Registro de actividades de tratamiento (RAT) en Chile: contenido mínimo y ejemplo
El registro de actividades de tratamiento (RAT) es el inventario de lo que tu empresa hace con datos personales. La ley de protección de datos no usa la expresión, pero el artículo 3 letra d) del Decreto 662, publicado en el Diario Oficial el 9 de septiembre de 2026, fija 11 contenidos mínimos para caracterizar tus operaciones de tratamiento y dice que esa caracterización puede hacerse a través de un registro de actividades de tratamiento. Es también la base para cumplir el deber de información del artículo 14 ter, exigible desde el 1 de diciembre de 2026.
Por Juancarlo Barahona, Delegado de Protección de Datos Personales (DPO) de Orbix Consultor.
Revisado al 11 de octubre de 2026, contra el texto oficial de la ley. Esta guía explica la norma en términos generales y no reemplaza el análisis de un caso concreto.
¿La ley de protección de datos exige un registro de actividades de tratamiento?
La Ley 19.628, actualizada por la Ley 21.719, no contiene la expresión "registro de actividades de tratamiento". Muchos concluyen que no hace falta. Es una lectura incompleta, por tres razones.
Primero, el artículo 14 ter obliga a todo responsable a mantener a disposición del público, en su sitio web o en un medio equivalente, las categorías de datos que trata, a quiénes se refieren, las finalidades, la base de licitud, los destinatarios y los plazos de conservación, entre otros puntos. No puedes publicar eso si antes no lo levantaste.
Segundo, el artículo 14 letra a) obliga a poner a disposición del titular los antecedentes que acrediten la licitud del tratamiento y a entregarlos de manera expedita cuando se los pidan. El artículo 13 termina igual: el responsable deberá acreditar la licitud.
Tercero, el Decreto 662 de Hacienda, que reglamenta el modelo de prevención de infracciones, exige en su artículo 3 letra d) caracterizar los datos, las bases de datos y las operaciones de tratamiento, con una lista de contenidos mínimos. Y agrega, al final de esa letra, la frase que casi nadie cita:
Esta caracterización podrá realizarse a través de un registro de actividades de tratamiento.
Contenido mínimo del registro según el Decreto 662
Estos son los 11 contenidos que el artículo 3 letra d) del Decreto 662 exige, a lo menos. La columna derecha dice qué escribir en la práctica.
Contenido mínimo (Decreto 662, art. 3 d)
Qué escribir en tu registro
i. Tipo de datos personales, indicando si hay datos sensibles o de categorías especiales
Lista concreta de datos (nombre, RUT, sueldo, diagnóstico), marcando los sensibles (salud, biométricos, afiliación sindical) y los de niños, niñas y adolescentes.
ii. Ámbito territorial del tratamiento (artículo 1 bis de la ley)
Dónde opera la empresa y desde dónde se tratan los datos.
iii. Categorías, clases o tipos de bases de datos
Dónde viven los datos: planilla, software de remuneraciones, sistema contable, carpeta física, correo.
iv. Categorías de titulares
De quién son los datos: trabajadores, postulantes, cargas familiares, clientes, proveedores, visitas.
v. Fines de las operaciones de tratamiento
Para qué se usan, en una frase específica. "Pagar remuneraciones", no "gestión de personas".
vi. Fuente de los datos y si provienen de fuentes de acceso público
Si los entrega el propio titular, un tercero o una fuente pública.
vii. Base de licitud, y el interés legítimo cuando se usa el artículo 13 letra d)
Consentimiento (artículo 12) o una del artículo 13: obligación legal, contrato, interés legítimo, entre otras. Si es interés legítimo, describirlo y documentar el test de ponderación del interés legítimo.
viii. Categorías de terceros a quienes se comunican o ceden los datos, incluidos los destinatarios en otros países
Organismos públicos, instituciones previsionales, bancos, proveedores de software, asesores externos.
ix. Transferencias internacionales: país y mecanismo del artículo 27
Si algún dato sale de Chile (por ejemplo, un servicio en la nube con servidores en otro país), el país y el mecanismo que la ampara.
x. Plazos o condiciones para la supresión
Cuánto tiempo se guardan los datos y qué hecho dispara su eliminación o anonimización.
xi. Decisiones automatizadas y elaboración de perfiles
Si existen, describir la lógica aplicada y sus consecuencias para la persona. Si no existen, decirlo.
Ejemplo resuelto: el área de personas de una pyme
Caso hipotético: una pyme de 40 trabajadores, constituida en Chile, cuya jefa de personas recluta, paga sueldos y recibe licencias médicas. Su registro tendría, al menos, estas tres actividades. Los plazos de conservación son decisiones de esta empresa ficticia, no plazos legales.
Dos detalles. En reclutamiento, el artículo 13 letra c) cubre las medidas precontractuales pedidas por el titular, y el artículo 14 letra d) obliga a suprimir o anonimizar esos datos. En licencias médicas hay datos de salud, sensibles según el artículo 2 letra g), con reglas propias en los artículos 16 y 16 bis. Más en la guía sobre datos de trabajadores.
