¿Exige realmente la Ley 21.719 un registro de actividades de tratamiento?
Tres fuentes chilenas respetables dan tres respuestas distintas a la misma pregunta. Revisamos qué sostiene cada una, de dónde viene la confusión, y por qué el trabajo que debe hacer su empresa termina siendo el mismo en los tres casos.
La ley chilena no usa la expresión “registro de actividades de tratamiento”, que es vocabulario europeo. Pero sí impone deberes de información y transparencia que resultan imposibles de cumplir sin ese inventario. Discutir si el documento es obligatorio por su nombre no cambia el trabajo: su empresa necesita saber qué datos trata, para qué, con qué base y por cuánto tiempo.
Una pregunta con tres respuestas públicas
Si usted busca en Google si debe preparar un registro de actividades de tratamiento, va a encontrar afirmaciones incompatibles entre sí publicadas por consultoras, estudios jurídicos y universidades chilenas. No se trata de matices de redacción: son posiciones que se contradicen.
Postura 1: es una obligación legal directa
La guía de protección de datos de la Pontificia Universidad Católica sostiene que la Ley 19.628, con la modificación introducida por la Ley 21.719, establece para todo responsable el deber de mantener un registro detallado y actualizado de las actividades de tratamiento, a disposición de la autoridad de control. Y enumera ocho contenidos obligatorios.
Fuente: Guía de Tratamiento y Protección de Datos UCPostura 2: la ley no lo exige con ese nombre
Alayia afirma lo contrario: que la ley chilena no menciona el registro de actividades de tratamiento ni lo impone como documento, que ese instrumento proviene del artículo 30 del reglamento europeo, y que el deber chileno es el de información y transparencia del artículo 14 ter, que obliga a publicar prácticamente la misma información.
Fuente: AlayiaPostura 3: no por el nombre, sí por los efectos
Prey adopta una lectura intermedia: la ley actualizada no usa el término como tal, pero en la práctica empuja exactamente hacia ese resultado, porque obliga a partir por un diagnóstico interno que después se mantiene vivo y debe estar disponible si la autoridad lo solicita.
Fuente: Prey ProjectDe dónde viene la confusión
El origen es identificable. El registro de actividades de tratamiento, con ese nombre y esa estructura, nace del artículo 30 del Reglamento General de Protección de Datos europeo. La Ley 21.719 se inspiró en el modelo europeo, y buena parte del contenido técnico que circula en Chile se escribió trasladando el vocabulario del RGPD sin verificar palabra por palabra qué quedó en el texto nacional.
Eso explica por qué tantos artículos chilenos hablan del “RAT” como si fuera una categoría del derecho chileno. No lo es necesariamente. Es una sigla importada que se instaló por repetición.
Por qué la respuesta práctica es la misma
Acá está el punto que casi nadie menciona, y es el que de verdad importa para quien tiene que implementar.
Incluso la postura más restrictiva —la que sostiene que el registro no es obligatorio como documento— reconoce que el artículo 14 ter obliga a publicar y mantener disponible qué datos trata, con qué finalidad, bajo qué base de licitud, a quién se ceden y por cuánto tiempo se conservan.
Para publicar esa información hay que conocerla. Y para conocerla hay que levantarla, ordenarla y mantenerla actualizada. Eso es exactamente el trabajo de construir un registro, se llame como se llame.
La discusión, entonces, es sobre el nombre y el formato del entregable. No sobre si su empresa debe saber qué hace con los datos personales que administra. Eso no está en disputa en ninguna de las tres posturas.
Qué debe contener
Con independencia de cómo lo titule, estas son las ocho categorías de información que aparecen listadas en la guía de la UC y que coinciden en lo sustancial con lo que exige el deber de transparencia:
- Identificación y datos de contacto del responsable, y de su representante legal en Chile
- Finalidades específicas y legítimas de cada tratamiento, incluyendo el derecho a retirar el consentimiento cuando esa sea la base invocada
- Categorías de titulares y de datos personales tratados, con sus clases y tipos
- Transferencias a terceros países u organizaciones internacionales, indicando si ofrecen nivel adecuado de protección y, si no, qué garantías las justifican
- Origen de los datos, señalando si provienen de fuentes de acceso público
- Plazo de conservación de cada categoría de datos, cuando sea posible determinarlo
- Medidas técnicas y organizativas de seguridad implementadas
- Existencia de decisiones automatizadas o elaboración de perfiles, con información sobre la lógica aplicada y sus consecuencias para el titular
Los puntos 4 y 8 son los que más empresas pasan por alto. Si su sitio web está alojado fuera de Chile, si usa un proveedor de correo extranjero o si su CRM es un servicio internacional, el punto 4 le aplica aunque nunca haya pensado en términos de transferencia internacional.
Cómo verificarlo usted mismo
El texto oficial de la Ley 21.719 está disponible de forma gratuita en Ley Chile, el sitio de la Biblioteca del Congreso Nacional. Es la única fuente que conviene citar ante un cliente, un directorio o un fiscalizador.
Nuestra recomendación es simple: antes de aceptar cualquier afirmación sobre esta ley —incluida la de este artículo— contrástela con el texto publicado por BCN. Este artículo cita fuentes secundarias identificadas precisamente para que usted pueda verificar cada una.
Qué hacer ahora
La ley entra en plena vigencia el 1 de diciembre de 2026. El levantamiento de tratamientos en una empresa mediana toma entre tres y seis semanas, principalmente porque la información está repartida entre personas que nunca han conversado sobre el tema.
Si todavía no sabe qué datos personales administra su organización, dónde viven y quién accede a ellos, ese es el primer trabajo, y no depende de cómo se resuelva la discusión terminológica.
¿Quiere saber dónde está parado?
En 30 minutos sin costo revisamos su situación y le indicamos las tres brechas más urgentes de su empresa frente a la Ley 21.719.
Solicitar orientación gratuitaEste artículo tiene finalidad informativa y no constituye asesoría legal. Datanorma presta servicios de implementación y acompañamiento técnico en cumplimiento de protección de datos. Para la interpretación jurídica de la Ley 21.719 en un caso concreto, consulte a un abogado especialista.