Registro de actividades de tratamiento: qué incluir y cómo empezar
El registro de actividades de tratamiento es el inventario de todo lo que una organización hace con datos personales: qué datos usa, de quién, para qué, con qué base legal, a quién se los entrega y por cuánto tiempo los guarda. Es el punto de partida de cualquier programa de cumplimiento de la Ley 21.719. Esta guía explica para qué sirve, qué debe contener y cómo armarlo sin perderse.
¿La ley lo exige?
La Ley 19.628, con el texto de la Ley 21.719, no usa la expresión «registro de actividades de tratamiento». Pero sin ese inventario no se pueden cumplir varias obligaciones que sí impone:
- Informar al público (artículo 14 ter). El responsable debe mantener a disposición del público, entre otras cosas, «las categorías, clases o tipos de datos que trata; la descripción genérica del universo de personas que comprenden sus bases de datos; los destinatarios a los que se prevé comunicar o ceder los datos; las finalidades de los tratamientos que realiza; la base de legitimidad del tratamiento», además del período de conservación, la fuente de los datos y las transferencias al extranjero. Todo eso sale del registro.
- Acreditar la licitud (artículo 3, letra a). El responsable «deberá ser capaz de acreditar la licitud del tratamiento de datos personales que realiza». Para eso hay que saber qué tratamientos existen y con qué base.
- El modelo de prevención de infracciones (artículo 49). Debe incluir «la identificación del tipo de información que la entidad trata, el ámbito territorial en que opera, la categoría, clase o tipos de datos o bases de datos que administra, y la caracterización de los titulares de datos».
- La evaluación de impacto (artículo 15 ter). Para saber qué tratamientos son de alto riesgo, primero hay que conocerlos.
En la práctica, el registro es la herramienta que permite cumplir todo lo anterior y demostrarlo.
Qué debe contener cada actividad
Una actividad de tratamiento es un uso de datos con una finalidad propia: por ejemplo, «pago de remuneraciones», «selección de personal» o «envío de ofertas a clientes». Para cada una conviene registrar:
| Campo | Pregunta que responde | Por qué importa |
|---|---|---|
| Finalidad | ¿Para qué se usan los datos? | Principio de finalidad: los datos no se pueden usar para fines incompatibles. |
| Base de licitud | ¿Qué autoriza el tratamiento? | Consentimiento (art. 12) u otra fuente del art. 13: contrato, obligación legal, interés legítimo, entre otras. |
| Categorías de datos | ¿Qué datos? | Distingue los datos sensibles, que tienen reglas propias. |
| Titulares | ¿De quién son los datos? | Trabajadores, clientes, postulantes, proveedores, menores de edad… |
| Destinatarios | ¿A quién se comunican o ceden? | Hay que informarlos al público y, si son encargados, tener contrato. |
| Encargados | ¿Qué proveedores los tratan por cuenta de la empresa? | Cada uno requiere un contrato de encargo (art. 15 bis). |
| Transferencias al extranjero | ¿Salen de Chile? | Se informan, junto con las garantías si el país no ofrece un nivel adecuado. |
| Plazo de conservación | ¿Cuánto tiempo se guardan? | Principio de proporcionalidad: se conservan solo el tiempo necesario. |
| Fuente | ¿De dónde vienen? | Se informa, y si proceden de fuentes de acceso público. |
| Medidas de seguridad | ¿Cómo se protegen? | Deber de seguridad (art. 14 quinquies). |
Cómo armarlo sin perderse
- Recorrer la organización por áreas (personas, ventas, finanzas, operaciones, tecnología) y preguntar en cada una qué hacen con datos de personas.
- Separar por finalidad, no por sistema. Un mismo sistema puede servir a varias finalidades; cada finalidad es una actividad distinta, porque puede tener otra base de licitud y otro plazo.
- Completar los campos de la tabla para cada actividad, aunque al principio queden respuestas provisorias.
- Marcar las brechas: actividades sin base clara, sin plazo de conservación, con proveedores sin contrato o con datos sensibles sin la autorización que exige la ley.
- Mantenerlo vivo. Cada proceso nuevo, proveedor nuevo o cambio de finalidad se registra antes de empezar.
Te mostramos en 30 minutos cómo se organiza el cumplimiento de una empresa en DPOCentral, desde el registro hasta la evaluación de impacto.
Agenda una demo por WhatsAppVer planesErrores frecuentes
- Una planilla que nadie actualiza. El registro pierde valor en cuanto deja de reflejar la realidad.
- Actividades demasiado amplias. «Gestión de clientes» mezcla venta, cobranza y marketing, que tienen bases distintas.
- Olvidar a los proveedores. El software de remuneraciones, el correo o el respaldo en la nube también tratan datos.
- No registrar el plazo de conservación. Es de lo primero que se informa al público y lo que más se omite.
Cómo lo resuelve DPOCentral
Un arranque guiado pregunta por la empresa, su rubro y lo que hace, y propone las actividades de tratamiento con sus campos ya precargados para revisar y confirmar. A partir del registro, la plataforma detecta las brechas de cada actividad y las ordena por gravedad, para que el trabajo empiece por lo más importante.
Esta guía explica la Ley 19.628, con las modificaciones de la Ley 21.719, a partir de su texto oficial publicado por la Biblioteca del Congreso Nacional. Es material informativo y no reemplaza la asesoría de un abogado para un caso concreto.