ما يشترطه القانون 21.719 فعليًا

ينطبق القانون على معالجة البيانات الشخصية للأفراد المقيمين في تشيلي بصرف النظر عن موقع المتحكم أو المعالج، وعلى المتحكمين والمعالجين في تشيلي بصرف النظر عن موقع أصحاب البيانات. النطاق الإقليمي واسع ويطال معظم الناشرين الذين يخدمون القراء التشيليين، وحالة الاستثناء الأكثر شيوعًا — الناشر غير التشيلي بلا بنية تحتية تشيلية لكن لديه زوار تشيليون — تُحسم بالرجوع إلى ما إذا كان المتحكم قد وجّه خدماته بصورة نشطة نحو تشيلي. وتُعرَّف البيانات الشخصية تعريفًا واسعًا بوصفها أي معلومة تتعلق بشخص طبيعي محدد الهوية أو قابل لتحديدها، فيما تخضع البيانات الشخصية الحساسة — بما فيها البيانات المتعلقة بالأصل العرقي والرأي السياسي والمعتقد الديني والانتماء النقابي والصحة والحياة الجنسية والتوجه الجنسي والبيانات البيومترية — لعتبة موافقة أعلى وإجراءات حماية إضافية.

يُرسي القانون أسسًا قانونية للمعالجة مستوحاة من كتالوج المادة 6 في GDPR مع إضافات خاصة بتشيلي لمعالجة المصلحة العامة والمعالجة القضائية، وقائمة حقوق قياسية لأصحاب البيانات — الوصول والتصحيح والمسح والاعتراض والتنقل والحق الخاص بتشيلي في منع صنع القرار الآلي — وإطارًا لمساءلة المتحكم والمعالج يُلزم بتعيين مسؤول حماية البيانات للفئات الأعلى خطورة، وإلزامية إخطار الوكالة الجديدة لحماية البيانات الشخصية بالاختراقات في غضون 72 ساعة من الاكتشاف، وضوابط لنقل البيانات عبر الحدود مرتبطة بتحديدات الوكالة للدول المناسبة أو الضمانات التعاقدية المعتمدة، ونظام عقوبات إدارية تُصنَّف غراماته حسب خطورة المخالفة وقد تصل إلى UTM 5,000 في أشد الاختراقات.

كيف يعالج القانون 21.719 موافقة ملفات تعريف الارتباط

لا يتضمن القانون 21.719 حكمًا مستقلًا على غرار ePrivacy يتعلق بملفات تعريف الارتباط؛ إذ تندرج ملفات تعريف الارتباط والتقنيات المماثلة للتخزين والوصول ضمن إطار الموافقة العامة. المعيار المطلوب هو موافقة صريحة وطوعية ومحددة ومستنيرة وغير غامضة يُدلى بها عبر فعل إيجابي — مجموعة المتطلبات التي حددها GDPR معيارًا عالميًا وتبنّتها تشيلي مع طبقتها الإجرائية الخاصة. وقد أصدرت الوكالة لحماية البيانات الشخصية — الجهة التنظيمية المستقلة التي أنشأها القانون — إرشادات أولية خلال الانطلاق التدريجي لفترة السماح، تؤكد أن مربعات الاختيار المُحددة مسبقًا والموافقة الضمنية المستنتجة من الاستمرار في التصفح وبانرات الموافقة المجمّعة لا تستوفي عتبة القانون. هذا يُدخل تشيلي بحزم في مسار التوجه العالمي، مما يعني أن الموقف الذي يعتمده الناشرون بالفعل للمنطقة الاقتصادية الأوروبية EEA هو نقطة البداية الصحيحة للزيارات التشيلية.

الأثر العملي هو أن ملفات تعريف الارتباط والتقنيات المماثلة التي ليست ضرورية حصرًا لتقديم الخدمة التي طلبها الزائر بصورة فعلية لا يجوز تفعيلها قبل أن يوافق الزائر. أما ملفات تعريف الارتباط الضرورية حصرًا — معرّفات الجلسة ومحتويات سلة التسوق ورموز الأمان وملفات تعريف الارتباط لموازنة التحميل — فيمكن تفعيلها على أساس أن الزائر طلب الخدمة بصورة فعلية. وكل ما عدا ذلك — التحليلات والإعلانات والتخصيص واختبار A/B وإعادة تشغيل الجلسة وأي علامة تابعة لجهة خارجية — يستلزم الحصول على موافقة مسبقة.

