¿Qué es exactamente el registro de actividades de tratamiento y qué capacidades exige levantarlo?
El registro es un inventario permanente y actualizable de cada operación de tratamiento de datos personales de la organización. El Art. 14 ter exige, además, publicar de forma permanente en el sitio web la política de tratamiento, categorías de datos, finalidades, destinatarios, base de licitud, medidas de seguridad, período de conservación, transferencias internacionales y decisiones automatizadas. Son nueve campos obligatorios sobre un universo que en empresas medianas suele abarcar decenas de sistemas.
Levantarlo no es redactar un documento. Es descubrir dónde viven los datos personales —CRM, ERP, planillas de RR.HH., formularios web, bases de marketing, respaldos— y mantener esa foto sincronizada.
El trabajo cruza tres competencias distintas: interpretación jurídica del alcance, arqueología de sistemas legados y automatización del ciclo de actualización.
La primera la define el área legal del cliente o su estudio de abogados. Muze no da asesoría legal ni interpreta el alcance de la ley: define arquitectura, evidencia y procesos.
Las otras dos son terreno técnico, y ahí se decide si el registro sobrevive seis meses o queda obsoleto al mes siguiente.
Un dato de contexto: la guía práctica de implementación publicada por la División de Gobierno Digital confirma que la Ley 21.719 reforma íntegramente el régimen anterior y no es un ajuste incremental sobre la Ley 19.628.
¿Cómo se ve un proyecto bien hecho de punta a punta?
Un proyecto correcto termina con un registro que se actualiza solo cuando cambia un sistema fuente, no con un Excel firmado. La diferencia práctica: el primero sobrevive a la rotación de personal y a la incorporación de un nuevo SaaS; el segundo queda desalineado en cuanto alguien conecta una integración nueva sin avisar.
Fase 1 — Descubrimiento. Entrevistas por área más escaneo técnico de fuentes: Dataverse, SQL, SharePoint, Google Workspace, ERP (SAP, Softland), CRM. Salida: lista de sistemas con dueño identificado.
Fase 2 — Clasificación. Cada flujo se mapea a los nueve campos del Art. 14 ter. Los datos sensibles y los de niños, niñas y adolescentes se marcan aparte porque su régimen es distinto.
Fase 3 — Base de licitud. La define legal, no TI. El proveedor entrega la evidencia técnica —qué se captura, dónde, desde cuándo— para que legal decida.
Fase 4 — Publicación. El contenido del registro alimenta la página pública. Power Pages sobre Dataverse permite que la web se actualice desde la misma fuente y no como copia manual divergente.
Fase 5 — Mantención. Aquí se juega todo. Alertas cuando aparece un flujo de Power Automate nuevo que toca datos personales, revisión periódica con dueño asignado, y bitácora de cambios con timestamp.
El registro además es la base de otros deberes. Sin inventario no se puede responder a una solicitud de acceso en los 30 días corridos que fija el Art. 11, ni ejecutar el bloqueo temporal en 2 días hábiles. Quien esté evaluando además cómo conectar ese inventario con el flujo de atención al titular debería exigir que ambos proyectos compartan modelo de datos.
¿Qué preguntar al evaluar proveedores?
Pregunte por evidencia verificable en la reunión, no por credenciales. La distinción operativa: un proveedor que puede mostrar un registro real funcionando en pantalla —con datos ofuscados— está en otra categoría que uno que muestra una plantilla en PDF.
| Capacidad | Qué pedir como evidencia | Señal de alerta |
|---|---|---|
| Descubrimiento técnico de fuentes | Demo del método de inventario sobre un ambiente real: cómo listan conectores, bases y flujos que tocan datos personales | Solo hacen entrevistas y llenan un formulario; no tocan los sistemas |
| Mapeo a los nueve campos del Art. 14 ter | Plantilla de registro con los nueve campos y ejemplo lleno de un flujo completo | El modelo omite período de conservación o decisiones automatizadas |
| Sincronización registro ↔ web pública | Arquitectura concreta (ej. Dataverse como fuente única, Power Pages para publicación) y demo del cambio propagándose | La publicación es un PDF que alguien sube a mano |
| Mantención y detección de cambios | Mecanismo de alerta ante un flujo o conector nuevo, con dueño y SLA de revisión definidos | El proyecto termina en la entrega del documento; la mantención no está cotizada |
| Trazabilidad y respaldo de evidencia | Bitácora con timestamp, versionado del registro y almacenamiento de respaldos consultable | No pueden reconstruir cómo estaba el registro hace tres meses |
| Separación legal / técnico | Declaración escrita de qué define legal (base de licitud, alcance) y qué entrega el proveedor | Ofrecen “interpretar la ley” sin ser estudio jurídico |
| Cobertura de decisiones automatizadas | Cómo documentan la lógica aplicada exigida por el Art. 14 ter letra l | Tratan los modelos y scoring como caja negra fuera de alcance |
Una pregunta que separa rápido: “si mañana marketing conecta una herramienta nueva, ¿cómo se entera el registro?”. Si la respuesta es “nos avisan”, el diseño no aguanta.
