Cada tratamiento de datos, registrado, justificado y con dueño claro
La formalización legal de cada tratamiento de datos personales
El Registro de Actividades de Tratamiento (RAT) es, sin ambigüedad, el eje central de PDP Suite. Es el único punto de la suite donde convergen la base legal de un tratamiento, las categorías de datos involucradas, el responsable a cargo, las medidas de seguridad implementadas, los riesgos evaluados y el propósito de negocio que conecta con los sistemas reales.
Un RAT no es un formulario administrativo — responde, de forma estructurada y auditable, a las preguntas que un fiscalizador haría: qué datos se tratan, con qué finalidad, bajo qué base legal, quién es responsable y qué riesgos implica. Sin un RAT completo y bien vinculado, la organización pierde su principal instrumento de defensa ante una fiscalización de la Agencia de Protección de Datos.
La Ley 21.719 establece el principio de responsabilidad proactiva (art. 3e): la carga de la prueba de que un tratamiento es lícito recae sobre el responsable, no sobre el titular ni sobre el regulador. El art. 14a exige mantener un registro actualizado de las actividades de tratamiento, y los arts. 12, 13 y 16 definen las bases legales que justifican cada tratamiento de datos ordinarios y sensibles.
El RAT es la pieza documental que traduce ese principio en un artefacto concreto: cada campo completo — base legal, responsable, medidas de seguridad, plazos de conservación — es un fragmento de la prueba que la organización necesitará presentar si la Agencia solicita acreditar la licitud de un tratamiento.
Cada actividad comienza con su identificación, finalidad y plazo de conservación
Al crear un RAT se documenta qué se trata, para qué y por cuánto tiempo — con el criterio de conservación referido a una política concreta, no a una descripción libre — junto con las categorías de datos, individuos y destinatarios involucrados.
- Plazo de conservación en días, semanas o meses, con alertas de vencimiento configurables
- Derechos ARSOBP disponibles, coherentes con la base legal declarada
Sin base legal seleccionada y su justificación de al menos 20 palabras, el RAT no puede publicarse.
Sin base legal justificada, ninguna actividad puede operar
Cada RAT declara su base legal para datos ordinarios y, si corresponde, para datos sensibles — con requisitos más rigurosos bajo el art. 16 — junto con una justificación redactada que explica finalidad, categorías de datos y proporcionalidad. Este vínculo se gestiona en detalle en el módulo Bases legales.
- Bases legales distintas para datos ordinarios y sensibles en un mismo RAT
- Justificación mínima de 20 palabras, exigida al guardar
Se recomienda documentar al menos una medida de cada tipo para demostrar un enfoque integral de seguridad.
Cada tratamiento tiene un responsable claro y medidas documentadas en tres frentes
Todo RAT identifica a su responsable u encargado — con nombre, correo y cargo — y documenta las medidas de seguridad implementadas, clasificadas en organizacionales, técnicas y legales, para respaldar cómo se protegen los datos de ese tratamiento en particular.
- Distinción legal entre Responsable (decide) y Encargado (ejecuta por cuenta del responsable)
- Medidas técnicas, organizacionales y legales documentadas por RAT
Impacto y probabilidad se combinan automáticamente; el resultado alimenta el Mapa de Calor global de la organización.
El nivel de riesgo se calcula, no se estima a ojo
Cada RAT puede tener múltiples riesgos asociados, evaluados por impacto y probabilidad. El sistema calcula el nivel de riesgo automáticamente y permite definir una estrategia de administración — aceptar, mitigar, transferir o evitar — para cada uno.
- Nivel de riesgo calculado, sin edición manual
- Todos los riesgos evaluados alimentan el Mapa de Calor global de la organización
Sin este vínculo, la solicitud ARSOBP debe resolverse manualmente, con el riesgo de incumplir el plazo legal.
Sin este vínculo, un derecho ARSOBP no puede resolverse solo
Vincular el RAT a un Propósito de Negocio es lo que permite a PDP Suite identificar automáticamente en qué sistemas residen los datos de un titular y ejecutar los derechos ARSOBP sin intervención manual — la funcionalidad más visible de toda la suite para el titular final.
- Un RAT puede vincularse a más de un propósito si el tratamiento cruza varios sistemas
- Sin vínculo, la orquestación de ARSOBP pasa a ser un proceso manual
Cada guardado con cambios reales crea una versión inmutable, con su propio hash de integridad.
Cada cambio guardado queda como una versión que no se puede alterar
Cualquier modificación en cualquier tab del RAT genera una nueva versión con identificador, fecha y hash de integridad. El historial es de consulta — permite ver el estado del RAT en versiones anteriores, pero cualquier corrección se hace como una nueva edición.
- Versionado inmutable, relevante ante auditorías y fiscalizaciones
- Origen de cada versión registrado — asistente guiado o edición directa
Lo que preguntan sobre el RAT
¿Qué es el RAT y por qué es obligatorio?
El RAT es el Registro de Actividades de Tratamiento: la formalización legal de cada tratamiento de datos personales que realiza la organización. La Ley 21.719 exige mantenerlo actualizado como evidencia del principio de responsabilidad proactiva — la carga de la prueba de que un tratamiento es lícito recae sobre la organización, no sobre el regulador.
¿Cuántos RAT puede tener una organización?
No hay un límite definido. Cada tratamiento de datos personales diferenciado — por finalidad, base legal o conjunto de datos distinto — debe tener su propio RAT, en vez de agrupar varios tratamientos en un solo registro.
¿Un RAT en estado Borrador es válido legalmente?
El estado Borrador indica que el RAT aún no ha sido revisado formalmente por la organización, pero ya puede vincularse a consentimientos y propósitos de negocio. Para efectos legales, lo relevante es que el contenido sea correcto y esté completo, independientemente del estado.
¿Puedo tener más de una base legal en un mismo RAT?
Sí, si el tratamiento involucra datos ordinarios y datos sensibles, el RAT puede declarar base legal para ambos. Lo que no corresponde es seleccionar más de una base legal para el mismo tipo de dato — cada tratamiento debe justificarse con una base legal principal.
¿Cómo se relaciona el RAT con la automatización de derechos ARSOBP?
La automatización de derechos ARSOBP depende de que el RAT esté vinculado a un Propósito de Negocio. Esa vinculación es la que permite a PDP Suite identificar en qué sistemas viven los datos del titular y resolver la solicitud sin intervención manual. Sin ese vínculo, la solicitud debe resolverse a mano.
¿Qué pasa cuando vence el plazo de conservación de un tratamiento?
El sistema genera las alertas configuradas según los niveles de anticipación definidos. El vencimiento del plazo no elimina automáticamente los datos — es una señal para que el responsable tome la acción que corresponda según la política de conservación de la organización.