Registro de actividades de tratamiento en Chile: qué exige realmente la Ley 21.719

Si buscaste "registro de actividades de tratamiento" junto a la palabra Chile, es probable que hayas encontrado plantillas que prometen contener el formato obligatorio que exige la Ley 21.719. Conviene partir por el dato incómodo: esa obligación, con ese nombre, no está escrita en la ley chilena. Lo que sí existe es un deber de acreditación que en la práctica es más exigente de lo que parece y bastante menos formal de lo que se vende. Este artículo separa las dos cosas, con los artículos a la vista para que puedas verificarlos.

¿Es obligatorio el registro de actividades de tratamiento (RAT) en Chile?

Dicho de otro modo: no hay una plantilla que la ley te obligue a llenar, pero sí hay escenarios concretos en los que vas a tener que probar cosas. Probar que obtuviste el consentimiento. Probar qué finalidad declaraste. Probar que tus medidas de seguridad existían y funcionaban antes del incidente. Esa prueba no se improvisa el día que llega un requerimiento, y la forma más ordenada de tenerla lista es un inventario de tus tratamientos. La diferencia es importante: no lo haces porque un artículo te lo mande, lo haces porque sin eso no tienes con qué acreditar lo que hiciste.

¿Qué dice exactamente la Ley 21.719 y qué dice el GDPR?

El texto oficial de la Ley 21.719, publicado en el Diario Oficial el 13 de diciembre de 2024, no contiene la expresión "registro de actividades de tratamiento" —cero ocurrencias— ni impone un "inventario" o un "catastro" como deber del responsable. Si haces la búsqueda tú mismo vas a encontrar la palabra inventario una sola vez y en otro contexto completamente distinto: el "beneficio de inventario" con que la Agencia acepta herencias y legados. La expresión "actividades de tratamiento" sí aparece, pero referida a la suspensión de operaciones y a deberes de órganos públicos, nunca como un registro a cargo de una empresa privada. En cambio, el artículo 30 del Reglamento General de Protección de Datos de la Unión Europea sí crea esa obligación de forma expresa, con campos definidos y con excepciones acotadas, sujetas a condiciones que deben cumplirse en conjunto. Son dos diseños normativos distintos, y confundirlos te lleva a documentar cosas que Chile no pide y a omitir otras que sí exige.

Fíjate en la última fila: si segmentas clientes por nivel socioeconómico, en Chile estás tratando datos sensibles, y más abajo vas a ver qué consecuencia operativa tiene eso. Copiar un documento europeo tal cual te hace pasar por alto justamente el punto en que Chile es más estricto.

¿De dónde viene el mito del RAT obligatorio?

No hay mala fe detrás del error, hay una explicación bastante razonable. La disciplina de protección de datos en español se formó alrededor del GDPR, que entró en aplicación en 2018 y ordenó el vocabulario, las plantillas y las metodologías con que se enseña la materia. Cuando Chile legisló, ese vocabulario ya estaba instalado. A eso se suman tres factores.

1. La Ley 21.719 sí comparte principios y estructura con el modelo europeo, así que la analogía funciona en muchos puntos. El problema es que funciona en muchos, no en todos, y las diferencias están precisamente donde más caro sale equivocarse.
2. Documentar los tratamientos es efectivamente una buena práctica en Chile, por las razones de acreditación que veremos más abajo. Como el consejo es correcto, el error viaja escondido en el fundamento legal que lo acompaña: la recomendación funciona igual, y eso quita el incentivo a verificarla contra el texto.
3. El texto de la ley es largo y algunas vías de consulta automatizadas devuelven versiones truncadas, que cortan antes del régimen sancionatorio y de las reglas sobre la Agencia. Eso dificulta la verificación por búsqueda directa. Quien quiera comprobarlo debe trabajar sobre el texto completo publicado por la Biblioteca del Congreso Nacional.

La consecuencia práctica es simple: si tu proveedor te entrega un documento que afirma que el registro de actividades de tratamiento es obligatorio por la Ley 21.719, pídele que te indique el artículo. Es una pregunta legítima y la respuesta te dice mucho sobre la calidad del resto del entregable.

¿Qué sí obliga a documentar la ley chilena?

Acá está el contenido real de la obligación. La ley no te pide un registro, te pide resultados probables ante una fiscalización, y cada uno de ellos genera un rastro documental que alguien tiene que escribir. Esta es la lista, con el artículo de origen.

Mira la fila del artículo 14 ter con atención. Para publicar esa información necesitas saber, tratamiento por tratamiento, qué datos usas, con qué base de legitimidad y por cuánto tiempo los conservas. Es decir: para escribir tu política de privacidad conforme a la Ley 21.719 ya tuviste que hacer el inventario. Lo mismo pasa con el artículo 15 bis: no puedes redactar las cláusulas del contrato con tu encargado de tratamiento sin haber definido antes el tipo de datos y las categorías de titulares involucradas. El inventario no es un trámite adicional, es el insumo de todo lo demás.

