El Registro de Actividades de Tratamiento<\/strong>\u00a0es, sin lugar a duda, la br\u00fajula que guiar\u00e1 el cumplimiento normativo de su empresa frente a la nueva Ley de Protecci\u00f3n de Datos Personales (Ley 21.719)<\/strong>. Frecuentemente, se comete el error de asumir que este registro es un mero tr\u00e1mite burocr\u00e1tico o un documento legal m\u00e1s que debe firmarse y archivarse. Para despejar cualquier duda, a continuaci\u00f3n explicamos su impacto real y estrat\u00e9gico en el negocio y Ejemplos de RAT.<\/p>\n 1. El RAT en la Teor\u00eda: Las exigencias legales<\/strong><\/p>\n En t\u00e9rminos estrictamente jur\u00eddicos y seg\u00fan el reglamento de la nueva ley, el RAT es un instrumento fundamental que constituye el coraz\u00f3n de los Modelos de Prevenci\u00f3n de Infracciones o programas de compliance<\/em>. En teor\u00eda, es un registro formal que debe caracterizar detalladamente todas las operaciones que su empresa realiza con la informaci\u00f3n nominativa.<\/p>\n Para cumplir con el est\u00e1ndar normativo, este registro debe responder a preguntas clave y contener, al menos, la siguiente informaci\u00f3n por cada proceso:<\/p>\n Qu\u00e9 datos se tratan:<\/strong> Indicar el tipo de datos personales, especificando expresamente si se incluyen datos sensibles o categor\u00edas especiales (como la huella dactilar o datos de salud).<\/p>\n Para qu\u00e9 se utilizan:<\/strong> Los fines concretos y espec\u00edficos de las operaciones de tratamiento.<\/p>\n Por qu\u00e9 es l\u00edcito tenerlos (base de licitud):<\/strong> Cu\u00e1l es la fuente de procedencia de los datos y su \u00abbase de licitud\u00bb legal (si se procesan porque se cuenta con el consentimiento del cliente, por la ejecuci\u00f3n de un contrato o por un inter\u00e9s leg\u00edtimo).<\/p>\n Con qui\u00e9n se comparten:<\/strong> Las categor\u00edas de terceros a quienes se prev\u00e9 comunicar o ceder los datos, incluyendo si se realizan transferencias internacionales a servidores en el extranjero.<\/p>\n Cu\u00e1nto tiempo se resguardan:<\/strong> Los plazos o condiciones previstos para la eliminaci\u00f3n o supresi\u00f3n definitiva de la informaci\u00f3n.<\/p>\n Decisiones automatizadas:<\/strong> Se debe declarar si se utilizan los datos para tomar decisiones autom\u00e1ticas o para la elaboraci\u00f3n de perfiles comerciales, detallando la l\u00f3gica aplicada.<\/p>\n En la teor\u00eda legal, si la Agencia de Protecci\u00f3n de Datos Personales fiscaliza su entidad, el RAT ser\u00e1 exigido para comprobar que act\u00faa con responsabilidad proactiva.<\/p>\n 2. El RAT en la Pr\u00e1ctica: El inventario de su \u00abbodega\u00bb<\/strong><\/p>\n La teor\u00eda puede sonar compleja, pero en la pr\u00e1ctica el RAT es un mapa operacional transversal que une a todas las \u00e1reas de su negocio. Para entenderlo de forma did\u00e1ctica, imagine que su empresa es una gran bodega: durante a\u00f1os, los departamentos de Recursos Humanos, Ventas, Marketing y TI han estado almacenando cajas (datos) sin etiquetarlas correctamente. Nadie sabe con certeza qu\u00e9 hay al fondo, a qui\u00e9n pertenecen esas cajas ni cu\u00e1l es su utilidad. Elaborar el RAT en la pr\u00e1ctica significa entrar a esa bodega, abrir caja por caja, limpiar e inventariar su activo m\u00e1s valioso.<\/p>\n Para desarrollar este levantamiento en el mundo real, es necesario seguir estos pasos estrat\u00e9gicos:<\/p>\n Crear un glosario com\u00fan:<\/strong> El primer obst\u00e1culo es el idioma corporativo. El primer paso pr\u00e1ctico es lograr que toda la empresa comparta los mismos conceptos y entienda qu\u00e9 significa exactamente un dato personal.<\/p>\n Asignar Responsables:<\/strong> El RAT no puede ser tarea exclusiva del departamento legal; de ser as\u00ed, el proyecto podr\u00eda fracasar. Se debe dividir la empresa por \u00e1reas (Recursos Humanos, Producto, Marketing, etc.) y nombrar a un l\u00edder en cada una. Esa persona ser\u00e1 la responsable de mapear qu\u00e9 datos entran, c\u00f3mo se usan y por d\u00f3nde salen en su respectivo departamento.<\/p>\n De lo macro a lo micro:<\/strong> Lo ideal es que en este Registro exista rigurosidad y detalle. Sin embargo, el proceso de gesti\u00f3n es sumamente complejo, por lo tanto, no se recomienda intentar identificar algo tan espec\u00edfico como la c\u00e9dula de identidad de cada personal cuando se est\u00e1 reci\u00e9n comenzado. En la pr\u00e1ctica, se debe iniciar identificando los procesos generales (por ejemplo, \u00abcampa\u00f1a de correos de marketing\u00bb o \u00abcontrol biom\u00e9trico de asistencia\u00bb) para luego descender al detalle paulatinamente.