Registro de Actividades de Tratamiento (RAT): cómo construirlo paso a paso
Por Pascal Donoso, Delegado de Protección de Datos de LatinShare · 18 sep 2026 · 7 min de lectura
Si tu empresa solo puede preparar un documento antes de la Ley 21.719, que sea el Registro de Actividades de Tratamiento (RAT). Es, en la práctica, lo primero que pide una agencia fiscalizadora cuando revisa el cumplimiento de una empresa — y sin embargo, la mayoría de las pymes no lo tiene.
¿Qué es el RAT?
Es el documento que detalla, para cada tratamiento de datos que realiza tu empresa: qué datos tratas, para qué los tratas, con qué base legal, y con quién los compartes. No es un texto legal — es un inventario ordenado, más parecido a una planilla que a un contrato.
Plantilla mínima: 5 columnas
No necesitas software especializado para empezar. Una planilla con estas cinco columnas, una fila por cada actividad de tratamiento, ya es un RAT funcional:
| Actividad | Finalidad | Base legal | Con quién se comparte | Retención |
|---|---|---|---|---|
| Formulario de contacto web | Responder cotizaciones | Consentimiento | CRM (proveedor cloud) | 24 meses |
| Nómina de empleados | Relación laboral | Contrato / ley laboral | Sistema de RR.HH. | Según normativa laboral |
Las filas de ejemplo son ilustrativas — cada empresa debe completar las suyas según lo que realmente hace, no copiar un modelo genérico.
Cómo levantarlo sin parar la operación
- Lista los sistemas primero, no los procesos. Recorre tu CRM, tu correo, tu sistema de RR.HH., tu sitio web, tus planillas de Excel sueltas — cada uno probablemente trata datos personales.
- Por cada sistema, pregunta las 5 columnas. Qué datos entran, para qué, con qué autorización, a quién más llegan, cuánto tiempo se guardan.
- Involucra a quien opera el sistema, no solo a TI. Marketing sabe qué hace con la base de newsletter mejor que el equipo técnico.
- Trátalo como un documento vivo. Un RAT desactualizado —hecho una vez y nunca revisado— pierde su valor apenas cambias de CRM o agregas un formulario nuevo.
Errores comunes
- Mezclar varias actividades distintas en una sola fila (ej. "marketing" en vez de separar newsletter, campañas pagadas y eventos).
- Omitir a los proveedores/encargados de tratamiento — si tu CRM está en la nube, ese proveedor también aparece en el RAT.
- No definir un plazo de retención real, dejando el dato indefinidamente "por si acaso".
¿Prefieres que lo construyamos contigo? Es exactamente lo que hacemos al externalizar tu DPD.
¿Aún no sabes por dónde partir?
El checklist gratuito te muestra exactamente qué te falta, en 3 minutos.