Hay un detalle del artículo 11 que conviene anotar junto al inventario: el responsable debe acusar recibo y pronunciarse sobre la solicitud de un titular a más tardar dentro de 30 días corridos desde su ingreso, prorrogables por una sola vez y hasta por 30 días corridos más. No son días hábiles. Y si deniegas la solicitud total o parcialmente, la respuesta debe ser fundada e informar al titular que dispone de 30 días hábiles para reclamar ante la Agencia. Saber qué tratamiento contiene los datos de esa persona es lo que te permite responder dentro del plazo en vez de salir a buscarlos.

¿Qué campos conviene tener en un inventario de tratamientos?

Como la ley no impone un formato, el criterio para elegir campos es otro: incluye lo que necesitarías tener a mano para responder un requerimiento o para redactar los documentos de la tabla anterior. Un apunte de vocabulario antes de la lista: el artículo 14 ter llama "base de legitimidad" a lo que el artículo 13 llama "fuentes de licitud". Son lo mismo, y acá vamos a usar siempre "base de legitimidad", porque es el término que la ley te exige declarar públicamente. Con estos catorce campos cubres el núcleo de la documentación: el deber de información del art. 14 ter, el contenido del contrato del art. 15 bis y la detección de tratamientos que gatillan evaluación de impacto del art. 15 ter. Quedan fuera, por naturaleza, dos registros que se llevan por evento y no por tratamiento: el registro de vulneraciones del art. 14 sexies y los respaldos de respuesta a titulares del art. 11. La prueba del consentimiento del art. 12 también se guarda por titular, no en esta planilla.

1. Nombre del tratamiento, en lenguaje de negocio y no de sistema
2. Finalidad concreta, específica y explícita
3. Categorías de titulares: clientes, trabajadores, candidatos, proveedores, visitantes
4. Categorías de datos, marcando cuáles son sensibles según el art. 2 letra g)
5. Base de legitimidad: consentimiento (art. 12) o alguna causal del art. 13, y si es interés legítimo, cuál es ese interés
6. Origen de los datos y si provienen de fuentes de acceso público
7. Destinatarios y encargados que acceden a los datos, con el contrato del art. 15 bis identificado
8. Transferencias internacionales, si las hay, y la garantía en que se apoyan
9. Período de conservación o el criterio para determinarlo
10. Medidas de seguridad aplicadas a ese tratamiento en particular
11. Existencia de decisiones automatizadas o perfilamiento, con la lógica aplicada
12. Si el tratamiento gatilla evaluación de impacto por el art. 15 ter
13. Persona responsable dentro de la empresa
14. Fecha de última revisión y versión del registro

Si prefieres partir con la estructura ya armada en vez de diseñar la planilla desde cero, la auditoría en línea de Check21 entrega las matrices de tratamiento con estos campos, un informe de vacíos de cumplimiento y un plan de acción priorizado.

Levantar el inventario por primera vez tiene un orden que conviene respetar, porque cada paso condiciona al siguiente. Estos cinco pasos son el camino más corto.

1. Recorre los puntos de entradaAnota cada lugar por donde entra un dato personal a tu empresa: formularios web, correo, WhatsApp, punto de venta, planillas, sistema contable, cámaras, postulaciones de trabajo. Anota también los canales que nadie diseñó como tal —el WhatsApp del vendedor, la planilla de un proceso antiguo, las cámaras del local—: si un dato entra por ahí, ese canal es parte del inventario aunque nunca haya sido pensado como sistema.
2. Agrupa por finalidad, no por sistemaUn mismo dato en tres sistemas distintos con la misma finalidad es un solo tratamiento. Dos finalidades distintas sobre el mismo dato son dos tratamientos, y necesitan bases de legitimidad separadas. Agrupar por software rompe el resto del ejercicio, porque el artículo 14 ter te va a pedir declarar finalidad, base de legitimidad y plazo de conservación por tratamiento, no por licencia de software.
3. Asigna una base de legitimidad a cada filaElige entre el consentimiento del art. 12 o alguna de las cinco causales del art. 13: a) datos relativos a obligaciones de carácter económico, financiero, bancario o comercial, tratados conforme a las normas del Título III de la ley, incluidos los datos referidos a la situación socioeconómica del titular; b) cumplimiento de una obligación legal; c) celebración o ejecución de un contrato con el titular, o medidas precontractuales a solicitud de éste; d) interés legítimo del responsable o de un tercero, siempre que no se afecten los derechos y libertades del titular; y e) formulación, ejercicio o defensa de un derecho ante tribunales u órganos públicos. Fíjate en la letra a): ahí está la puerta por la que la situación socioeconómica puede tratarse sin consentimiento, pero solo dentro del Título III y no como criterio comercial. Si ninguna causal calza, ese tratamiento necesita una revisión antes de seguir operando.
4. Marca los datos sensiblesLa lista del art. 2 letra g) es larga: origen étnico o racial, afiliación política, sindical o gremial, situación socioeconómica, convicciones ideológicas o filosóficas, creencias religiosas, datos relativos a la salud, al perfil biológico humano, datos biométricos, e información relativa a la vida sexual, orientación sexual e identidad de género. La regla general del art. 16 es consentimiento expreso, con excepciones tasadas, entre ellas el ejercicio de derechos y obligaciones en el ámbito laboral o de seguridad social. Marcar la fila no cierra la discusión: define qué régimen hay que revisar antes de seguir tratando ese dato.
5. Ponle fecha, versión y una alarma de revisiónUn inventario sin fecha no acredita nada. Registra quién lo revisó y cuándo, y agenda una revisión al menos cuando cambies de proveedor, lances un producto nuevo o modifiques un formulario. El art. 14 ter exige que tu política de tratamiento pública lleve fecha y versión, así que el versionado del inventario y el del documento público deben moverse juntos.

