Registro de actividades de tratamiento: guía Ley 21.719

Cuando la nueva Agencia de Protección de Datos Personales fiscalice a tu empresa, lo primero que va a pedir no es una política bonita ni un banner de cookies: va a pedir tu registro de actividades de tratamiento. Si no existe, o existe pero está desactualizado, ese solo hecho puede constituir una infracción. Con la Ley 21.719 en vigencia plena desde el 1 de diciembre de 2026, este registro —el RAT— dejó de ser un tecnicismo para abogados y pasó a ser el documento base de todo el cumplimiento.

La buena noticia: no es difícil de armar, pero sí toma trabajo hacerlo bien. Esta guía explica qué es el registro de actividades de tratamiento, quién está obligado a llevarlo en Chile, qué debe contener exactamente y cómo construir el tuyo con una plantilla conceptual que puedes usar hoy.

¿Aún no dominas la ley completa? Parte por la guía de la Ley 21.719 para pymes. Y si prefieres saber rápido qué te falta, usa nuestro test gratuito de cumplimiento.

Qué es el registro de actividades de tratamiento (RAT)

El registro de actividades de tratamiento es el inventario formal de todo lo que tu empresa hace con datos personales. Documenta, para cada actividad, qué datos recolectas, con qué finalidad, bajo qué base legal, con quién los compartes y por cuánto tiempo los conservas. En el mundo se le conoce por su sigla: RAT.

Piénsalo como el mapa de tus datos. Antes de tener políticas, cláusulas de consentimiento o protocolos de brechas, necesitas saber qué datos entran a tu operación y por dónde circulan. Sin ese mapa, cualquier medida que tomes es a ciegas. Por eso el RAT es el punto de partida de la adecuación, no el último trámite.

La Ley 21.719, que reforma la antigua Ley 19.628, obliga a todo responsable del tratamiento a mantener este registro actualizado y disponible para la autoridad de control. No es un archivo que se arma una vez y se guarda: es un documento vivo que cambia cada vez que agregas un formulario, contratas un nuevo proveedor o lanzas una campaña.

¿Quién está obligado a llevar el RAT en Chile?

Aquí está el error más caro que cometen las pymes: creer que el RAT es “cosa de empresas grandes”. La Ley 21.719 no establece una excepción por tamaño. A diferencia del reglamento europeo (GDPR), que libera del registro a organizaciones de menos de 250 trabajadores en ciertos casos, la ley chilena aplica a toda empresa que trate datos personales, sin importar cuántos empleados tenga.

Están obligados dos actores:

• El responsable del tratamiento: quien decide para qué y cómo se tratan los datos. Es tu empresa cuando maneja datos de clientes, trabajadores o proveedores.
• El encargado del tratamiento: el proveedor que trata datos por cuenta de otro (una agencia de marketing, un software de nómina, un servicio de correo). También debe llevar su propio registro de lo que hace para terceros.

La ventana de gracia para pymes no es un pase libre

La Ley 21.719 sí contempla un alivio para las empresas de menor tamaño (según la Ley 20.416): durante los primeros 12 meses de vigencia —entre diciembre de 2026 y diciembre de 2027— una primera infracción puede castigarse con una amonestación por escrito en vez de una multa.

Pero ojo con la letra chica: esa amonestación queda registrada y supone que el deber de tener el RAT ya existe. No es un año sin obligaciones; es un año con sanciones más blandas para quien va llegando tarde. El registro igual debe estar armado y al día desde el primer día de vigencia.

Qué debe contener el registro de actividades de tratamiento

El RAT no es un texto libre: la ley define qué información debe aparecer. Por cada actividad de tratamiento, tu registro debe documentar los siguientes campos. Esta es, en la práctica, tu plantilla conceptual:

Si el tratamiento involucra datos sensibles (salud, biometría, situación socioeconómica) o perfilamiento de alto riesgo, ese registro es además la señal de que probablemente necesites una evaluación de impacto (DPIA) y, según el caso, un delegado de protección de datos.

Cómo armar tu RAT paso a paso

No necesitas un software caro para empezar. Una planilla bien estructurada basta para la primera versión; lo difícil no es la herramienta, es el levantamiento. Este es el orden que funciona:

1. Recorre tus procesos, no tus sistemas. Pregunta área por área: ¿qué datos de personas usan y para qué? Ventas, RR.HH., cobranza, marketing y soporte casi siempre aparecen. Un tratamiento es cada finalidad distinta, no cada base de datos.
2. Llena una fila por actividad con los campos de la tabla anterior. No busques perfección: busca cobertura. Es mejor un RAT completo al 80 % que tres actividades perfectas y quince sin registrar.
3. Asigna la base de licitud a cada una. Este suele ser el paso más revelador: descubres tratamientos que no tienen consentimiento ni contrato que los respalde. Ahí aparece el trabajo real de adecuación.
4. Mapea a tus proveedores y sistemas. Cada software que toca datos —tu ERP, tu facturador, tu pasarela de pago— es un encargado. Aquí se cruza con tus integraciones y flujos de datos: el SII, tu banco, Bsale o Defontana mueven datos personales y deben quedar en el registro.
5. Define plazos de conservación reales. “Para siempre” no es un plazo. Guardar datos “por si acaso” es justamente lo que la ley busca frenar.
6. Fecha y versiona el documento. Un RAT sin fecha de última actualización pierde valor como evidencia. Deja registro de cuándo se revisó y quién lo hizo.

El RAT no se termina: se mantiene. Cada nuevo formulario web, campaña o proveedor debería gatillar una revisión. Por eso conviene nombrar a un responsable claro de mantenerlo vivo, aunque tu pyme no esté obligada a tener un DPO formal.

Los 4 errores que dejan tu RAT inservible

Un registro existe en el papel pero falla en la fiscalización cuando cae en estos puntos ciegos, los mismos que revisamos en el checklist de adecuación a la Ley 21.719:

• Registrar sistemas en vez de finalidades. Poner “CRM” como una actividad no dice nada. La ley pregunta para qué tratas los datos, no dónde los guardas.
• Olvidar el marketing y los datos de trabajadores. Las promociones por WhatsApp, la base de correos y los datos de RR.HH. (incluida la asistencia biométrica) son tratamientos que casi siempre quedan fuera del primer borrador.
• No marcar los datos sensibles. Son los que reciben el estándar más alto. Si no los identificas en el RAT, tampoco los proteges como corresponde.
• Dejarlo sin dueño. Un RAT que “es de todos” no lo actualiza nadie. Si depende de que alguien se acuerde de editar una planilla, ese registro va a fallar el día de la fiscalización.

Empieza por el RAT, no por el papeleo

El registro de actividades de tratamiento es aburrido de armar y por eso muchas empresas lo dejan para el final. Es exactamente al revés: es lo primero, porque ordena todo lo demás. Sin el mapa de tus datos no puedes definir bases de licitud, plazos de conservación ni medidas de seguridad con criterio.

En Softdigital ayudamos a pymes chilenas a llegar al 1 de diciembre de 2026 con su adecuación a la Ley 21.719 resuelta: levantamos tus tratamientos, armamos el registro de actividades de tratamiento y dejamos tus procesos con trazabilidad real. Parte por el test gratuito de cumplimiento o agenda un diagnóstico de 15 minutos: sin compromiso, con propuesta a precio fijo en menos de 24 horas.