كيف يتباين القانون 21.719 عن GDPR من الناحية العملية

ثمة ثلاثة اختلافات جوهرية عند ضبط نظام CMP لحركة المرور التشيلية. أولًا، يُقرّ القانون صراحةً بحق منع صنع القرار الآلي — بما في ذلك التنميط — وهو حق أوسع نطاقًا من المادة 22 المعادلة في GDPR وينطبق في أي وقت تُفضي فيه المعالجة إلى آثار جوهرية على صاحب البيانات، مع تفسير أكثر تساهلًا لعتبة الآثار الجوهرية مقارنةً بالممارسة الأوروبية. للناشرين الذين يشغّلون محركات تخصيص تصنّف الزوار إلى فئات تجارية، يعني هذا الحق ضرورة توفير مسار انسحاب من التنميط الآلي حتى بعد منح الموافقة على التحليلات. ثانيًا، يستلزم نظام نقل البيانات عبر الحدود في القانون أن تُحدد الوكالة الدول الوجهة؛ والتحويلات إلى دول غير محددة تستوجب إما موافقة صريحة من صاحب البيانات أو ضمانات تعاقدية معتمدة من الوكالة أو أحد الاستثناءات الضيقة. ثالثًا، يُطبّق القانون معيارًا أصرم على معالجة البيانات البيومترية والجينية مقارنةً بمعيار GDPR الأساسي، إذ يستلزم مسارًا تفويضيًا منفصلًا لتلك الفئات يجب على الناشرين الذين يجرون مصادقة بيومترية أو معالجات مماثلة مراعاته في بنيتهم التحتية.

كيف يبدو بانر ملفات تعريف الارتباط المتوافق مع القانون 21.719

تتقاطع المتطلبات التقنية مع ما تنتجه كل أنظمة CMP الحديثة، لكن التسمية والتوثيق وسجل الموافقة يجب أن تعكس الخصوصيات التشيلية. يجب أن يُقدّم بانر الطبقة الأولى للزائر خيارًا حقيقيًا — قبول ورفض وإدارة — حيث تكون قابلية رؤية خيار الرفض مساوية على الأقل لخيار القبول. الموافقة المجمّعة محظورة، لذا يجب أن تتيح الطبقة الثانية الاشتراك لكل فئة على حدة يشمل بحد أدنى التحليلات والإعلانات وصنع القرار الآلي وأي معالجة تعتمد على نقل البيانات عبر الحدود. يجب أن تكون الفئات محددة افتراضيًا على إيقاف؛ ولا يجوز للبانر تحميل العلامات حتى يُفعّلها الزائر بصورة إيجابية.

يجب أن يُحدد إشعار الخصوصية المنبثق من البانر: المتحكم وتسجيله لدى الوكالة حيثما ينطبق، وفئات البيانات الشخصية المجمّعة، والأساس القانوني لكل غرض من أغراض المعالجة، وفترة الاحتفاظ بالبيانات، وفئات المستلمين بما في ذلك المعالجون الفرعيون خارج تشيلي، وحقوق صاحب البيانات بموجب القانون بما في ذلك حق الانسحاب من صنع القرار الآلي، وتفاصيل الاتصال بمسؤول حماية البيانات DPO حيثما يكون التعيين إلزاميًا، وتفاصيل الاتصال بالوكالة لتقديم الشكاوى. الإشعار الذي يستوفي معيار المادة 13 من GDPR يتداخل إلى حد بعيد لكن يجب إضافة سطري حق الانسحاب من صنع القرار الآلي وبيانات اتصال الوكالة صراحةً.

