El registro de actividades de tratamiento: qué es y cómo se hace en una tarde
Es el documento que piden primero las autoridades de protección de datos y el que casi ninguna empresa pequeña tiene. Qué debe contener, quién está obligado y cómo hacerlo sin contratar nada.
· Cumplimiento de IA y datos
Hay un documento que en una inspección de protección de datos se pide antes que cualquier otro, y que la mayoría de las empresas pequeñas no tiene: el registro de actividades de tratamiento, el RAT.
No es un trámite que se presente en ningún sitio. Es un inventario interno que hay que tener y poder enseñar. Y lo bueno es que se hace en una tarde, sin comprar nada.
Quién está obligado
En España, el RGPD lo exige a responsables y encargados del tratamiento. Existe una excepción para organizaciones de menos de 250 empleados, pero decae en cuanto ocurre cualquiera de estas tres cosas: que el tratamiento pueda entrañar un riesgo para los derechos y libertades de los interesados, que no sea ocasional, o que incluya categorías especiales de datos.
La consecuencia práctica: casi ninguna empresa se libra. Tener nóminas es tratamiento no ocasional. Llevar una base de clientes, también.
En Chile, la Ley 21.719 incorpora también el deber de mantener un registro de actividades de tratamiento, dentro del principio de responsabilidad proactiva. Su exigibilidad va ligada al calendario de entrada en vigor de la ley y al desarrollo de la autoridad de control, así que el estado concreto se comprueba en la fuente oficial. Lo sensato para una empresa que opera en los dos países es tener uno solo que sirva para ambos.
Qué tiene que contener
Por cada actividad de tratamiento:
- Nombre y datos de contacto del responsable, y del delegado de protección de datos si lo hay.
- Fines del tratamiento: para qué usas esos datos.
- Categorías de interesados (clientes, trabajadores, proveedores, candidatos) y categorías de datos (identificativos, económicos, de salud…).
- Destinatarios a quienes se comunican los datos, incluidos los de otros países.
- Transferencias internacionales, si las hay, con su garantía.
- Plazos de supresión previstos por categoría.
- Descripción general de las medidas de seguridad técnicas y organizativas.
Las actividades que tiene cualquier empresa
Aquí está el atajo: casi todas las empresas pequeñas tienen las mismas seis o siete. Empieza por esta lista y añade lo tuyo.
- Gestión de clientes: contratación, facturación, atención.
- Gestión de personal: contratos, nóminas, cotizaciones, prevención.
- Selección de personal: currículos recibidos. Ojo con el plazo — guardar candidaturas indefinidamente es de los incumplimientos más frecuentes.
- Gestión de proveedores.
- Videovigilancia, si hay cámaras.
- Comunicaciones comerciales, si mandas boletines o promociones.
- Contactos web: formularios, correos entrantes.
Cómo hacerlo en una tarde
- Lista dónde hay datos personales. Recorre mentalmente el día: correo, sistema de facturación, carpeta compartida, programa de nóminas, tienda online, WhatsApp, cámaras. Todo lo que tenga nombres de personas.
- Agrupa por finalidad, no por herramienta. La finalidad «gestión de clientes» puede vivir en cuatro sitios distintos; en el registro es una sola actividad.
- Rellena las siete columnas de arriba para cada una. Una hoja de cálculo vale perfectamente.
- Anota la base legal de cada tratamiento: contrato, obligación legal, consentimiento o interés legítimo. Es la casilla que más se deja en blanco y la primera que se mira.
- Fecha y responsable del documento, y una revisión anual en el calendario.
Lo que descubres al hacerlo
Y esta es la razón real para hacerlo, más allá del cumplimiento. Al rellenarlo aparecen siempre las mismas cosas:
- Datos que se guardan sin ningún plazo definido, desde hace años.
- Herramientas de terceros que tratan datos de tus clientes sin contrato de encargado firmado.
- Currículos de candidatos de hace cinco años.
- Copias de documentos de identidad guardadas «por si acaso», sin base legal.
- Personas del equipo con acceso a datos que ya no necesitan para su trabajo.
Cada uno de esos hallazgos es un riesgo que se cierra con una decisión de cinco minutos. El RAT no es el objetivo: es el ejercicio que los saca a la luz.
Lo que va junto y conviene aprovechar
Ya que estás con el inventario, cierra estos tres al mismo tiempo:
- Textos informativos en formularios y contratos, coherentes con lo que dice el registro.
- Contratos de encargado con quien trate datos por ti: asesoría, informático, proveedor de correo, herramienta de facturación.
- Procedimiento de brecha: a quién se avisa y en qué plazo. Tanto el RGPD como la normativa chilena manejan plazos de 72 horas para notificar a la autoridad en los supuestos previstos, y ese plazo no se improvisa el día del incidente.
Si esto es tu caso
El registro, los textos informativos y los contratos de encargado son cumplimiento de IA y datos. Si además usas IA con datos de clientes, la parte específica está en usar IA con datos de clientes sin saltarse la ley y en la política de uso de IA.
Y la parte técnica que sostiene todo esto —accesos, copias, respuesta ante un incidente— está en lo mínimo en ciberseguridad.
Somos Mindset & Code: automatización, datos y desarrollo para pymes y autónomos. Puedes ver qué hacemos y a qué precio.
Fuentes: Reglamento (UE) 2016/679, artículos 30 (registro de actividades de tratamiento) y 33 (notificación de brechas); AEPD, guías y plantillas para responsables; Ley 21.719 de protección de datos personales de Chile. La exigibilidad concreta en Chile depende del calendario de entrada en vigor y se comprueba en la fuente oficial. Guía informativa, no sustituye asesoramiento jurídico.