Este ejercicio se puede hacer con una planilla si tu operación es simple y tienes claro quién usa cada dato. Lo que el levantamiento no resuelve es la calificación jurídica fina: si un interés legítimo resiste la ponderación de derechos del titular, cómo se redacta una cláusula que aguante una fiscalización, qué hacer con un tratamiento que quedó en zona gris, si corresponde una evaluación de impacto del artículo 15 ter. Eso es trabajo de abogado y es donde se juega el resultado, porque son decisiones que exigen ponderar bienes jurídicos y anticipar cómo va a leerlas la autoridad. Llegar a esa conversación con el inventario terminado hace que el especialista empiece por esas decisiones y no por reconstruir de dónde salen los datos. Son dos tareas distintas, y ambas hay que hacerlas.

Ejemplo: inventario de una PyME chilena de 12 personas

Este es un ejemplo ilustrativo de cómo se ve el resultado en una empresa de servicios con local propio, doce trabajadores y venta a público. Las bases de legitimidad indicadas corresponden a este escenario concreto y no son una calificación aplicable a cualquier empresa: la tuya puede variar según cómo operes.

La última fila es la que obliga a tomar una decisión. Segmentar clientes por nivel socioeconómico parece inofensivo, porque en otras jurisdicciones es rutina, pero en Chile ese dato es sensible por el artículo 2 letra g). Si te encuentras con una fila así, tienes cuatro caminos honestos. El primero es verificar si el tratamiento cae bajo el Título III de la ley, en el marco de obligaciones de carácter económico, financiero, bancario o comercial: el artículo 13 letra a) menciona expresamente los datos referidos a la situación socioeconómica del titular como fuente de licitud sin consentimiento, pero solo bajo ese régimen, y una segmentación comercial de marketing normalmente no cae ahí. Si no cae, quedan tres: pedir consentimiento expreso conforme al artículo 16, reemplazar el criterio por uno que no sea sensible, o dejar de hacerlo. Un inventario que no incomoda a nadie probablemente está mal hecho.

¿Puede un reglamento crear el RAT? Qué se puede afirmar hoy

Acá conviene separar tres cosas que suelen mezclarse. La primera tiene respuesta clara. Un reglamento desarrolla lo que la ley le manda desarrollar: la potestad reglamentaria de ejecución del artículo 32 N° 6 de la Constitución existe para ejecutar las leyes, y el artículo 19 N° 26 reserva a la ley la regulación de los derechos que ella misma garantiza. Crear por vía reglamentaria un deber sustantivo que la ley no contempla sería excederse de esa potestad. Como la Ley 21.719 no contempla en ninguna parte un registro de actividades de tratamiento, no hay reglamento del que pueda nacer uno. Si te dicen que "viene un reglamento con los campos obligatorios del RAT", esa afirmación no se sostiene, y vale la pena pedir el artículo que supuestamente lo mandata.

La segunda sí tiene una zona de incertidumbre honesta, y es el estado de los reglamentos de la ley en general. El artículo segundo transitorio ordenó dictarlos dentro de los seis meses siguientes a la publicación, es decir, hacia junio de 2025. A la fecha de publicación de este artículo, 10 de agosto de 2026, no pudimos confirmar con fuente oficial cuáles de esos reglamentos se dictaron efectivamente ni su estado actual. Si necesitas apoyarte en un reglamento para una decisión concreta, verifícalo en el Diario Oficial antes de darlo por vigente.