Campo
Reclutamiento
Remuneraciones
Licencias médicas
Datos
Nombre, RUT, contacto, currículum, referencias
Nombre, RUT, cuenta bancaria, sueldo, AFP, sistema de salud, cargas
Nombre, RUT, días de reposo, diagnóstico si consta
¿Sensibles?
No, salvo que el postulante los incluya
Sí, si hay afiliación sindical por descuento de cuota
Sí, datos de salud
Titulares
Postulantes
Trabajadores y sus cargas familiares
Trabajadores
Finalidad
Seleccionar personas para un cargo vacante
Calcular y pagar sueldos y cotizaciones
Tramitar la licencia y ajustar la asistencia
Fuente
El propio postulante
El trabajador y el contrato
El trabajador y el médico tratante
Base de licitud
Medidas precontractuales (art. 13 letra c)
Contrato (art. 13 letra c) y obligación legal (art. 13 letra b)
Datos de salud: autorización legal del art. 16 bis, letra f (normas de licencias médicas y seguridad social), junto con la obligación legal del art. 13 letra b
Destinatarios
Ninguno externo
Instituciones previsionales, banco pagador, proveedor del software
Institución de salud previsional del trabajador
Bases de datos
Correo y carpeta compartida
Software de remuneraciones
Carpeta física con llave y software de remuneraciones
Transferencia internacional
No
Revisar dónde aloja los datos el proveedor del software
No
Plazo de supresión
Seis meses desde el cierre del proceso
Según la política de conservación de la empresa
Según la política de conservación de la empresa
Decisiones automatizadas
No, selecciona una persona
No
No
Cómo se levanta el registro área por área
El registro no se escribe desde la gerencia ni copiando una plantilla. Se levanta con quienes hacen el trabajo, porque saben qué planilla usan, a quién mandan los datos y cuánto los guardan.
Haz la lista de áreas. Personas, ventas, finanzas, operaciones, tecnología. Cada una aporta sus actividades.
Pregunta por procesos, no por datos. "¿Qué hacen en el mes?" funciona mejor que "¿qué datos tratan?". Cada proceso es una actividad.
Sigue el dato de punta a punta. Dónde entra, dónde se guarda, quién lo ve, a quién se envía y cuándo se borra. Ahí aparecen proveedores y transferencias internacionales que nadie tenía anotados.
Asigna la base de licitud con criterio legal. Es el campo donde más se equivocan las empresas: no todo se resuelve con consentimiento, y el artículo 12 presume que el consentimiento no es libre cuando se pide en la ejecución de un contrato sin que esa recolección sea necesaria.
Marca los datos sensibles y los riesgos. El artículo 3 letra e) del Decreto 662 pide identificar las actividades de mayor riesgo de infracción y llevarlas a la matriz de riesgos.
Valida con el área y con el Delegado de Protección de Datos Personales (DPO). El artículo 13 letra b) del Decreto 662 obliga a darle la información que necesite sobre las operaciones de tratamiento.
Cada cuánto se actualiza el registro de actividades de tratamiento
Ni la ley ni el Decreto 662 fijan una periodicidad. Sí exigen que la información del artículo 14 ter esté permanentemente a disposición del público y que los datos sean exactos, completos y actuales (principio de calidad, artículo 3 letra d) de la ley). Un registro desactualizado no sirve para ninguna de las dos cosas.
La práctica recomendable es actualizarlo cada vez que ocurre uno de estos hechos, y además revisarlo completo una vez al año:
Contratas un software o un proveedor que va a tratar datos personales.
Empiezas a usar los datos para una finalidad nueva.
Abres un proceso nuevo, una sucursal o un canal de venta.
Un proveedor cambia el país donde guarda los datos.
Cambia tu política de conservación o eliminas una base de datos.
Relación entre el registro y lo que debes publicar según el artículo 14 ter
El registro es interno y detallado. Lo que publicas según el artículo 14 ter es una versión general de esa información. Con un buen registro, la parte descriptiva de tu política de tratamiento de datos sale casi directo de él.
El artículo 14 ter también exige publicar la política con su fecha y versión, quién es el responsable, el medio de contacto para solicitudes, las medidas de seguridad, los derechos del titular, su derecho a reclamar ante la Agencia y, cuando la base es el consentimiento, el derecho a retirarlo. Eso no sale del registro. Más detalle en derechos del titular.
Lo que publicas (art. 14 ter)
De dónde sale en el registro (Decreto 662, art. 3 d)
Letra d): categorías de datos, universo de personas, destinatarios, finalidades, base de licitud e intereses legítimos
Contenidos i, iv, v, vii y viii
Letra h): transferencias internacionales y si el país tiene nivel adecuado de protección
Contenido ix
Letra i): periodo de conservación
Contenido x
Letra j): fuente de los datos
Contenido vi
Letra l): decisiones automatizadas y elaboración de perfiles
Contenido xi
Errores comunes al hacer el registro de actividades de tratamiento
Los seis errores que más se repiten, y que después cuestan una observación en una fiscalización:
Copiar una plantilla genérica sin conversar con cada área: el registro describe lo que la empresa hace de verdad, y eso solo lo sabe quien hace el trabajo.
