Cómo identificar, documentar y mantener actualizados los tratamientos de datos personales en una organización
La entrada en vigencia de la Ley N° 21.719, que modifica la Ley N° 19.628 sobre protección de la vida privada, representa un cambio relevante en la manera en que las organizaciones deberán gestionar los datos personales.
Uno de los elementos importantes dentro de este nuevo escenario es el Registro de Actividades de Tratamiento (RAT).
Más que entenderlo únicamente como una obligación documental, el RAT puede convertirse en una herramienta para conocer qué datos personales administra una organización, por qué los utiliza, cómo circulan dentro de sus procesos y qué medidas existen para protegerlos.
En esta guía revisamos qué es un RAT, qué información debe contener, cómo comenzar a elaborarlo y por qué mantenerlo actualizado es parte fundamental de una gestión responsable de los datos personales.
¿Qué es un Registro de Actividades de Tratamiento?
El Registro de Actividades de Tratamiento es un instrumento que permite identificar y documentar las actividades en las que una organización trata datos personales.
La Ley N° 19.628, con las modificaciones introducidas por la Ley N° 21.719, establece para los responsables del tratamiento la obligación de mantener un registro detallado y actualizado de las actividades efectuadas bajo su responsabilidad, el cual debe encontrarse a disposición de la autoridad de control.
Esto permite responder preguntas fundamentales como:
- ¿Qué datos personales tratamos?
- ¿De quiénes son esos datos?
- ¿Para qué los utilizamos?
- ¿De dónde provienen?
- ¿Durante cuánto tiempo los conservamos?
- ¿Qué medidas utilizamos para protegerlos?
- ¿Existen transferencias internacionales?
- ¿Realizamos decisiones automatizadas?
Por eso, construir un RAT implica mucho más que identificar bases de datos o plataformas tecnológicas.
Implica comprender cómo se utilizan realmente los datos personales dentro de los procesos de la organización.
¿Por qué es importante contar con un RAT?
Una organización puede recopilar datos personales desde múltiples lugares: formularios web, procesos de selección, contratos, clientes, proveedores, campañas comerciales, sistemas internos o plataformas tecnológicas.
El problema aparece cuando esa información se encuentra dispersa y no existe una visión integral sobre su tratamiento.
El RAT permite precisamente ordenar ese escenario.
Bien implementado, puede ayudar a:
- identificar los tratamientos existentes;
- visualizar cómo circulan los datos personales;
- detectar posibles riesgos;
- revisar las finalidades asociadas a cada tratamiento;
- conocer los terceros que participan;
- revisar plazos de conservación;
- documentar medidas de seguridad;
- y disponer de evidencia sobre la gestión realizada.
En otras palabras:
Antes de proteger adecuadamente los datos personales, necesitamos saber cuáles tenemos y qué hacemos con ellos.
¿Qué debe contener un RAT?
De acuerdo con la información publicada por la Pontificia Universidad Católica de Chile sobre las exigencias introducidas por la Ley N° 21.719, el registro debe contener información detallada respecto de cada actividad de tratamiento.
Entre sus elementos se encuentran:
1. Responsable del tratamiento
Nombre y datos de contacto del responsable y, cuando corresponda, de su representante legal en Chile.
2. Finalidades del tratamiento
Debe quedar establecido para qué se utilizan los datos personales.
Cuando el tratamiento se sustente en el consentimiento del titular, también deberá considerarse la existencia del derecho a retirarlo.
3. Categorías de titulares y datos personales
El registro debe describir claramente qué categorías de personas están involucradas y qué tipos o clases de datos personales son tratados.
4. Transferencias internacionales
Cuando existan transferencias hacia terceros países u organizaciones internacionales, debe registrarse información sobre el nivel de protección existente y, cuando corresponda, las garantías que justifican la transferencia.
5. Origen de los datos
También debe identificarse de dónde provienen los datos personales y si fueron obtenidos desde fuentes de acceso público.
6. Periodos de conservación
Cuando sea posible, deberán establecerse los periodos durante los cuales se conservarán las distintas categorías de datos.
7. Medidas de seguridad
El RAT debe incluir una descripción de las medidas técnicas y organizativas implementadas para proteger los datos personales.
8. Decisiones automatizadas
Cuando existan decisiones automatizadas, incluida la elaboración de perfiles, deberán documentarse aspectos relevantes sobre la lógica aplicada y las consecuencias previstas para el titular.
¿Cómo elaborar un RAT paso a paso?
Aquí aparece uno de los desafíos más importantes.
El RAT no debería construirse solamente desde una planilla.
Primero es necesario entender los procesos.
Paso 1. Identificar los procesos
Comienza identificando aquellas áreas y actividades donde se utilizan datos personales.
Por ejemplo:
Recursos Humanos: postulantes, trabajadores y exempleados.
Comercial: prospectos y clientes.
Marketing: formularios, bases de contactos y campañas.
Proveedores: representantes, contactos y prestadores de servicios.
Atención al cliente: solicitudes, reclamos o consultas.
El objetivo es construir una primera fotografía de dónde existen tratamientos de datos dentro de la organización.
Paso 2. Conversar con las áreas
Una de las dificultades al construir un RAT es asumir que Legal, Compliance o Tecnología conocen todos los tratamientos existentes.
En la práctica, quienes ejecutan diariamente los procesos poseen información fundamental.
Por eso resulta importante conversar con las distintas áreas y preguntar:
¿Qué información recopilan?
