RAT
El Registro de Actividades de Tratamiento es el documento que lista, una por una, las actividades en que tu organización trata datos personales —desde la nómina de trabajadores hasta el formulario de contacto de la web— y describe, para cada una, qué datos involucra, para qué, con qué base legal, con quién se comparten y cómo se protegen. Es, en la práctica, el mapa de tus datos.
¿Es obligatorio el RAT?
Conviene ser exacto, porque aquí es donde más se confunde la Ley 21.719 con el reglamento europeo. La ley chilena no menciona el «registro de actividades de tratamiento» y no lo impone como documento. El RAT con ese nombre y esa forma viene del artículo 30 del RGPD, que no rige en Chile.
Lo que sí es obligatorio, y de forma bastante más exigente de lo que suele leerse, es el artículo 14 ter: el responsable debe facilitar y mantener permanentemente a disposición del público, en su sitio web o medio equivalente, las categorías, clases o tipos de datos que trata; la descripción genérica del universo de personas de sus bases; los destinatarios a los que prevé comunicar o ceder los datos; las finalidades de cada tratamiento; la base de legitimidad de cada uno —y, si es interés legítimo, cuál es—; el periodo de conservación; la fuente de los datos; las transferencias internacionales y si el país de destino ofrece nivel adecuado; y la existencia de decisiones automatizadas con la lógica aplicada.
Esa lista es, casi columna por columna, un RAT. La diferencia es la dirección: el artículo 14 ter obliga a publicarlo hacia afuera, no solo a tenerlo guardado. Y no se puede publicar lo que no se ha inventariado. A eso se suma el artículo 14 letra a), que obliga a informar y poner a disposición del titular los antecedentes que acrediten la licitud del tratamiento, y a entregarlos de manera expedita cuando se los requieran.
Así que la respuesta honesta es: el RAT no es obligatorio como formulario, pero sin él no hay manera de cumplir el artículo 14 ter ni de responder una fiscalización. Es el insumo, no el trámite.
Qué columnas debe tener (plantilla de campos)
Un RAT útil tiene, como mínimo, estas columnas. Puedes partir en una planilla con esta estructura:
| Campo del RAT | Qué registrar | Deber legal que sostiene |
|---|---|---|
| Actividad o proceso | Nombre del tratamiento, por ejemplo «Gestión de nómina» o «Marketing por correo». | Artículo 14 ter letra d): finalidades de los tratamientos que realiza |
| Finalidad | Para qué se usan los datos en esa actividad, en términos específicos y explícitos. | Artículo 14 letra b) y artículo 14 ter letra d) |
| Categorías de datos | Qué tipos de datos incluye y si hay datos sensibles del artículo 2 letra g). | Artículo 14 ter letra d): categorías, clases o tipos de datos |
| Universo de titulares | Descripción genérica de las personas que componen la base: clientes, trabajadores, postulantes. | Artículo 14 ter letra d): descripción genérica del universo de personas |
| Base de licitud | Consentimiento del artículo 12 o alguna de las causales del artículo 13, indicada una por una. | Artículo 14 ter letra d): base de legitimidad del tratamiento |
| Destinatarios | A quién se comunican o ceden los datos, incluidos encargados del artículo 15 bis. | Artículo 14 ter letra d): destinatarios a los que se prevé ceder |
| Transferencias internacionales | País u organización de destino y si ofrece nivel adecuado de protección. | Artículo 14 ter letra h) |
| Plazo de conservación | Cuánto tiempo se conservan los datos y qué gatilla su supresión o anonimización. | Artículo 14 ter letra i) |
| Origen de los datos | De dónde provienen y si son de fuentes de acceso público. | Artículo 14 ter letra j) |
| Decisiones automatizadas | Si hay perfilamiento o decisiones automatizadas, con la lógica aplicada y sus consecuencias. | Artículo 14 ter letra l) |
| Medidas de seguridad | Controles técnicos y organizativos aplicados a esa base. | Artículos 14 quinquies y 14 ter letra e) |
Cómo construirlo paso a paso
- Identifica las áreas que tratan datos: RR. HH., ventas, marketing, finanzas, atención, TI. Entrevista a cada una.
- Lista las actividades de cada área (una fila por actividad). No busques perfección: busca cobertura.
- Completa las 9 columnas para cada actividad. Donde no sepas la base de licitud, márcala como pendiente y resuélvela después.
- Marca los datos sensibles y las transferencias internacionales: son los de mayor riesgo y los que más atención piden.
- Detecta los huecos: tratamientos sin base, sin plazo de conservación o con terceros sin contrato (DPA). Esa es tu lista de remediación.
- Asigna un responsable de mantener el RAT y una frecuencia de revisión.
Errores comunes
- Hacerlo una vez y archivarlo. Un RAT desactualizado es casi tan malo como no tenerlo.
