El gerente de operaciones puso sobre la mesa un archivo de 340 filas. “Ahí está el RAT”, dijo. Le hice una sola pregunta: si mañana un cliente pide que eliminemos sus datos, ¿esta planilla nos dice dónde están? Silencio. Después, la respuesta honesta: “solo dice dónde estaban en marzo”.

Ese es el problema. No el archivo. La idea de que el Registro de Actividades de Tratamiento es un archivo.

Empecemos por lo incómodo

A diferencia del reglamento europeo, la Ley 21.719 no menciona de forma literal la obligación de tener un RAT. Solo aparece con ese nombre en el reglamento de los Modelos de Prevención de Infracciones, de adopción voluntaria. Si usted armó el suyo para tachar una casilla, acaba de descubrir que la casilla no existe.

Lo que sí existe es el artículo 14 ter de la Ley 19.628, reformada por la 21.719: obliga a mantener permanentemente a disposición del público qué categorías de datos trata, sobre quiénes, con qué finalidad, bajo qué base de legitimidad, por cuánto tiempo, de qué fuente, a quién se los cede y si hay decisiones automatizadas de por medio.

Eso no se publica desde la intuición: se publica desde un inventario, y ese inventario es el RAT. Si el catálogo dice que usted conserva datos de postulantes por 12 meses y en su servidor hay currículums de 2019, esa contradicción no la va a encontrar un fiscalizador. La va a encontrar cualquiera con dos pestañas abiertas.

¿Por qué el Excel falla?

Tres fracasos que se repiten. El que se hizo una vez: nace completo y muere a los noventa días, después de un CRM nuevo, un chatbot con IA y una campaña que capturó 8.000 correos. El que hizo el área legal sola:legal no puede inventariar lo que no ve, y los tratamientos ocurren donde legal no está. El copiado de una plantilla europea: cita el artículo 30 del RGPD y omite justo lo que el 14 ter obliga a publicar.

Qué es entonces.

El RAT es el mapa operativo de cómo su organización usa los datos de las personas. Con dueño, no con autor. Con gatillantes definidos: si entra un proveedor que accede a datos, se actualiza antes de firmar, no en la próxima auditoría. Y es la pieza de la que dependen las demás obligaciones: sin él no hay cómo responder una solicitud de supresión dentro de plazo, ni notificar una brecha con información útil.

Sobre el calendario.

El Senado rechazó en mayo la terna de consejeros de la Agencia y, según Diario Financiero, el Ejecutivo evalúa una moción para modificar la ley. Puede que la fecha se mueva, pero el trabajo real toma entre seis y nueve meses: un aplazamiento no le regala tiempo, apenas le devuelve el que ya perdió.

Y la razón para tener el mapa nunca fue la multa. Es que hoy, si le preguntan dónde están los datos de una persona, usted no lo sabe. Eso ya es un problema de gestión, con Agencia o sin ella.

En addyra partimos siempre por lo mismo, y no es la planilla: sentarse con las áreas que tratan datos y levantar los procesos reales. El archivo es la última consecuencia de un proceso, no el primer entregable.

Si su organización ya tiene un RAT, hágale una prueba: elija un tratamiento al azar, llame al responsable del área y pregúntele si lo que dice la fila coincide con lo que hace su equipo hoy.