El Mapa que Muchas Empresas Hacen Tarde — o Nunca
El Registro de Actividades de Tratamiento (RAT) es el primer documento que pide la Agencia de Protección de Datos Personales en una fiscalización. Sin él, no hay forma de demostrar el resto.
Qué Es
El Inventario Vivo de Todo lo que tu Empresa Hace con Datos
El RAT es el mapa de todos los lugares donde tu organización toca datos personales — un inventario vivo que explica qué datos usas, para qué, quién los usa y cómo los proteges. No es un documento legal abstracto: es el corazón operativo del cumplimiento de la Ley 21.719.
Es también el primer documento que la Agencia de Protección de Datos Personales solicita al fiscalizar. Si tu empresa no tiene RAT, no hay forma de demostrar el resto de los entregables — el RAT es la evidencia base sobre la que se apoyan todos los demás.
La Plantilla Real
9 Columnas Mínimas, por Cada Tratamiento
Un RAT no es una lista de sistemas: es una fila por cada actividad de tratamiento (ej. "envío de boletas", "postulaciones de empleo", "soporte por WhatsApp"), cada una con estas 9 columnas completas:
Nombre del tratamiento
Y área/proceso responsable dentro de la empresa.
Finalidad
Para qué se usan estos datos, en una frase concreta, no "gestión general".
Categorías de titulares
Clientes, empleados, postulantes, proveedores — quiénes son los dueños del dato.
Categorías de datos
Identificación, contacto, financieros, biométricos, de salud — marcar cuáles son sensibles.
Base de licitud
Consentimiento, contrato, obligación legal, interés legítimo, interés vital o función pública.
Destinatarios
Internos (qué área) y externos (qué proveedor/encargado) — con nota de transferencia internacional si aplica.
Dónde se almacena
Sistema/servidor exacto, no "la nube" genérico.
Plazo de conservación
Cuánto tiempo se guarda el dato y qué gatilla su eliminación.
Medidas de seguridad
Qué protege específicamente ese tratamiento — cifrado, control de accesos, backups.
El Error Más Común
Lo Difícil no Es Crearlo: Es Mantenerlo Vivo
Un RAT se desactualiza en silencio: cambia un proveedor, se agrega un formulario nuevo en la web, se migra un sistema — y nadie actualiza la fila correspondiente. Un RAT desactualizado no protege en una fiscalización: si la Agencia constata que no refleja la operación real, es en sí mismo un incumplimiento del principio de responsabilidad demostrada (el mismo que exige políticas, registros y auditorías activas, no solo declaradas una vez). Alguien concreto dentro de la empresa tiene que ser dueño de mantenerlo actualizado, no puede ser "responsabilidad de todos".
Preguntas Frecuentes
Sobre el Mapa de Datos
¿Qué es el RAT y por qué es el primer documento que pide la Agencia?
El Registro de Actividades de Tratamiento (RAT) es el mapa de todos los lugares donde tu empresa toca datos personales: qué datos usa, para qué, quién los usa y cómo los protege. Es la base para demostrar cumplimiento real de la Ley 21.719, y el primer documento que la Agencia de Protección de Datos Personales solicita en una fiscalización — sin él, no hay evidencia de nada más.
¿Qué pasa si mi RAT queda desactualizado?
Lo difícil del RAT no es crearlo, es mantenerlo vivo: alguien debe actualizarlo cada vez que cambia un proceso (nuevo proveedor, nuevo formulario, nuevo sistema). Un RAT desactualizado no protege en una fiscalización — la Agencia puede constatar que no refleja la operación real, lo cual es en sí mismo un incumplimiento del principio de responsabilidad demostrada.
Los Otros 6 Entregables
Cuándo tu tratamiento es de alto riesgo y qué debe documentar la evaluación.
El proceso completo para responder solicitudes de tus clientes, y los plazos reales.
El protocolo de notificación a la Agencia en 72 horas, y por qué el registro es obligatorio aunque no notifiques.