Software para hacer el RAT en una empresa con muchas áreas y sistemas
Para hacer el Registro de Actividades de Tratamiento en una organización con muchas áreas y sistemas, lo que más sirve es una herramienta que levante la información con las personas que operan cada proceso y que permita actualizarla cuando algo cambia. Una planilla alcanza en una organización chica. Con decenas de áreas, proveedores y sistemas, se desactualiza antes de terminarla.
En Soyio construimos Prisma IA para ese problema: un agente de inteligencia artificial entrevista a cada colaborador, identifica las actividades que realiza con datos personales y redacta el registro, que después revisa y aprueba el equipo de protección de datos.
¿Qué es el registro de actividades de tratamiento?
Es el mapa de los datos personales que trata una organización: qué datos usa cada área, para qué, de dónde vienen, con qué sistemas se trabajan y con quién se comparten. Sobre ese mapa se evalúan los riesgos y se definen los controles.
¿Es obligatorio en Chile?
La Ley 21.719 se inspiró en el reglamento europeo, pero no es igual. En Europa el registro es obligatorio. En Chile pasa a ser exigible cuando la organización adopta un modelo de prevención de infracciones, que es voluntario.
Aun así, muchas organizaciones grandes lo están levantando. La razón es práctica: es difícil cumplir los principios de la ley sobre tratamientos que no se conocen. Y frente a tratamientos invasivos, la ley pide poder demostrar que el riesgo se evaluó y se minimizó. Ese análisis parte del registro.
Por qué la planilla no funciona en una organización grande
En una organización de este tamaño, el conocimiento sobre los datos no está en un solo lugar. Lo tienen las personas que operan cada proceso todos los días: marketing, recursos humanos, atención a clientes, administración y finanzas, cada una con propósitos distintos.
A eso se suman tres cosas que la planilla no resuelve bien.
La realidad cambia más rápido que los documentos. Un procedimiento dice que la cédula se fotografía con una máquina en la tienda. La máquina se echa a perder y los ejecutivos empiezan a sacarle foto con su celular para no atrasar las entregas. Ese tratamiento nuevo tiene otros riesgos, y no aparece en ningún documento.
Los proveedores también cuentan. Si un proveedor trata datos por encargo de la organización, la responsabilidad de que cumpla sigue siendo de la organización. Sus actividades también van al registro.
Los procesos automáticos son tratamientos. El correo de bienvenida que se envía solo, la sincronización con un CRM o el reporte semanal que alguien programó hace años.
Levantar todo eso con entrevistas manuales y planillas toma meses. Cuando se termina, los primeros registros ya cambiaron.
Qué debe tener un software para hacer el RAT
Estas son las capacidades que conviene revisar al evaluar cualquier herramienta:
Levantamiento con quienes operan los procesos, no solo con el área legal o de cumplimiento.
Cobertura de proveedores y procesos automáticos.
Base de licitud y nivel de riesgo por actividad, para saber dónde enfocar el trabajo de adecuación.
Trazabilidad: quién describió cada actividad y quién la validó.
Actualización sin rehacer el levantamiento cada vez que llega un proceso nuevo.
Consulta del registro sin exportar todo a Excel.
Qué opciones hay
Hay tres caminos frecuentes.
El primero es una consultoría con planillas. Funciona para una foto inicial, pero el registro queda en un archivo que alguien tiene que mantener.
El segundo es una plataforma global de privacidad. OneTrust, por ejemplo, digitaliza el proceso: ofrece inventario y mapeo de datos que el equipo de la organización completa. Es útil para coordinar un programa de privacidad en muchos países.
El tercero es automatizar el levantamiento. Es lo que hace Prisma IA: en lugar de que el equipo de privacidad complete formularios, el agente conversa con cada área y estructura el registro.
Cómo funciona Prisma IA
Cada colaborador conversa con un agente de IA en una entrevista guiada.
El agente identifica las actividades que esa persona realiza con datos personales y redacta el registro de cada una.
El equipo de protección de datos revisa y aprueba cada registro.
El registro queda en una biblioteca centralizada, con base de licitud, nivel de riesgo y el rastro de quién describió y quién validó cada actividad.
A partir de cada actividad, la plataforma ayuda a identificar riesgos y los controles que conviene implementar.
El equipo de protección de datos también puede hacerle preguntas al registro en lenguaje natural, como qué tratamientos se basan en el consentimiento o cuáles concentran más riesgo.
Dos casos: un grupo automotriz y un grupo financiero
Un grupo automotriz chileno decidió levantar su registro con su propio equipo, sin contratar una consultoría externa. En 16 semanas, incluido un piloto, completó 272 actividades en 48 áreas. Sumó un nuevo grupo de áreas cada tres semanas y auditó lo que el agente iba describiendo.
Un grupo financiero chileno documentó más de 800 tratamientos en 26 gerencias. Cada tratamiento tomó en promedio entre 10 y 15 minutos.
¿Foto anual o proceso vivo?
Llegan marcas nuevas, se abren canales, se suman proveedores. Un registro que se actualiza una vez al año describe cómo trabajaba la organización hace meses.
Con Prisma IA, actualizar el registro sigue el mismo camino que construirlo: cuando aparece una actividad nueva, el colaborador la registra conversando con el agente.
Un RAT sirve mientras refleje cómo se trabaja hoy.
Preguntas frecuentes
¿Qué software sirve para hacer el RAT en Chile?
Hay plataformas globales que digitalizan el inventario de datos y herramientas que automatizan el levantamiento. Prisma IA, de Soyio, está hecha en Chile para la Ley 21.719 y levanta el registro con entrevistas conversacionales a cada área.
¿Cuánto demora hacer el RAT en una organización grande?
Depende del tamaño y del ritmo que se defina. Un grupo automotriz completó 272 actividades en 48 áreas en 16 semanas, incluido un piloto. En un grupo financiero, cada tratamiento tomó en promedio entre 10 y 15 minutos.
¿Se puede hacer el RAT sin una consultora?
Sí. Un grupo automotriz chileno lo hizo con su propio equipo y Prisma IA. El equipo de protección de datos revisa y aprueba lo que el agente redacta.
¿Quién tiene que participar?
Las personas que operan los procesos con datos personales en cada área. Ellas saben cómo se trabaja en la práctica, que muchas veces es distinto de lo que dice el procedimiento.
¿Hay que incluir a los proveedores?
Sí. Si un proveedor trata datos por encargo de la organización, la responsabilidad sigue siendo de la organización.
¿Cada cuánto se actualiza el registro?
Cada vez que un proceso cambia. Por eso conviene que actualizarlo sea tan simple como registrar una actividad nueva.
