El RAT: el registro que la Ley 21.719 exige y que marketing casi nunca tiene al día

El Registro de Actividades de Tratamiento —el RAT— es una de esas obligaciones que suenan puramente administrativas hasta que se entiende lo que realmente exige: que tu empresa pueda mostrar, actividad por actividad, qué datos personales trata, para qué, con qué base legal, por cuánto tiempo y con quién los comparte. No es una declaración de intenciones. Es un inventario que tiene que coincidir con lo que tu empresa hace de verdad.

¿Qué es el RAT y de dónde sale la obligación?

Los artículos 16 y 17 de la Ley 21.719 —que modifica la histórica Ley 19.628— establecen que todo responsable de datos personales debe mantener un registro actualizado y detallado de sus actividades de tratamiento, disponible para la autoridad de control cuando esta lo requiera. No es un documento que se archiva una vez y se olvida: la ley lo concibe como una fuente viva, que tiene que reflejar lo que ocurre con los datos en el presente, no lo que ocurría hace dos años.

Esa autoridad de control es la Agencia de Protección de Datos Personales (APDP), que entra en funciones junto con el resto de la ley el 1 de diciembre de 2026 y que tiene, entre sus facultades, la capacidad de fiscalizar de oficio —es decir, sin que nadie presente una denuncia previa—. Si la APDP audita a tu empresa y el RAT no existe, está incompleto o no corresponde a la operación real, eso no es un detalle menor: las sanciones pueden llegar hasta 20.000 UTM o el 4% de las ventas anuales en casos de infracciones gravísimas y reincidencia, según el esquema de multas de la ley (puedes revisar el detalle completo en nuestra guía de multas y sanciones).

Por qué marketing es, en la práctica, el área con más tratamientos sin registrar

Cuando una empresa arma su RAT, la tentación es empezar por lo obvio: nómina, contabilidad, contratos con clientes. Son actividades acotadas, con pocos actores y fáciles de describir. El problema aparece cuando se llega a marketing, porque ahí no hay una actividad de tratamiento — hay varias, corriendo en paralelo, en herramientas que rara vez conversan entre sí.

Un CRM que combina datos capturados en 2019 con leads de la semana pasada. Un píxel de Meta o Google que dispara antes de que exista cualquier gesto de consentimiento. Un formulario de landing que nadie ha vuelto a mirar desde que se publicó. Una plataforma de email marketing con segmentos que nadie sabe bien de dónde salieron. Cada una de esas herramientas es, para efectos del RAT, una actividad de tratamiento distinta — con su propia finalidad, su propia base legal y su propio plazo de conservación. Si tu registro solo dice "marketing digital" como una línea genérica, no cumple con el nivel de detalle que exige la ley.

Qué debe incluir cada actividad de tratamiento registrada

No existe un formato único impuesto por la ley, pero sí un estándar de contenido mínimo que se repite en la práctica regulatoria y que cualquier RAT serio debería cubrir por cada actividad:

• ✓Finalidad del tratamiento — para qué se usan esos datos, en términos concretos y no genéricos ("enviar cotizaciones", no "marketing").
• ✓Base legal — consentimiento, ejecución de un contrato, interés legítimo u otra causal habilitante, según corresponda a esa actividad específica.
• ✓Categorías de datos y de titulares — qué tipo de información se trata (contacto, comportamiento de navegación, datos de pago) y de quién (clientes, prospectos, postulantes).
• ✓Plazo de conservación — hasta cuándo se guardan esos datos y qué gatilla su eliminación.
• ✓Destinatarios y encargados de tratamiento — qué proveedores externos (CRM, ad tech, email marketing) reciben o procesan esos datos por encargo tuyo.
• ✓Medidas de seguridad aplicadas — cifrado, control de accesos, u otras salvaguardas técnicas y organizativas asociadas a esa actividad.

El error más común: tratarlo como una foto, no como una bitácora

La mayoría de los RAT que hemos visto en empresas chilenas nacen bien y mueren rápido: se arman una vez, generalmente para una auditoría o para "tener algo por si preguntan", y después nadie los vuelve a tocar. Seis meses más tarde, la empresa lanzó una nueva landing, cambió de proveedor de email marketing o integró un chatbot con IA que también recolecta datos — y el registro sigue diciendo lo que decía el día que se creó.

Un RAT desactualizado es, para efectos prácticos, casi tan riesgoso como no tener RAT: si la APDP lo revisa y no coincide con la operación real, el problema no es solo el registro — es la señal de que no hay gobernanza de datos activa detrás de él. Por eso conviene pensarlo menos como un documento que se entrega una vez y más como una bitácora que se actualiza cada vez que algo cambia en el stack de datos de la empresa: una herramienta nueva, un proveedor que se suma, una campaña que empieza a capturar un dato que antes no capturaba.

Excel, Word o una plataforma especializada: cómo elegir sin sobrecomplicarte

Para una empresa pequeña, con pocas actividades de tratamiento y un solo responsable a cargo, una planilla de Excel o Google Sheets bien estructurada puede ser un punto de partida legítimo: rápida de armar, fácil de entender y suficiente para cumplir con el contenido mínimo exigido.

El problema aparece con la escala. Cuando el número de actividades crece, cuando participan varios equipos (marketing, ventas, RRHH, TI) y cuando el RAT necesita conectarse con otras obligaciones de la ley —evaluaciones de impacto, gestión de incidentes, solicitudes de derechos ARCOP—, una planilla empieza a fallar exactamente donde más se necesita: no hay control de versiones real, no queda registro de quién cambió qué y cuándo, y no hay forma de generar alertas cuando una actividad lleva meses sin revisión. Ahí es donde tiene sentido evaluar una plataforma de gestión de privacidad (GRC/Privacy Management), que trata el RAT no como un archivo aislado sino como parte de un sistema conectado de cumplimiento.

No hay una respuesta única correcta — hay una que corresponde al tamaño y la complejidad real de tu operación. Lo que sí es un error, en cualquier escala, es no tener nada.

Por dónde empezar si tu empresa todavía no tiene un RAT armado

Lo más eficiente no es intentar registrar toda la empresa de una vez. Es partir por el área de mayor exposición real — que, en la enorme mayoría de los casos que hemos diagnosticado, es marketing digital: ahí es donde conviven más herramientas, más proveedores externos y más datos capturados sin un proceso documentado. Mapear esa área primero, con el nivel de detalle que describimos arriba, ya deja a la empresa con una base sólida y con la parte más riesgosa del RAT resuelta.