El Registro de Actividades de Tratamiento (RAT) es la columna vertebral del expediente de responsabilidad demostrada. Es también el documento que la SPDP requirió primero en los procedimientos contra LIGAPRO y la FEF. Armar uno no requiere consultora externa, pero sí requiere un método consistente y participación de varias áreas.
Qué es el RAT y por qué importa
El RAT es un inventario documentado de todas las actividades en las que su empresa trata datos personales. No es un PDF firmado una vez al año — es un documento vivo que se actualiza cuando cambia un proveedor, cuando nace una nueva actividad, cuando se incorpora un nuevo tipo de dato.
Su función es doble: sirve para gobernar internamente (nadie puede proteger lo que no sabe que trata) y sirve para demostrar cumplimiento externamente (la SPDP pide el RAT como primer documento en cualquier requerimiento).
Las columnas mínimas que exige el Art. 38 del Reglamento
El artículo 38 establece el contenido mínimo. La estructura concreta queda a discreción de la organización — lo que importa es que los campos estén cubiertos. Estas son las columnas que toda plantilla debe contener:
| Columna | Qué va aquí |
|---|---|
| ID de la actividad | Código interno único (ej. "RAT-001"). Facilita referenciarlo en otros documentos. |
| Nombre de la actividad | Descripción breve: "Gestión de nómina", "Verificación de antecedentes pre-contratación", "Videovigilancia en instalaciones". |
| Responsable del tratamiento | Razón social, RUC, dirección, correo de contacto. |
| Corresponsable (si aplica) | Datos de contacto del corresponsable cuando existe una decisión conjunta. |
| DPD (si aplica) | Datos de contacto del Delegado de Protección de Datos. |
| Finalidad del tratamiento | Por qué se tratan los datos, en términos concretos (no "fines comerciales" — algo específico). |
| Base legal | Art. 7 consentimiento, Art. 9 interés legítimo, obligación legal, ejecución de contrato, etc. |
| Categorías de titulares | Empleados activos, ex-empleados, clientes, candidatos, proveedores, visitantes, etc. |
| Categorías de datos | Identificación, contacto, laborales, biométricos, salud, financieros. Marcar si son categorías especiales. |
| Destinatarios internos y externos | Áreas internas + proveedores + entidades públicas a las que se comunican los datos. |
| Transferencias internacionales | Países destino + base legal aplicada (decisión de adecuación, cláusulas contractuales, excepción específica). |
| Plazo de conservación | Cuánto tiempo se conservan los datos después de cumplir la finalidad, con justificación (obligación legal, estadística, etc.). |
| Medidas técnicas | Cifrado, control de accesos, respaldo, segregación, trazabilidad. |
| Medidas organizativas | Políticas internas, capacitación, roles, acuerdos de confidencialidad. |
| Fecha de creación y última actualización | Trazabilidad de quién revisó y cuándo. |
Un ejemplo diligenciado: "Verificación de antecedentes pre-contratación"
Para aterrizar la plantilla, veamos cómo se llena una fila real. Esta es una actividad típica de RRHH en cualquier empresa mediana.
| Columna | Valor |
|---|---|
| ID | RAT-007 |
| Nombre | Verificación de antecedentes pre-contratación |
| Responsable | [Razón Social] S.A., RUC [XXXXXXXXXXXX], [Dirección], info@[empresa].com |
| Corresponsable | N/A |
| DPD | [Nombre DPD], dpd@[empresa].com |
| Finalidad | Verificar antecedentes penales, judiciales y laborales de candidatos a puestos con acceso a información sensible o activos financieros, antes de suscribir contrato. |
| Base legal | Consentimiento expreso del candidato (Art. 7 LOPDP), recabado al inicio del proceso. |
| Categorías de titulares | Candidatos a contratación. |
| Categorías de datos | Identificación (cédula, nombre, fecha de nacimiento), antecedentes penales y judiciales (categoría especial). |
| Destinatarios | Área de RRHH, Gerencia General (solo reporte consolidado), proveedor de verificación (StatusEC o equivalente). |
| Transferencias internacionales | No aplica — proveedor domiciliado en Ecuador. |
| Plazo de conservación | 90 días desde la decisión de contratación (si candidato no fue contratado); mientras dure la relación laboral + 5 años desde su terminación (si fue contratado, para obligaciones laborales). |
| Medidas técnicas | Portal cifrado HTTPS; acceso restringido por rol a RRHH; logs de consulta; cifrado en reposo del proveedor. |
| Medidas organizativas | Política interna de selección; capacitación anual a RRHH en LOPDP; acuerdo de encargado firmado con proveedor; formulario de consentimiento estandarizado. |
| Creación / última actualización | Creado 15-01-2026 / Actualizado 23-04-2026 por [Nombre]. |
Repita el mismo ejercicio para cada actividad que identifique. Una empresa mediana típica termina con entre 15 y 40 filas en su RAT.