La tercera es la que más te toca en la planilla. El artículo 14 septies no gradúa el cumplimiento de toda la ley: permite diferenciar los estándares o condiciones mínimas de dos deberes concretos, el de información del artículo 14 ter y el de seguridad del artículo 14 quinquies. Para fijarlos se considera el tipo de dato, si el responsable es persona natural o jurídica, el tamaño de la entidad según el artículo 2 de la Ley 20.416, la actividad y el volumen y naturaleza de los datos. Esos estándares los fija la Agencia de Protección de Datos Personales mediante instrucción general, y esa instrucción todavía no existe porque la Agencia no está constituida. El 20 de mayo de 2026 el Senado desestimó la terna de consejeros propuesta al no alcanzar el quórum de dos tercios, hecho publicado por el propio Senado. Al cierre de este artículo no hay registro público de una nueva designación. Traducido a tu planilla: lo que falta por escribir es el piso mínimo de esos dos deberes para una empresa de tu tamaño, no la exigibilidad del resto de la ley, que no depende de ninguna instrucción para regir. Mientras tanto, el criterio razonable es documentar de forma proporcional a tu riesgo real.

¿Hay que inscribir las bases de datos en un registro público?

No, y el movimiento va exactamente en la dirección contraria. El artículo tercero transitorio de la Ley 21.719 ordena al Servicio de Registro Civil e Identificación eliminar el registro de bancos de datos personales que contempla el actual artículo 22 de la Ley 19.628. Ese registro de la ley antigua desaparece; no lo reemplaza ninguna inscripción nueva a cargo de las empresas. Si alguien te ofrece gestionar la inscripción de tus bases de datos ante un organismo público, ese trámite no existe en el diseño de la ley chilena.

¿Qué registros sí menciona la ley?

La palabra registro aparece en la ley, pero referida a dos cosas muy distintas del RAT europeo. Vale la pena tenerlas claras porque en conversaciones comerciales se mezclan.

El primero es el único que sí debes llevar tú, y solo se activa cuando ocurre una vulneración con riesgo razonable para los derechos y libertades de los titulares. El segundo lo administra la Agencia y no depende de ti; conviene saber que existe porque ahí quedan anotadas las sanciones, incluida la amonestación por escrito del régimen transitorio para PyMEs.

Hay un tercer lugar donde algo muy parecido a un inventario aparece en la ley, aunque no como registro. El modelo de prevención de infracciones del artículo 49 es de adopción voluntaria, y entre sus elementos mínimos están la designación de un delegado de protección de datos, la identificación de los datos y titulares tratados y la identificación de las actividades de riesgo. O sea, un inventario con otro nombre, dentro de un instrumento opcional. Si además se certifica ante la Agencia, ese modelo opera como atenuante ante una sanción y como una de las vías de garantías adecuadas para transferencias internacionales del artículo 27 letra c). El certificado tiene una vigencia de tres años (art. 52) y puede ser revocado (art. 53).

Los responsables de datos podrán voluntariamente adoptar un modelo de prevención de infracciones consistente en un programa de cumplimiento.

Artículo 49, Ley 21.719 (texto oficial, Biblioteca del Congreso Nacional)

Entonces, ¿lo hago o no lo hago?

Hazlo, pero por el motivo correcto y con el nombre correcto. Llámalo inventario de tratamientos o matriz de tratamientos, no registro obligatorio, porque esa precisión te protege de importar el resto de las reglas europeas que tampoco aplican. Las tienes en la tabla comparativa del inicio: el plazo para notificar vulneraciones, el delegado de protección de datos y el alcance de la portabilidad funcionan distinto en Chile, y son justamente las tres que se importan de más cuando se trabaja sobre una plantilla europea.

El incentivo económico también existe, aunque no hace falta exagerarlo. El artículo 35 fija topes de multa de hasta 5.000 UTM para infracciones leves, 10.000 UTM para graves y 20.000 UTM para gravísimas; con la UTM de agosto de 2026 en $71.649, el tope máximo equivale a aproximadamente $1.433 millones. Son topes, no montos típicos, aplican al extremo del catálogo y la cifra en pesos es referencial, porque la UTM se reajusta cada mes. Más relevante para una PyME es el artículo sexto transitorio: durante los primeros doce meses de vigencia la Agencia podrá aplicar solo una amonestación por escrito a las empresas de menor tamaño. Es una facultad discrecional, no un derecho, no suspende la obligación de cumplir y la amonestación igual se inscribe en el Registro del artículo 39.

Si estás partiendo, el inventario es el primer entregable del proceso y el que desbloquea todos los demás. Puedes seguir el orden completo en la guía para implementar la Ley 21.719 paso a paso, que retoma este inventario como insumo de la política de privacidad, los contratos con encargados y el procedimiento de respuesta a titulares. La fecha que manda sigue siendo el 1 de diciembre de 2026, y el inventario es la pieza que más tiempo consume, porque depende de conversar con las personas que operan cada proceso y no de redactar. Empezar por ahí es lo que vuelve realista el resto del calendario.