Registro de actividades de tratamiento (RAT)
Definición
Inventario documentado que el responsable o el encargado mantiene de sus operaciones de tratamiento, con fines, categorías de datos, destinatarios, transferencias, plazos de conservación y medidas de seguridad.
El registro de actividades de tratamiento (RAT) es la columna vertebral de la responsabilidad proactiva: sin saber qué tratamientos existen, una organización no puede demostrar cumplimiento. El RGPD (art. 30) enumera su contenido mínimo para el responsable: datos de contacto, fines, categorías de interesados y de datos, destinatarios, transferencias internacionales y garantías, plazos de supresión cuando sea posible y una descripción general de las medidas de seguridad. El encargado lleva un registro más breve de lo que trata por cuenta de cada cliente. Leyes latinoamericanas, como la LGPD brasileña, imponen obligaciones similares.
Un buen registro se mantiene actualizado, se vincula con las evaluaciones de impacto, los contratos y las tablas de conservación, y es el primer documento que piden auditores y autoridades. También facilita la atención de solicitudes de los interesados, porque muestra dónde está cada dato.
En la gobernanza de IA, el registro se conecta con el inventario de IA: cada sistema de IA que usa datos personales debe corresponder a una o más entradas del registro.
Dónde se evalúa este término
Evaluado en la Data Protection & AI Professional (DPAI), dominio 3: Herramientas de responsabilidad proactiva.
También lo cubren: Responsible AI Auditor (AUDAI)
Fuentes primarias
- GDPR Art. 30
- LGPD Art. 37