Qué es el RAT y por qué tu empresa lo necesita
¿Tu empresa usa datos de clientes o empleados? Entonces probablemente necesita un RAT. Te explicamos qué es, a quién aplica y cómo llenarlo sin ser experto en la LOPDP.
Si tu empresa usa datos de clientes o empleados, lo más probable es que deba llevar un Registro de Actividades de Tratamiento (RAT). Esto es lo esencial.
Qué es
El RAT es el inventario de las actividades en las que tu empresa usa datos personales: nómina, facturación, selección de personal, videovigilancia, y mas.
Por cada actividad registras qué datos usas, de quién son, para qué, con quién los compartes y cuánto tiempo los guardas. Es un documento interno: no se envía a la autoridad, pero debe estar disponible si lo solicita.
¿Me aplica?
Probablemente sí. La obligación está en el Reglamento General de la LOPDP:
100 o más trabajadores: siempre (Art. 38).
Menos de 100: también debes llevarlo si se cumple al menos una de estas condiciones: el tratamiento puede implicar un riesgo para las personas, no es ocasional o incluye categorías especiales de datos, como datos de salud o biométricos (Art. 39).
Pagar sueldos cada mes o mantener una base de clientes no es ocasional. En la práctica, pocas empresas en funcionamiento quedan fuera.
No lo confundas con el Registro Nacional de Protección de Datos Personales (Art. 51 de la LOPDP). El RAT lo mantiene tu empresa y lo presenta si la autoridad lo solicita; el Registro Nacional es una obligación distinta de reportar determinada información ante la autoridad.
Qué debe contener
Una ficha por actividad. Así se vería la de nómina:
Campo | Ejemplo: gestión de nómina |
|---|---|
Finalidad | Pagar sueldos y cumplir obligaciones laborales y tributarias |
Titulares y datos | Empleados: nombre, cédula, sueldo, cuenta bancaria |
Base legal | Ejecución del contrato de trabajo |
Destinatarios | Banco, IESS, SRI, contador externo |
Plazo de retención | El que exijan las normas laborales y tributarias |
Medidas de seguridad | Acceso restringido a Recursos Humanos, respaldos |
El Art. 38 exige además otros datos, como los datos de contacto del responsable y, cuando corresponda, información sobre el DPD, elaboración de perfiles y transferencias internacionales.
Por qué importa
Es la base de todo lo demás. Tu política de privacidad sale de aquí.
Te permite responder. Si un cliente pide eliminar sus datos, sabes dónde están.
Reduce el daño de un incidente. Sabes de inmediato qué datos estaban en riesgo.
Cómo lo resuelve Amparix
Formulario guiado: una ficha por actividad, campo por campo.
Sugerencia de base legal: el campo más difícil, propuesto con inteligencia artificial.
Avance visible: cada ficha muestra qué falta.
Empieza tu RAT hoy en app.amparix.ai.