Registrar sistemas en vez de actividades: el Decreto 662 pide caracterizar operaciones de tratamiento (reclutar, pagar remuneraciones, atender clientes), no un listado de programas.
Dejar la base de licitud en blanco o poner "consentimiento" en todo: muchas actividades se apoyan en el contrato, en una obligación legal o en el interés legítimo (artículo 13), y el consentimiento tiene sus propias condiciones (artículo 12).
Olvidar a los proveedores y las transferencias: a quién se entregan los datos y en qué país se procesan es contenido mínimo del registro y de la publicación del artículo 14 ter.
No fijar plazos de conservación: sin plazo no se puede cumplir el deber de suprimir y la publicación queda incompleta (artículo 14 ter letra i).
Hacerlo una vez y no volver a tocarlo: un registro sin fecha de última revisión no sirve para acreditar nada ante la Agencia.
El registro y la evaluación de impacto
El registro es también el punto de partida de la evaluación de impacto en protección de datos que exige el artículo 15 ter cuando un tratamiento puede producir un alto riesgo para las personas (datos sensibles a gran escala, perfilamiento, observación sistemática). Sin el inventario no se sabe qué actividades la necesitan; con él, la evaluación se hace sobre actividades concretas y queda enlazada a cada una.
Del registro al modelo de prevención de infracciones
El registro es el punto de partida del modelo de prevención de infracciones. El artículo 3 del Decreto 662 lo pone en la letra d), después de la designación del Delegado de Protección de Datos Personales, elemento mínimo del modelo según el artículo 49 de la ley y el artículo 6 del Decreto 662. Desde el registro se construyen la matriz de riesgos (letra e) y los protocolos por área (letra f).
Conviene hacerlo antes del 1 de diciembre de 2026, fecha de entrada en vigencia según el artículo primero transitorio. Fechas y sanciones, en las guías de vigencia y de multas. En Orbix, la plataforma levanta este registro conversando con cada área, como se explica en cómo lo hacemos.
Preguntas frecuentes
¿Es obligatorio el registro de actividades de tratamiento en Chile?+
La Ley 19.628 actualizada por la Ley 21.719 no usa esa expresión. Pero el artículo 3 letra d) del Decreto 662 exige, a quien adopte un modelo de prevención de infracciones, caracterizar sus operaciones de tratamiento con 11 contenidos mínimos, y dice que puede hacerse con un registro de actividades de tratamiento. Además, toda empresa necesita esa información para cumplir el artículo 14 ter y acreditar la licitud de sus tratamientos.
¿Qué diferencia hay entre el registro de actividades de tratamiento y un inventario de datos personales?+
Se usan casi como sinónimos. El inventario lista qué datos y qué bases de datos tiene la empresa; el registro de actividades de tratamiento ordena eso por proceso y agrega finalidad, base de licitud, destinatarios, transferencias y plazo de supresión. El artículo 3 letra d) del Decreto 662 pide ambas cosas.
¿Existe una plantilla oficial del registro de actividades de tratamiento?+
No. El Decreto 662 fija contenidos mínimos, no un formato, y la Agencia de Protección de Datos Personales aún no está plenamente instalada. Sirve una planilla o un sistema, si cada actividad tiene los 11 contenidos del artículo 3 letra d) y se mantiene actualizada.
¿Quién es responsable de llevar el registro?+
El responsable de datos, es decir, la empresa. Lo levantan las áreas con apoyo legal, y el Delegado de Protección de Datos Personales participa en su revisión: el artículo 13 letra b) del Decreto 662 obliga a entregarle la información que necesite sobre las operaciones de tratamiento.
¿Tengo que publicar mi registro de actividades de tratamiento?+
No completo. Debes publicar la información del artículo 14 ter, que es una versión general de parte del registro: categorías de datos, finalidades, base de licitud, destinatarios y plazos de conservación, entre otros. El registro queda como respaldo interno para acreditar la licitud ante un titular o la Agencia.
¿Una pyme también tiene que hacer el registro?+
El deber de información del artículo 14 ter rige para todo responsable de datos, sin distinguir tamaño. Una pyme suele tener pocas actividades, casi todas en personas y ventas, así que su registro es corto. Revisa a quién aplica la Ley 21.719.
El 1 de diciembre de 2026 la ley será plenamente exigible
La puesta en marcha toma alrededor de un mes; cerrar todas las brechas depende de cada empresa. En una demostración de 30 minutos revisamos tu caso: qué tratamientos realizas, qué brechas tienes y por dónde comenzar.