Inventario de tratamientos
Permite identificar procesos, sistemas, formularios, bases de datos y operaciones en las que se tratan datos personales.
Ley 21.719 · Decreto N.º 662 · RAT
Registro de Actividades de Tratamiento (RAT) para la Ley 21.719
El Registro de Actividades de Tratamiento permite identificar, documentar y mantener trazabilidad sobre cómo una organización trata datos personales, con qué finalidad, bajo qué base de licitud, durante cuánto tiempo, con qué terceros y si existen transferencias internacionales o decisiones automatizadas.
El Reglamento del Modelo de Prevención de Infracciones establece que la caracterización de actividades de tratamiento puede realizarse mediante un RAT y detalla la información mínima que debe levantarse.
Actualizado: 9 de septiembre de 2026
Contenido de esta guía
¿Qué es un Registro de Actividades de Tratamiento?
El RAT es una herramienta de gobierno y cumplimiento que permite responder, con evidencia, qué datos personales trata la organización, dónde se encuentran, para qué se utilizan, quiénes intervienen y qué riesgos deben gestionarse.
Base para la gestión de riesgos
Un RAT bien construido facilita identificar tratamientos que requieren mayor análisis, controles adicionales o una EIPD.
Evidencia de cumplimiento
Centraliza información clave sobre finalidades, bases de licitud, terceros, transferencias, conservación y decisiones automatizadas.
El RAT dentro del cumplimiento de la Ley 21.719
Implementar protección de datos sin conocer los tratamientos existentes deja a la organización sin una visión completa de sus riesgos, obligaciones y responsables.
Idea clave: el RAT no debe entenderse como una simple planilla.
Debe representar el tratamiento real de datos personales en procesos, sistemas,
proveedores, servicios cloud, formularios, contratos y bases de datos.
En la práctica, el RAT se convierte en una pieza central del programa de privacidad, porque permite relacionar cada tratamiento con su finalidad, base de licitud, riesgos, controles, responsables internos y terceros involucrados.
Relación entre el RAT y el Modelo de Prevención de Infracciones
El Decreto N.º 662 exige caracterizar las actividades de tratamiento dentro del programa de cumplimiento y señala expresamente que esa caracterización puede realizarse mediante un Registro de Actividades de Tratamiento.
Caracterización
El RAT documenta datos, titulares, finalidades, bases, terceros, transferencias, conservación y automatización.
Riesgos
Los tratamientos levantados permiten identificar aquellos procesos con mayor riesgo de infracción y alimentan la matriz de riesgos.
Controles
A partir del RAT se pueden definir protocolos, responsables, evidencias y medidas de mitigación específicas para cada tratamiento.
Para conocer el programa completo, revise nuestra página sobre Modelo de Prevención de Infracciones de la Ley 21.719 .
¿Qué campos debe contener un RAT?
El nuevo Reglamento entrega una pauta muy concreta para caracterizar las operaciones de tratamiento. Estos son los campos que recomendamos reflejar en el diseño del Registro de Actividades de Tratamiento.
| Campo | Qué registrar | Ejemplo |
|---|---|---|
| Proceso o actividad | Nombre del proceso donde ocurre el tratamiento. | Gestión de remuneraciones |
| Tipos de datos | Datos personales tratados y existencia de datos sensibles o categorías especiales. | Nombre, RUT, domicilio, remuneración, datos bancarios |
| Ámbito territorial | Lugar o jurisdicción en que se realiza el tratamiento. | Chile |
| Base o sistema | Base de datos, sistema, plataforma o repositorio utilizado. | ERP de remuneraciones / SaaS RR.HH. |
| Categoría de titulares | Tipo de personas cuyos datos son tratados. | Trabajadores y ex trabajadores |
| Finalidad | Objetivo específico del tratamiento. | Pago de remuneraciones y obligaciones laborales |
| Fuente de los datos | Origen de la información. | Titular, jefatura, sistema interno |
| Base de licitud | Fundamento que habilita el tratamiento. | Ejecución de relación contractual / obligación legal |
| Interés legítimo | Cuando corresponda, identificación del interés legítimo invocado. | No aplica |
| Destinatarios | Terceros a quienes se comunican o ceden datos. | Banco, Previred, proveedor de remuneraciones |
| Transferencia internacional | Existencia de transferencias a terceros países u organizaciones internacionales. | Proveedor cloud con infraestructura fuera de Chile |
| Mecanismo de transferencia | Medio utilizado para cumplir las exigencias legales aplicables. | Contrato / cláusulas / mecanismo aplicable |
| Conservación | Plazo o condición de supresión. | Según obligación laboral, tributaria y política interna |
| Decisiones automatizadas | Existencia de perfiles o decisiones automatizadas y su lógica relevante. | No aplica |
| Responsable interno | Área o rol propietario del tratamiento. | Gerencia de Personas |
Datos personales y categorías de titulares
El RAT debe permitir comprender qué información se utiliza y respecto de qué personas.
