Registro de actividades de tratamiento

El inventario de tratamientos es la pieza fundacional de la protección de datos. No porque sea la más exigente, sino porque todo lo demás depende de ella: no puedes responder una solicitud de acceso si no sabes dónde están los datos, ni evaluar un riesgo sobre un tratamiento que nadie inventarió, ni decidir si una brecha afecta datos sensibles.

También es donde más proyectos se atascan, por una razón muy concreta: parece una tarea administrativa y en realidad es un ejercicio de descubrimiento.

Qué es un tratamiento

Un tratamiento es cualquier operación sobre datos personales con una finalidad determinada. La unidad no es el sistema ni el archivo: es la finalidad.

“Nómina de sueldos” es un tratamiento. “Control de acceso a las centrales” es otro, aunque use la misma base de datos de trabajadores. Si la finalidad cambia, es otro tratamiento — y esa distinción importa, porque cada uno tiene su propia base de licitud y su propio plazo de conservación.

Qué información pide cada uno

Dato	Qué responde
Nombre y área	Cómo lo llaman en tu empresa y quién lo opera
Finalidad	Para qué tratas esos datos
Base de licitud	Con qué fundamento legal lo haces
Categorías de datos	Qué datos concretamente, marcando los sensibles
Titulares	De quiénes son: trabajadores, clientes, contratistas, postulantes
Plazo de conservación	Cuánto tiempo los guardas y por qué
Destinatarios	Con quién los compartes
Transferencias	Si salen de Chile

El camino asistido

Registrar un tratamiento en toda su profundidad toca varias entidades distintas. El asistente Registrar una actividad de tratamiento lo convierte en cuatro preguntas en lenguaje llano y una acción automática.

Identificar — nombre, área y descripción del tratamiento.
Finalidad — para qué se tratan los datos, y la base de licitud elegida entre las opciones de la ley, explicadas en lenguaje corriente.
Datos — categorías de datos, tipos de titulares y plazo de conservación. El asistente ofrece una lista curada de las categorías más comunes en Chile y advierte cuando estás marcando datos sensibles, que tienen exigencias adicionales.
Destinatarios — con quién se comparten los datos y si salen de Chile.
Se crea el registro — el tratamiento queda creado con todo lo anterior.

Es un tratamiento por ejecución. Puede parecer lento, pero es la unidad correcta: cada uno merece su propia conversación sobre finalidad y base legal, y el historial queda legible porque cada ejecución lleva el nombre del tratamiento.

Cómo descubrir tus tratamientos

La parte difícil no es registrarlos: es encontrarlos. Los tratamientos no están inventariados en ninguna parte porque nunca nadie los pensó como tales.

Tres formas de buscarlos, en orden de rendimiento:

Recorre las áreas. Pregúntale a cada jefatura qué información de personas maneja y para qué. Recursos Humanos y Comercial siempre aparecen; los hallazgos están en Operaciones, Seguridad y Prevención de Riesgos.

Recorre los sistemas. Tu inventario de activos es una buena lista de partida: para cada sistema, pregunta si guarda datos de personas. Los sistemas operacionales sorprenden — telemetría, control de acceso, cámaras.

Recorre los contratos. Cada proveedor que trata datos por ti es un encargado, y cada uno implica un tratamiento que alguien decidió y probablemente nadie documentó.

En Generadora Cordillera

El primer inventario de Cordillera arroja diez tratamientos, y tres no estaban en la lista inicial de nadie:

Nómina y remuneraciones — con la particularidad de que el procesamiento es externo: la empresa de remuneraciones es un encargado.
Control de acceso biométrico a las centrales — huella dactilar, que es dato sensible. Es el tratamiento que más atención exige.
Telemetría de vehículos operacionales — geolocalización asociada a conductores identificables.
Cámaras de vigilancia en instalaciones.
Postulantes a procesos de selección, con datos que nadie sabía por cuánto tiempo se guardaban.
Contratistas que ingresan a las centrales.
Clientes libres, más la facturación de clientes regulados.
Canal de denuncias, con datos de denunciantes.

El de biometría dispara además una evaluación de impacto, y el de postulantes deja al descubierto que no había plazo de conservación definido: los currículums llevaban años acumulándose sin criterio.

De inventario a publicación

Con el inventario armado, queda el paso que la ley sí exige nominalmente: publicarlo. Tu política de tratamiento —con su fecha y versión— más la información de transparencia tiene que quedar permanentemente disponible en tu sitio web.

Dos consecuencias prácticas que conviene anticipar:

Lo que publiques tiene que ser verdad. Es información de cara al público, y es lo primero que va a mirar cualquiera —un titular, un competidor, la Agencia— para contrastarla con lo que realmente haces. Publicar un período de conservación que nadie respeta es dejar la evidencia de tu propio incumplimiento a la vista.

Cambia cuando cambia el inventario. La página publicada y el inventario interno son el mismo dato en dos lugares. Si se desincronizan, el que está mal es siempre el público.

El texto lo puedes redactar con el asistente —ver Documentación asistida— pero el contenido sale del inventario, no de una plantilla.

Mantenerlo vivo

Un inventario es una foto que se desactualiza sola. Cada sistema nuevo, cada proveedor nuevo y cada campaña nueva puede crear un tratamiento.

Dos costumbres que lo mantienen razonablemente al día: revisarlo periódicamente como tarea recurrente, y conectarlo a los proyectos — que antes de poner en marcha un sistema nuevo alguien pregunte si trata datos personales. Esa pregunta, hecha a tiempo, es literalmente el requisito de privacidad desde el diseño.

Sigue por acá

Con los tratamientos inventariados, los de alto riesgo necesitan un análisis específico: Evaluaciones de impacto.

Este manual explica cómo usar Preceptix para organizar tu cumplimiento; no es asesoría legal. La determinación de la base de licitud aplicable a cada tratamiento debe hacerse con tu asesor jurídico.