<\/p>\n 3. El Gran Riesgo Operativo: El \u00abRAT de papel\u00bb<\/strong><\/p>\n Un error grav\u00edsimo en la pr\u00e1ctica empresarial es creer que el RAT es un archivo Excel gigante que se llena una vez, genera decenas de versiones desactualizadas donde nadie sabe qui\u00e9n modific\u00f3 qu\u00e9 columna, y luego se abandona en una carpeta compartida.<\/p>\n Para que el modelo funcione verdaderamente, el RAT debe ser una herramienta en movimiento<\/strong>. Esto significa que, en el d\u00eda a d\u00eda, si su empresa decide lanzar un nuevo producto, contrata un nuevo software en la nube o planea una campa\u00f1a de ventas, el RAT debe revisarse y actualizarse antes de ejecutar la acci\u00f3n. Un RAT\u00a0 integrado en sus comit\u00e9s de trabajo deja de ser una carga burocr\u00e1tica y se transforma en una ventaja competitiva, permiti\u00e9ndole identificar riesgos y tomar decisiones comerciales m\u00e1s r\u00e1pidas, eficientes y bajo un control absoluto.<\/p>\n 4. Ejemplos pr\u00e1cticos de procesos que debe inscribir y gestionar en su RAT<\/strong><\/p>\n Para entender la transversalidad de esta obligaci\u00f3n, a continuaci\u00f3n presentamos casos concretos de distintas \u00e1reas de una empresa que deben estar documentados en el registro:<\/p>\n 1. Env\u00edo de campa\u00f1as de correos de marketing o newsletters:<\/strong> Si su \u00e1rea de marketing env\u00eda correos masivos con promociones, el RAT debe identificar esta actividad, se\u00f1alando qu\u00e9 datos utiliza (como nombre y correo electr\u00f3nico), el departamento responsable (owner) de la campa\u00f1a y la base de licitud legal que le permite hacerlo, como por ejemplo, el consentimiento previo y expl\u00edcito del titular.<\/p>\n 2. Control de asistencia laboral con biometr\u00eda:<\/strong> Si utiliza huellas dactilares o reconocimiento facial para marcar la entrada y salida de sus trabajadores, esto constituye un tratamiento de datos altamente sensibles. En su RAT debe registrar esta actividad, evaluando los riesgos, justificando la proporcionalidad de la medida y asegurando que cuenta con el consentimiento expreso de los empleados frente a alternativas menos intrusivas.<\/p>\n 3. Gesti\u00f3n de compras y despachos en E-commerce:<\/strong> Para procesar una compra online, su empresa recopila datos como la direcci\u00f3n, el nombre y el medio de pago. El RAT documentar\u00e1 que la finalidad es netamente comercial (ejecutar el contrato de compraventa) y se\u00f1alar\u00e1 a qu\u00e9 terceros les comunica o cede esos datos, como a la empresa de log\u00edstica encargada exclusivamente de despachar el producto al domicilio del cliente.<\/p>\n 4. Almacenamiento de bases de datos en la nube (Cloud Computing):<\/strong> Si aloja la informaci\u00f3n de sus clientes en servidores externos o en la nube (como Amazon Web Services o Google Cloud), su RAT debe reflejar que ese proveedor tecnol\u00f3gico act\u00faa jur\u00eddicamente como su \u00abencargado de tratamiento\u00bb o mandatario. Si esos servidores est\u00e1n ubicados fuera de Chile, debe registrarlo expresamente como una operaci\u00f3n de \u00abtransferencia internacional de datos\u00bb, indicando el pa\u00eds de destino y confirmando que existen garant\u00edas de seguridad adecuadas.<\/p>\n 5. Administraci\u00f3n de fichas cl\u00ednicas en un centro de salud:<\/strong> Si dirige una cl\u00ednica o centro m\u00e9dico, trata datos de salud que la ley califica como sensibles y de alto riesgo. El RAT de esta actividad es fundamental y debe detallar las medidas de seguridad reforzadas adoptadas (como la seudonimizaci\u00f3n o encriptaci\u00f3n), los estrictos controles de acceso al personal y los plazos de conservaci\u00f3n para resguardar la confidencialidad absoluta del paciente.<\/p>\n 6. Evaluaci\u00f3n de riesgo comercial o financiero (Scoring):<\/strong> Si su empresa eval\u00faa el comportamiento de pago de un cliente para decidir si le otorga un cr\u00e9dito comercial, el RAT debe caracterizar detalladamente este tratamiento. Si utiliza procesos de inteligencia artificial o toma decisiones individuales automatizadas para elaborar estos perfiles financieros, debe registrar y explicar de manera significativa la l\u00f3gica matem\u00e1tica aplicada y las consecuencias de dicho perfilamiento para el titular.<\/p>\n 7. Captaci\u00f3n de im\u00e1genes mediante videovigilancia (CCTV):<\/strong> La instalaci\u00f3n de c\u00e1maras de seguridad en sus sucursales o lugares de trabajo captura la imagen f\u00edsica de las personas, lo cual es considerado un dato personal y eventualmente biom\u00e9trico. Su RAT debe documentar esta actividad justificando que su finalidad estricta es la seguridad de las instalaciones y previniendo, mediante un an\u00e1lisis, que la medida no sea desproporcionada o una intromisi\u00f3n ileg\u00edtima en la esfera \u00edntima de los trabajadores o clientes.<\/p>\n
\n
\n
\n
\n