Datos personales
Identificación, contacto, antecedentes laborales, financieros, comerciales, registros de interacción y cualquier otra información asociada a una persona.
Datos sensibles y categorías especiales
Deben identificarse explícitamente cuando estén presentes, ya que suelen elevar el nivel de riesgo y pueden requerir controles adicionales.
Titulares
Trabajadores, candidatos, clientes, prospectos, usuarios, proveedores, contratistas, accionistas, visitantes u otras categorías de personas.
Finalidades y bases de licitud
Cada actividad de tratamiento debe asociarse a una finalidad concreta y al fundamento jurídico que permite realizarla.
Error frecuente: definir finalidades demasiado amplias como
“gestión comercial” o “administración”. El RAT debe describir con suficiente
precisión para qué se utilizan realmente los datos.
Finalidad
Responde a la pregunta: ¿para qué necesita la organización estos datos?
Base de licitud
Documenta cuál es el fundamento que habilita el tratamiento en cada caso.
Interés legítimo
Cuando el tratamiento se funde en interés legítimo, conviene relacionar el RAT con el análisis o LIA correspondiente.
Terceros, proveedores y transferencias internacionales
El RAT debe hacer visibles los flujos de datos que salen de la organización, especialmente cuando intervienen encargados, proveedores tecnológicos o servicios cloud.
- Identificar categorías de terceros receptores.
- Identificar encargados y proveedores relevantes.
- Determinar si los datos salen de Chile.
- Identificar el tercer país u organización internacional.
- Relacionar el tratamiento con el mecanismo jurídico aplicable.
- Revisar contratos y cláusulas de protección de datos.
Esta información será especialmente útil al desarrollar una futura Evaluación de Transferencias Internacionales (TIA) .
Plazos de conservación y supresión
El RAT debe registrar los plazos o condiciones previstas para la supresión de las distintas categorías de datos personales.
Obligaciones legales
Identificar plazos derivados de obligaciones laborales, tributarias, contractuales o regulatorias.
Necesidad del tratamiento
Evitar conservar datos indefinidamente cuando ya no existe una finalidad que justifique su utilización.
Política de retención
Relacionar el RAT con reglas internas de archivo, eliminación, anonimización y conservación documental.
Decisiones automatizadas y elaboración de perfiles
El Decreto 662 incluye expresamente este punto dentro de la caracterización de tratamientos.
Cuando una organización realice decisiones automatizadas o elaboración de perfiles, el RAT debe permitir identificar su existencia y registrar información significativa sobre la lógica aplicada y las consecuencias previstas para el titular.
Esto es especialmente relevante en procesos de scoring, fraude, selección de personal,
segmentación comercial, personalización, evaluación automatizada y sistemas de IA.
Ejemplo simplificado de un Registro de Actividades de Tratamiento
El siguiente ejemplo muestra cómo puede organizarse una actividad de tratamiento. En un proyecto real, el nivel de detalle será mayor.
| Proceso | Titulares | Datos | Finalidad | Base | Terceros | Transferencia | Conservación |
|---|---|---|---|---|---|---|---|
| Selección de personal | Candidatos | Identificación, contacto, CV, experiencia | Evaluar postulaciones | Base aplicable según el caso | Plataforma de reclutamiento | Revisar ubicación del proveedor | Definir plazo y condición de eliminación |
| Gestión de clientes | Clientes y contactos | Nombre, correo, teléfono, empresa | Gestión contractual y comercial | Base aplicable según el caso | CRM / proveedor cloud | Puede existir | Según finalidad y obligaciones aplicables |
| Videovigilancia | Trabajadores y visitantes | Imagen | Seguridad física | Base aplicable según contexto | Proveedor de seguridad | No necesariamente | Plazo acotado conforme a política |
Cómo levantar un RAT en una organización
Recomendamos construirlo por procesos y áreas de negocio, involucrando a quienes realmente conocen cómo se recopilan, utilizan, almacenan y comparten los datos.