Cómo levantar el RAT desde cero
Un RAT no se improvisa llenando la plantilla a ciegas. El paso previo es identificar qué actividades trata su empresa. Estos son los 5 pasos:
- Designe un líder. Si tiene DPD, es su tarea. Si no, un líder de compliance o de operaciones con acceso a todas las áreas.
- Entreviste cada área. RRHH, Ventas, Marketing, TI, Operaciones, Finanzas, Legal. Pregunte: "¿qué datos personales recaban, para qué, dónde los guardan, a quién se los pasan?". Una hora por área en empresas medianas suele alcanzar.
- Consolide un primer borrador. Una fila por actividad identificada. Esperen tener 30-50 filas iniciales que luego se decanten a 15-25 reales.
- Valide con cada área. Devuelva el borrador a cada área para que confirmen finalidad, destinatarios y plazos. Aquí se depura la mitad de imprecisiones.
- Firme la versión 1.0. Representante legal + líder del proyecto. Archive en su sistema documental con fecha.
¿Verificación de antecedentes es una de sus actividades de RAT?
Si es así, StatusEC automatiza la trazabilidad: consentimientos firmados digitalmente, logs de consulta, registros por titular. Se integra como evidencia de las medidas técnicas y organizativas que su RAT declara.
Agendar demo de 15 minCadencia de actualización
El RAT actualizado una vez y olvidado no cumple. La LOPDP exige un RAT vivo. Cadencia recomendada:
- Revisión continua (evento-driven): cada vez que nace una actividad nueva, se cambia un proveedor, se añade un tipo de dato o cambia la finalidad, se actualiza la fila correspondiente antes de ejecutar el cambio.
- Revisión trimestral: el DPD o líder de compliance corre una checklist con cada área para capturar cambios menores que no fueron escalados.
- Revisión anual completa: una vez al año, revisión integral con representante legal. Se firma una nueva versión.
- Revisión ad-hoc en eventos de riesgo: cambio de sistemas core, adquisición de empresa, incidente de seguridad.
Errores comunes que la SPDP detecta en inspección
- RAT solo jurídico. Listado genérico redactado por Legal sin participación de las áreas operativas. Las columnas están pero no reflejan lo que realmente pasa.
- Finalidades vagas. "Fines comerciales", "gestión interna", "mejora del servicio". Finalidades amplias son infracción porque impiden verificar el principio de finalidad.
- Base legal mal clasificada. Marcar "consentimiento" cuando la base real es la ejecución de un contrato laboral, o viceversa.
- Retenciones indefinidas. "Hasta que el titular lo solicite" no es un plazo — es una evasión. El plazo debe justificarse con una regla concreta.
- Destinatarios incompletos. No listar al proveedor cloud donde se almacenan los datos es un error típico y grave.
- Sin fecha de actualización. RATs sin fechas sugieren que nunca se actualizan — agravante en inspección.
Preguntas frecuentes
¿Es obligatorio tener el RAT en un sistema específico?
No. La LOPDP no exige software ni formato. Puede ser una hoja de cálculo, una wiki interna o un sistema documental. Lo que importa es que cumpla el contenido del Art. 38 del Reglamento y que esté actualizado. Para empresas de 50-200 empleados, una hoja de cálculo bien estructurada suele ser suficiente.
¿El RAT hay que enviarlo a la SPDP?
No se envía proactivamente. La SPDP lo requiere cuando corresponde — en inspecciones, requerimientos de información, denuncias de titulares o auditorías del Plan Anual. La obligación es mantenerlo disponible y actualizado.
¿Qué diferencia hay entre RAT y Registro Nacional de Protección de Datos (RNPD)?
Son figuras distintas. El RAT es interno — su empresa lo lleva y la SPDP lo requiere cuando corresponde. El RNPD es un registro público administrado por la SPDP (creado por el Art. 51 de la LOPDP) donde se inscriben, por ejemplo, los DPDs. Son dos mundos separados.
¿Cuánto tiempo toma armar el RAT inicial?
Para una empresa mediana (50-200 empleados), entre 3 y 6 semanas. La parte lenta es levantar información con cada área, no llenar la plantilla. Empresas que ya tienen procesos documentados van más rápido.
Conclusión
El RAT no es un entregable para una consultora: es gobierno interno de datos. Armar uno bien es el primer paso hacia responsabilidad demostrada, y el más efectivo para pasar de "no sabemos qué tenemos" a "podemos probar qué tratamos y cómo".
Si quiere ver cómo StatusEC se integra como evidencia técnica en su fila de RAT para verificación de antecedentes, agende una demo. Si prefiere diagnosticar antes, el checklist LOPDP tiene una sección específica sobre RAT.