addyra · Columna de opinión.
Sobre el Registro de Actividades de Tratamiento.
Kevin Villamizar Pérez – Director de Riesgo y Cumplimiento de addyra.
El Registro de Actividades de Tratamiento, conocido habitualmente como RAT (o RoPA por ser el equivalente en inglés) tiene su origen práctico en los modelos modernos de protección de datos personales. Especialmente del estándar europeo del Reglamento General de Protección de Datos (GDPR) que incorpora el principio de accountability o responsabilidad proactiva como eje de su modelo de cumplimiento. El objetivo del mismo es documentar, de manera sistemática, ordenada y actualizada, las operaciones mediante una organización recolectan, usa, conserva, comunica, transfiere y elimina datos personales.
En el marco de la reforme integral introducida por la Ley 21.719 que modifica la Ley 19.628 y que entra en vigor el 01 de diciembre de 2026, la implementación del RAT se está convirtiendo en un pilar fundamental para el cumplimiento normativo en Chile.
Pero, ¿Por qué es importante contar con un RAT actualizado? En mi opinión, la importancia del RAT se puede desglosar en los siguientes puntos:
- Permite identificar y documentar los riesgos asociados a cada actividad de tratamiento, lo cual es clave para aplicar las medidas técnicas de seguridad proporcionales exigidas por la ley.
- Facilita la respuesta oportuna a los derechos ARCO/ARSOP al tener identificada la ubicación y flujo de los datos dentro de la organización.
- El RAT es la herramienta interna técnica que permite al responsable del tratamiento conocer con precisión qué datos posee y cómo los gestiona, facilitando la publicación de las políticas de privacidad requeridas por la Agencia de Protección de Datos
Algo bastante importante que destacar es que, si bien, no existe ninguna parte de la ley que los indique como obligatorio, es una medida necesaria para cumplir con los principios y obligaciones. Ahora bien, lo que sí indica la ley es que, en caso de implementar el Modelo de Prevención de Infracciones, sí deberá realizarse el Registro de Actividades de Tratamiento.
En relación con el contenido del RAT, es importante destacar que no existe todavía un reglamento que defina qué debe contener (este reglamento está en proceso), pero dado que es un documento heredado de la legislación europea, podemos identificar lo mínimo que debe contener:
- El tipo de datos personales que el responsable trata, indicando si incluye datos personales sensibles o datos que se encuentren dentro de las categorías especiales de datos que establece la ley.
- El ámbito territorial en que el responsable realiza el tratamiento de datos personales, de conformidad con lo establecido en el artículo 2 bis de la ley N° 19.628.
- Las categorías, clases o tipos de bases de datos que administra.
- La caracterización de las categorías de titulares de los datos personales que la entidad trata.
- Los fines de las operaciones de tratamiento que realiza.
- La fuente de la cual provienen los datos personales y, en su caso, si proceden de fuentes de acceso público.
- La base de licitud del tratamiento, y el interés legítimo cuando el tratamiento se base en lo dispuesto en el literal d) del artículo 13 de la ley 19.628.
- Las categorías de terceros a quienes se prevé comunicar o ceder los datos personales, incluidos los destinatarios en terceros países u organizaciones internacionales.
- La existencia de operaciones de transferencia internacional de datos, la identificación de dicho tercer país u organización internacional, y los medios a través de los que se da cumplimiento a lo dispuesto en el artículo 27 de la ley N° 19.628.
- Los plazos o condiciones previstos para la supresión de las diferentes categorías de datos.
- La existencia de decisiones automatizadas, incluida la elaboración de perfiles. Si el responsable realizare estas operaciones, deberá incluir información significativa sobre la lógica aplicada, así como las consecuencias previstas de dicho tratamiento para el titular.
Hacer un RAT no es un ejercicio difícil, el método práctico y paso a paso lo podríamos definir a continuación:
- Define el alcance primero, la profundidad después. Reúne a las áreas (RR.HH., ventas, marketing, operaciones, TI, proveedores) y lista todas las actividades que involucran datos personales antes de detallar ninguna. La meta es no dejar nada afuera: incluye lo cotidiano (nómina, facturación), lo esporádico (un reporte mensual de visitantes), los procesos automáticos (correo de bienvenida) y lo que hacen tus proveedores por encargo tuyo.
- Documenta cada actividad con los 8 campos mínimos de la ley: responsable y su contacto; finalidad y base de licitud; categorías de titulares y de datos; transferencias internacionales y sus garantías; fuente de los datos; plazo de conservación; medidas de seguridad; y existencia de decisiones automatizadas o perfiles.
- Calibra el nivel de detalle. Ni tan general que no puedas evaluar riesgos, ni tan granular que sea inmanejable. La regla: documenta lo necesario para poder analizar el riesgo de cada tratamiento después.
- Analiza el riesgo. Marca los tratamientos sensibles (salud, biometría, menores, datos financieros) — esos requerirán Evaluación de Impacto y medidas reforzadas.
Finalmente, es importante recordar que el RAT no es un documento de una sola vez, sino que se debe actualizar cada vez que cambia un proceso, entra un proveedor o se crea un nuevo tratamiento.