¿Cómo la reciben?
¿Para qué la utilizan?
¿Dónde la almacenan?
¿Quién puede acceder?
¿La comparten con terceros?
¿Cuánto tiempo la mantienen?
Aquí comenzamos a pasar desde la teoría hacia la realidad operacional de la organización.
Paso 3. Seguir el recorrido de los datos
No basta con saber dónde se almacena un dato.
También necesitamos comprender su recorrido.
Por ejemplo:
Formulario → CRM → ejecutivo comercial → proveedor tecnológico → almacenamiento → eliminación.
Este ejercicio permite detectar tratamientos, accesos o transferencias que podrían pasar inadvertidos si solamente revisamos las plataformas tecnológicas.
Paso 4. Documentar cada actividad de tratamiento
Una vez identificado el proceso, debemos llevar esa información al RAT.
Cada actividad deberá documentarse incorporando los antecedentes correspondientes: finalidad, categorías de titulares, categorías de datos, origen, conservación, transferencias, medidas de seguridad y demás elementos que resulten aplicables.
Aquí la información dispersa comienza a convertirse en un registro estructurado y gestionable.
Paso 5. Identificar tratamientos que requieren mayor atención
No todos los tratamientos presentan necesariamente el mismo nivel de riesgo.
La información levantada mediante el RAT puede ayudar a identificar procesos que requieren un análisis más profundo y eventualmente otras medidas de gestión o evaluación.
Esto transforma al registro en algo más que un inventario: permite utilizar la información obtenida para orientar decisiones posteriores.
Paso 6. Definir responsables
Finalmente, debe quedar claro quién será responsable de administrar y mantener actualizado el registro.
Porque el RAT no termina cuando completamos su primera versión.
Ahí comienza su gestión.
5 errores frecuentes al elaborar un RAT
La experiencia de levantar información dentro de una organización también permite identificar algunos errores que conviene evitar.
1. Pensar que es solo una planilla
La herramienta puede ser una planilla, una plataforma o un sistema.
Pero la herramienta no es el RAT.
El verdadero valor está en el levantamiento, análisis y comprensión de los tratamientos.
2. Elaborarlo desde una sola área
Construirlo únicamente desde Compliance, Legal o TI puede generar una visión incompleta.
El tratamiento de datos ocurre transversalmente dentro de la organización.
3. Registrar sistemas en lugar de tratamientos
Un CRM no necesariamente representa una actividad de tratamiento.
Dentro de un mismo sistema pueden coexistir distintas actividades, finalidades, titulares y tipos de datos.
4. Crear el RAT y no volver a revisarlo
Una fotografía de los tratamientos realizada hoy puede quedar rápidamente desactualizada.
5. Tratarlo exclusivamente como una obligación
Si el único objetivo es “tener el documento”, se pierde buena parte de su potencial como herramienta de gestión.
¿Cuándo debe actualizarse el RAT?
Este punto es fundamental.
El registro debe mantenerse actualizado, por lo que no debería considerarse un documento estático.
La organización debería revisar su RAT cuando existan cambios relevantes en sus actividades de tratamiento.
Por ejemplo, cuando:
- se incorporan nuevos procesos;
- comienza a recopilarse una nueva categoría de datos;
- cambia la finalidad de un tratamiento;
- se implementan nuevos sistemas;
- se incorporan proveedores que participan en el tratamiento;
- cambian los destinatarios de la información;
- se modifican los plazos de conservación;
- se realizan nuevas transferencias internacionales;
- cambian las medidas de seguridad;
- o aparecen nuevas actividades de tratamiento.
Además de estas actualizaciones derivadas de cambios, es recomendable establecer revisiones periódicas que permitan verificar que el registro continúa reflejando la realidad.
El RAT como herramienta de gestión
Quizás una de las ideas más importantes de esta guía es precisamente esta:
El RAT no debería existir solamente para cumplir.
Cuando se construye adecuadamente, permite que la organización se conozca mejor.
Puede revelar que existen datos que ya no son necesarios.
Que determinados accesos deberían revisarse.
Que un proveedor participa en un tratamiento que no estaba correctamente identificado.
Que existen datos almacenados durante más tiempo del necesario.
O simplemente que distintos equipos tenían visiones diferentes sobre un mismo proceso.
Ahí es donde el Registro de Actividades de Tratamiento comienza a generar valor.
De la obligación a una gestión responsable de los datos
La Ley N° 21.719 plantea un nuevo escenario para las organizaciones chilenas.
Prepararse no significa únicamente generar políticas o documentos.
Significa comprender cómo los datos personales forman parte de los procesos cotidianos y establecer mecanismos para gestionarlos responsablemente.
El Registro de Actividades de Tratamiento es una herramienta fundamental para comenzar ese recorrido.
Porque una organización difícilmente puede proteger aquello que no sabe que tiene, dónde está, para qué lo utiliza o quién puede acceder a ello.
El RAT no termina cuando se crea.
Comienza ahí.
Cierre Eticactiva
En Eticactiva acompañamos a las organizaciones en la implementación de modelos y herramientas de cumplimiento que permitan llevar las exigencias normativas a la gestión real.
La protección de datos personales requiere conocimiento técnico, pero también comprensión de los procesos, acompañamiento y una mirada transversal de la organización.
¿Tu organización ya comenzó a identificar y documentar sus actividades de tratamiento?