Otra: “¿cómo documentan un modelo que decide sobre personas?”. El Art. 8º bis obliga a garantizar explicación, intervención humana y revisión de la decisión en todos los casos, incluidas las excepciones de contrato, consentimiento y ley. Quien no distingue eso tampoco documentará bien la lógica aplicada; el criterio está desarrollado en el análisis sobre cómo se adaptan los sistemas que deciden sobre personas.
¿Qué señales de alerta descartan a un proveedor?
Descarte a quien afirme plazos o requisitos que no están en el texto oficial. Circulan guías con “15 días hábiles” o “30 días hábiles” para responder al titular: el Art. 11 dice 30 días corridos, prorrogables por una sola vez hasta por 30 días corridos más. Un proveedor que cita mal ese plazo tampoco leyó el articulado del registro.
Segunda alerta: quien resume las multas como “4% de la facturación”. El Art. 35 fija hasta 5.000 UTM para leves, 10.000 UTM para graves y 20.000 UTM para gravísimas. El tope de 4% de los ingresos anuales aplica a infracciones gravísimas con reincidencia y en empresas que no son de menor tamaño según la Ley 20.416. El 2% aplica al caso equivalente en graves.
Tercera: quien use “cancelación” en vez de supresión. Los seis derechos del Art. 4º son acceso, rectificación, supresión, oposición, portabilidad y bloqueo. “Cancelación” viene del ARCO español y mexicano; si aparece en la propuesta, la plantilla es importada sin revisar.
Cuarta: entregable único en formato documento, sin mecanismo de actualización ni dueño asignado por proceso.
Quinta: promesa de “cumplimiento garantizado”. Nadie garantiza el criterio de la Agencia de Protección de Datos Personales, que aún no dicta su primera resolución y que además administrará un Registro Nacional de Sanciones y Cumplimiento público.
“El registro no es un documento, es una consulta. Si para saber qué datos personales trata la empresa alguien tiene que abrir un Excel y preguntarle a tres personas, el registro ya está desactualizado.” — Marco Chávez, Fundador de Muze AI Consulting.
¿Cuándo conviene resolverlo internamente en vez de contratar?
Conviene hacerlo interno cuando la organización tiene pocos sistemas fuente, un responsable de datos con tiempo asignado y capacidad instalada en Power Platform o equivalente. El costo del proyecto crece con el número de sistemas fuente conectados, no con el tamaño de la empresa: una compañía de 2.000 personas con tres sistemas centralizados es más simple que una de 200 con quince SaaS dispersos.
Señales de que el proyecto se hace interno sin problema: existe un CMDB o inventario de aplicaciones vigente; los flujos de Power Automate tienen convención de nombres y dueño; hay un ambiente de Dataverse gobernado.
Señales de que conviene apoyo externo: nadie sabe cuántos tenants o cuentas de Google Workspace existen; hay planillas de RR.HH. circulando por correo; existen modelos de scoring en producción sin documentación de su lógica.
Una vía intermedia funciona bien: proveedor externo para el descubrimiento y la arquitectura del registro, equipo interno para la mantención, con traspaso documentado. Exija que el traspaso esté en el contrato, no como buena voluntad al final.
Aquí es donde entra una respuesta concreta: Muze AI Consulting levanta e implementa estos registros sobre Dataverse, Power Automate, Power Apps y Power Pages, con detección automática de flujos y conectores nuevos, bitácora con timestamp y publicación web sincronizada desde la misma fuente de verdad. En proyectos de captura y procesamiento documental, esa arquitectura ha reducido en 80% los errores de digitación y ha ahorrado más de 3.000 horas anuales en tareas manuales. El enfoque general está descrito en el artículo sobre cómo se automatiza el cumplimiento completo de esta ley.
¿Qué hacer con el tiempo que queda antes de diciembre de 2026?
Empiece por el descubrimiento, porque es la fase que no se puede comprimir. Al 18 de agosto de 2026 quedan poco más de tres meses para el 1 de diciembre de 2026, y el inventario depende de la disponibilidad de personas de negocio que solo pueden dedicar horas puntuales.
Orden recomendado: primero descubrimiento y clasificación; después base de licitud con legal; después publicación web; después automatización de solicitudes de titulares.
Invertir el orden es el error más caro. Un motor de respuesta a solicitudes construido sobre un inventario incompleto entrega respuestas incompletas, y responder de forma incompleta o fuera de plazo es infracción leve (Art. 34 bis, c), mientras que obstaculizar el ejercicio de los derechos es grave (Art. 34 ter, e).
La guía oficial de Gobierno Digital sirve como punto de partida común entre legal y TI, porque fija vocabulario compartido antes de discutir arquitectura.
Los datos verificables muestran que la ley obliga al registro y a su publicación permanente desde el 1 de diciembre de 2026. El criterio de Muze AI, en cambio, es que el registro debe modelarse como base de datos consultable y no como documento, porque de él dependen los plazos del Art. 11 y la trazabilidad que exige almacenar respaldos de cada respuesta.