¿Necesitas un RAT en Chile? Lo que aclara la guía oficial del Gobierno

¿Necesitas un Registro de Actividades de Tratamiento (RAT) en Chile? Lo que aclara la guía oficial

Si has investigado sobre la Ley N° 21.719, probablemente te topaste con el término "RAT" — Registro de Actividades de Tratamiento. Es un concepto tomado del RGPD europeo, y genera una confusión razonable: ¿es obligatorio en Chile o no?

La guía oficial de la Secretaría de Gobierno Digital responde esta pregunta de forma directa, y vale la pena entenderla bien antes de decidir si tu empresa necesita uno.

Lo que dice la ley, exactamente

A diferencia de otras normativas internacionales, la Ley 21.719 no establece expresamente la obligación de mantener un Registro de Actividades de Tratamiento como instrumento formal con ese nombre.

Sin embargo —y este es el matiz importante— el artículo 14 ter sí exige que los responsables de datos publiquen información muy específica sobre los tratamientos que realizan: qué datos tratan, a quién pertenecen, a quién se los comunican, para qué los usan, bajo qué base legal, y de dónde provienen.

En otras palabras: el nombre "RAT" no aparece en la ley, pero el contenido que normalmente tiene un RAT sí es exigido, solo que repartido dentro del deber de información y transparencia.

Por qué la guía recomienda tenerlo igual

La propia guía del Gobierno reconoce este punto y recomienda a los organismos públicos construir un "catálogo" de datos tratados — que en la práctica cumple la misma función que un RAT — precisamente porque ordena toda la información que la ley exige publicar, evitando tener que reconstruirla cada vez que cambia algo en la empresa.

Para una PYME, la lógica es la misma. Sin un documento centralizado que liste qué datos tratas, con qué fines y bajo qué base legal, es muy difícil mantener actualizada tu política de privacidad cada vez que agregas una nueva herramienta, cambias de proveedor de hosting o lanzas un nuevo formulario de captura de leads.

Qué debería contener un RAT, en la práctica

Tomando como referencia el mismo contenido que exige la ley a través del artículo 14 ter, un RAT bien construido para una PYME debería registrar:

Las categorías de datos que tratas (nombre, RUT, email, datos de pago, etc.)
A qué tipo de personas pertenecen esos datos (clientes, empleados, postulantes, suscriptores)
A quién se los comunicas o cedes (proveedores, plataformas de pago, herramientas de marketing)
Para qué los usas, de forma específica
La base legal de cada tratamiento (consentimiento, ejecución de contrato, interés legítimo)
Cuánto tiempo los conservas
De dónde provienen (formulario directo, compra de base de datos, fuente pública)

¿Tu sitio ya muestra señales de que faltan estos elementos? Escanéalo gratis y descubre qué transferencias o tratamientos no están declarados. Escanear mi sitio →

El riesgo de no tenerlo

Aunque el RAT como documento formal no sea obligatorio por nombre, no tener claridad interna sobre qué datos tratas es, en la práctica, el primer punto de falla frente a cualquier fiscalización o solicitud de un cliente. Si la Agencia de Protección de Datos te pide acreditar cómo tratas los datos de tus usuarios, no tener un registro ordenado significa partir de cero, bajo presión y con plazos cortos.

Genera tu Registro de Actividades de Tratamiento en minutos, con la información de tu empresa ya incorporada desde tu perfil. Incluye auditoría automática que valida si cubriste todos los puntos exigidos por el artículo 14 ter. Generar mi RAT →

Preguntas frecuentes

¿Entonces el RAT es obligatorio o no? No existe como instrumento obligatorio con ese nombre específico en la Ley 21.719. Pero el contenido que normalmente incluye sí es exigido a través del deber de información del artículo 14 ter, por lo que en la práctica equivale a tener que mantener uno.

¿Cada cuánto debo actualizar mi RAT? Cada vez que cambias un proveedor, agregas una nueva herramienta que trata datos, o modificas la finalidad de un tratamiento existente. No es un documento estático.

Lectura relacionada

Este artículo es informativo y no constituye asesoría legal. Para casos específicos, consulta con un abogado especializado en protección de datos.

Fuente oficial: Guía Práctica para la implementación de la Ley de Protección de Datos Personales — Secretaría de Gobierno Digital