- Olvidar los tratamientos “invisibles”: cámaras de seguridad, cookies del sitio, planillas en computadores personales, formularios antiguos.
- Confundir finalidad con base de licitud. La finalidad es el “para qué”; la base es el “qué lo permite legalmente”.
- No registrar a los encargados (proveedores que tratan datos por ti): siguen siendo tu responsabilidad.
Cómo mantenerlo vivo
El RAT no es un entregable de una sola vez: cada vez que se crea un proceso, se contrata un proveedor o se lanza una campaña, debería actualizarse. Lo más sano es integrarlo a la operación —que abrir un nuevo tratamiento incluya “actualizar el RAT” como paso— y revisarlo de forma periódica. En organizaciones con muchos tratamientos, una herramienta especializada ayuda a sostener la trazabilidad y a generar evidencia para la Agencia.
¿Quieres tu RAT levantado y sin huecos?
Te ayudamos a construir el Registro de Actividades de Tratamiento y a cerrar las brechas que revele. Empieza con un diagnóstico de 30 minutos, sin compromiso.
Solicitar diagnósticoPreguntas frecuentes
¿Qué es el Registro de Actividades de Tratamiento (RAT)?
Es el documento que inventaría todas las actividades en que la organización trata datos personales: qué datos, con qué finalidad, sobre qué base de licitud, con quién se comparten y con qué medidas de seguridad. Es la base sobre la que se apoya todo el programa de cumplimiento de la Ley 21.719.
¿Es obligatorio el RAT?
El registro de las actividades de tratamiento es una pieza central de la responsabilidad proactiva que exige la ley. Mantenerlo actualizado es la forma de demostrar ante la Agencia qué datos se tratan y bajo qué condiciones, y suele ser uno de los primeros documentos que se solicitan en una fiscalización.
¿Qué columnas debe tener un RAT?
Como mínimo: actividad o proceso, finalidad, categorías de datos, categorías de titulares, base de licitud, destinatarios y encargados, transferencias internacionales, plazo de conservación y medidas de seguridad.
¿Se puede hacer el RAT en una planilla Excel?
Sí, una planilla sirve para empezar y para organizaciones pequeñas. El problema no es el formato sino mantenerlo vivo: debe actualizarse cuando cambia un proceso. En organizaciones con muchos tratamientos, una herramienta especializada facilita la trazabilidad y la evidencia.
¿La Ley 21.719 obliga a llevar un registro de actividades de tratamiento?
No con ese nombre. La Ley 21.719 no menciona el «registro de actividades de tratamiento»: ese documento proviene del artículo 30 del RGPD europeo. Lo que la ley chilena sí impone es el deber de información y transparencia del artículo 14 ter, que exige publicar prácticamente la misma información.
¿Entonces para qué sirve hacer un RAT en Chile?
Para poder cumplir el artículo 14 ter de la Ley 21.719. Ese artículo obliga a mantener permanentemente disponible al público el detalle de categorías de datos, finalidades, base de legitimidad, destinatarios, plazo de conservación y origen. No se puede publicar un inventario que no se ha levantado antes.
¿Qué información exige publicar el artículo 14 ter?
La política de tratamiento con su fecha y versión, la individualización del responsable, el medio de contacto para solicitudes, las categorías de datos y de titulares, los destinatarios, las finalidades, la base de legitimidad, las medidas de seguridad, las transferencias internacionales, el plazo de conservación, el origen de los datos y la existencia de decisiones automatizadas.
¿El RAT hay que publicarlo o basta con tenerlo interno?
El RAT como planilla interna no se publica. Lo que el artículo 14 ter de la Ley 21.719 obliga a mantener permanentemente a disposición del público, en el sitio web o medio equivalente, es la información que ese inventario contiene, redactada para el titular. El documento de trabajo y la publicación son piezas distintas.
¿Sirve una planilla de cálculo para llevar el RAT?
Sí. Ni la Ley 21.719 ni sus deberes de transparencia imponen formato, herramienta ni soporte. Lo que importa es que la información del artículo 14 ter esté completa, actualizada y sea trazable. Para una organización pequeña una planilla bien mantenida basta; el problema aparece cuando nadie la actualiza.
¿Qué pasa si no tengo esta información levantada?
El incumplimiento se ancla en el deber de información. El artículo 34 bis letra a) de la Ley 21.719 califica como infracción leve el incumplimiento del deber de información y transparencia del artículo 14 ter, sancionable con amonestación escrita o multa de hasta 5.000 unidades tributarias mensuales según el artículo 35.
Fuentes oficiales
- Ley 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales — texto oficial, Biblioteca del Congreso Nacional
- Artículo 14 ter (deber de información y transparencia) y artículo 14 (obligaciones del responsable) — texto refundido vigente desde el 1 de diciembre de 2026
Este artículo tiene fines informativos y no constituye asesoría legal para un caso particular.