1
Definir alcance
Identificar sociedades, áreas, procesos, sistemas y ubicaciones que serán incluidos.
2
Entrevistar áreas
Levantar información con RR.HH., Comercial, Marketing, Finanzas, Legal, TI, Operaciones, Seguridad y otras áreas relevantes.
3
Identificar sistemas
ERP, CRM, correo, plataformas SaaS, aplicaciones, carpetas compartidas, planillas y bases de datos.
4
Mapear terceros
Identificar proveedores, encargados, integraciones, APIs y servicios cloud que acceden o reciben datos.
5
Validar bases y finalidades
Revisar coherencia entre finalidad, datos utilizados y base de licitud.
6
Vincular riesgos
Identificar tratamientos de mayor riesgo para alimentar la matriz de riesgos y determinar controles adicionales.
El RAT debe mantenerse actualizado
Un registro que sólo se completa durante la implementación y nunca vuelve a revisarse pierde rápidamente su valor como herramienta de cumplimiento.
- Nuevos sistemas o aplicaciones.
- Nuevos proveedores o encargados.
- Cambios de finalidad.
- Nuevas categorías de datos.
- Nuevas transferencias internacionales.
- Cambios en plazos de conservación.
- Nuevas decisiones automatizadas o sistemas de IA.
- Fusiones, adquisiciones o cambios societarios.
Continúe construyendo su programa de cumplimiento
Modelo de Prevención de Infracciones
Revise requisitos, DPO, matriz de riesgos, protocolos, certificación y supervisión.
Ver guía del MPI →DPO Externo
Conozca el rol del Delegado de Protección de Datos y nuestro servicio especializado.
Ver DPO Externo →Implementación Ley 21.719
Consulte nuestra guía general para implementar un programa integral de cumplimiento.
Ver guía Ley 21.719 →Preguntas frecuentes sobre el RAT
¿Qué es un Registro de Actividades de Tratamiento?
Es un registro estructurado de los procesos y operaciones en que una organización trata datos personales, incluyendo información sobre datos, titulares, finalidades, bases de licitud, terceros, transferencias, conservación y automatización.
¿El Decreto 662 obliga a usar específicamente un RAT?
El Reglamento exige caracterizar las actividades de tratamiento dentro del programa de cumplimiento y señala que esa caracterización puede realizarse mediante un Registro de Actividades de Tratamiento.
¿El RAT debe incluir proveedores cloud?
Sí, cuando forman parte de una actividad de tratamiento. Conviene identificar al proveedor, su rol, los datos involucrados, los flujos y posibles transferencias internacionales.
¿Debe incluirse la base de licitud?
Sí. La caracterización exigida por el Decreto 662 incluye expresamente la base de licitud y el interés legítimo cuando corresponda.
¿Debe incluir decisiones automatizadas?
Sí. Cuando existan decisiones automatizadas o elaboración de perfiles, deben identificarse e incorporarse antecedentes relevantes sobre su lógica y efectos.
¿Quién debería ser responsable del RAT?
Su gobierno puede ser coordinado por el DPO o la función de privacidad, pero requiere información y validación permanente de las áreas dueñas de los procesos.
¿Cada área debe tener su propio RAT?
Puede existir un registro corporativo consolidado con responsables y vistas por área, proceso, sociedad o unidad de negocio. La estructura depende de la complejidad de la organización.
¿El RAT sirve para identificar tratamientos que requieren EIPD?
Sí. Es una de las fuentes principales para detectar tratamientos de mayor riesgo y determinar cuáles requieren análisis adicionales o una Evaluación de Impacto.
¿Listo para comenzar?
Escríbanos a contacto@dpopartners.cl o complete el formulario para agendar una reunión de presentación de nuestro programa de cumplimiento normativo y nuestros servicios de DPO Externo, Consultoría Legal en Protección de Datos Personales, Auditoría de Ley 21.719 y Capacitación.