El registro de actividades de tratamiento es una obligación central de la Ley N°21.719. Tanto responsables como encargados deben mantener un registro escrito —electrónico o físico— que contenga:

Finalidades del tratamiento y base jurídica (contrato de prestación educacional, obligación legal, consentimiento).
Categorías de titulares (estudiantes, apoderados, funcionarios) y de datos tratados (incluyendo sensibles como salud o PIE).
Destinatarios o categorías de destinatarios (plataformas, MINEDUC, sostenedor, transferencias internacionales).
Plazos de conservación previstos.
Descripción general de las medidas de seguridad técnicas y organizativas (control de acceso al sistema de notas, cifrado, respaldos, políticas internas, capacitación docente).

Este documento debe estar disponible para la Agencia (APDP) en caso de fiscalización. Las medidas deben ser apropiadas al nivel de riesgo: a mayor sensibilidad (datos de salud de menores) o mayor volumen (miles de estudiantes), más robustas las salvaguardas.

Elemento	Ejemplo en el establecimiento
Finalidad	Gestión académica y comunicación con la familia
Base jurídica	Contrato de prestación educacional
Categorías de datos	Nombre, RUT, notas, asistencia, salud (PIE)
Medidas de seguridad	Acceso restringido a docentes, cifrado, respaldo diario

El registro se actualiza cada vez que se incorpora un nuevo tratamiento (una nueva app, un nuevo convenio) o se modifica uno existente, y sirve de insumo para las evaluaciones de impacto y las notificaciones de brechas.