¿Sabes qué es el RAT? El registro que la ley no nombra, pero igual exige
La Ley 21.719 no usa la palabra "RAT" en ningún artículo. Pero, en la práctica, te obliga a construir exactamente eso.
Si trabajas en compliance o protección de datos, probablemente ya escuchaste el término "RAT" —Registro de Actividades de Tratamiento— tomado de estándares como el reglamento europeo. La pregunta que se hacen muchas empresas chilenas es simple: ¿la Ley 21.719 obliga a tener uno? La respuesta, según la propia guía de implementación de la Secretaría de Gobierno Digital (SGD), es más matizada de lo que parece.
"La nueva normativa no establece expresamente la obligación de contar con un registro de actividades de tratamiento (o 'RAT'), como sí lo hacen las normas de otros países. Sin embargo, el artículo 14 ter, en sus literales d), i) y j) establece una serie de información que los responsables de datos deberán publicar respecto de los tratamientos específicos que realicen."
En otras palabras: la ley no exige un documento con ese nombre exacto, pero sí exige mantener y publicar la misma información que un RAT contiene. La SGD llama a este instrumento "Catálogo de datos personales", y recomienda construirlo como la forma más ordenada de cumplir la obligación.
Categorías de datos
Qué tipos de datos tratas: nombre, RUT, correo, salud, ubicación, etc.
Universo de titulares
Descripción genérica de a quiénes pertenecen esos datos: clientes, trabajadores, postulantes.
Destinatarios
A quién se comunican o ceden los datos, incluidos terceros y proveedores.
Finalidades
Los fines específicos, explícitos y lícitos para los que se tratan, según el principio de finalidad.
Base de legitimidad
Qué habilita el tratamiento: consentimiento, contrato, obligación legal o interés legítimo.
Plazo de conservación
Cuánto tiempo se conservan los datos antes de eliminarlos o archivarlos.
Fuente de procedencia
De dónde provienen los datos y si corresponden a fuentes de acceso público.
El RAT/Catálogo cambia cada vez que tu empresa incorpora un nuevo proveedor, lanza un producto que trata datos de forma distinta o modifica un sistema. Mantenerlo actualizado es una responsabilidad operativa permanente, no un trámite que se archiva. La guía de la SGD sugiere elaborarlo a partir de una matriz de levantamiento previa, donde cada área de la organización aporta el detalle de los datos que administra.
El RAT no es solo un documento para cumplir una norma: es la evidencia que tu empresa presenta primero ante una fiscalización. Si la Agencia pregunta qué datos tratas, con qué base y por cuánto tiempo, este catálogo es la respuesta. Sin él, cada consulta se convierte en una investigación interna urgente.
ARCO Legal mantiene tu catálogo de tratamientos actualizado y exportable, listo para mostrar ante cualquier solicitud o fiscalización.
Conoce ARCO Legal →Fuentes
- Secretaría de Gobierno Digital (SGD), Ministerio Secretaría General de la Presidencia — "Guía Práctica para facilitar la implementación de la nueva Ley de Protección de Datos Personales", Sección 6: "Instrumento N°1. Catálogo de datos personales tratados por la institución". wikiguias.digital.gob.cl
- Ley N° 19.628 reformada, Artículo 14 ter, Deber de información y transparencia — Biblioteca del Congreso Nacional de Chile (BCN). bcn.cl/leychile/navegar?idNorma=141599
- Ley N° 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales — Biblioteca del Congreso Nacional de Chile (BCN). bcn.cl/leychile/navegar?idNorma=1209272