نمط التكامل الذي يجتاز مراجعة الوكالة

يتألف التنفيذ المرجعي من أربعة أجزاء متحركة. الأول هو نظام CMP يدعم الاشتراك لكل فئة بشكل افتراضي على الإيقاف، بما في ذلك مفتاح تبديل منفصل لصنع القرار الآلي، ويُتيح خيار الزائر عبر سلسلة موافقة منظمة يمكن للناشر حفظها. الثاني هو طبقة تحميل العلامات — مدير علامات من جانب الخادم أو بوابة محلية لنظام CMP — تُطبّق حالة الموافقة بصرامة قبل تفعيل أي ملف تعريف ارتباط غير ضروري. الثالث هو سجل الموافقة المُخزَّن من جانب الخادم، يُسجّل لكل حدث موافقة: خيار الزائر لكل فئة والطابع الزمني وإصدار البانر وإصدار اللغة الذي رآه الزائر ومُعرّف IP مُبتَّر أو مُجزَّأ بحيث يستطيع المتحكم تقديم السجل عند طلب الوكالة. الرابع هو مسار سحب الموافقة بسهولة مساوية على الأقل للمنح الأصلي — رابط دائم لإعادة فتح البانر في التذييل وصفحة حقوق الخصوصية باللغة الإسبانية تُبرز حق الانسحاب من صنع القرار الآلي بوصفه إمكانية مستقلة.

• علامات التحليلات — Google Analytics 4 وAdobe Analytics وMatomo وAmplitude وMixpanel وPostHog وHeap — لا يجوز تحميلها إلا بعد منح فئة التحليلات. كل منصة تدعم تهيئة مُقيّدة بالموافقة تمنع أي كتابة لملفات تعريف الارتباط قبل فتح البوابة.
• علامات الإعلانات — Google Ads وMeta Pixel وTikTok Pixel وLinkedIn Insight ومزايدو رأس المال البرمجيون — يجب تقييدها بالمثل، وحيثما تنقل إحدى جهات الإعلانات الشريكة البيانات خارج تشيلي إلى دولة لم تُحددها الوكالة يجب ذكر دولة المستلم وأساس النقل في إشعار الخصوصية.
• أدوات إعادة تشغيل الجلسة وخرائط الحرارة — Hotjar وMicrosoft Clarity وFullStory وContentsquare — يجب وضعها خلف بوابة منفصلة وأكثر صرامة لأن الوكالة تتوافق مع التوجيهات الدولية التي تُصنّف تصيير حقول الإدخال فئة تستلزم موافقة صريحة وتفصيلية.
• صنع القرار الآلي والتنميط — محركات التخصيص والتسعير الديناميكي وأنظمة التوصية التي تُصنّف الزوار إلى فئات تجارية — يجب تقييدها بمفتاح تبديل انسحاب منفصل يستطيع الزائر تفعيله بشكل مستقل عن موافقة التحليلات أو التسويق، ويجب أن يُنشر قرار الانسحاب في كل نظام داخلي يُطبّق قرارات آلية.

التحقق والتسجيل وموقف التدقيق لعام 2026

يجب على النشر التشيلي القابل للدفاع عنه في 2026 اجتياز أربعة اختبارات تقنية. أولًا، يجب أن تُنتج جلسة متصفح نظيفة من عنوان IP تشيلي صفر ملفات تعريف ارتباط غير ضرورية قبل تفعيل البانر. ثانيًا، يجب أن يؤدي مسار الرفض الكامل إلى نفس الموقف كجلسة بلا أي إجراء — لا علامات تحليلية ولا علامات إعلانية ولا نصوص برمجية لإعادة تشغيل الجلسة ولا تنميط آلي. ثالثًا، يجب أن يُنتج تدفق القبول الكامل فقط العلامات التي وافق عليها الزائر، ويجب أن يحتوي سجل الموافقة على سجل مطابق. رابعًا، يجب أن يُوقف تدفق السحب على الفور إطلاق أي علامات أخرى، وينتهي صلاحية ملفات تعريف الارتباط المُفعَّلة خلال الجلسة الموافق عليها، ويُوقف أي صنع قرار آلي يؤثر على الزائر، ويُرسل إشارات الحذف أو الانسحاب المطلوبة إلى الشركاء المستلمين.

إلى جانب الاختبارات التقنية، فإن موقف التسجيل والتدقيق هو ما يجعل النشر قابلًا للدفاع عنه. يجب على المتحكمين الذين يعالجون البيانات الشخصية للمقيمين التشيليين فوق العتبات التي تُحددها الوكالة إتمام التسجيلات والإخطارات ذات الصلة، وسجل التسجيل — جنبًا إلى جنب مع سجل الموافقة وإشعار الخصوصية ونتائج تقييم أثر حماية البيانات للمعالجة عالية الخطورة بما في ذلك التنميط وأوراق تعيين DPO وتفويضات نقل البيانات عبر الحدود — يشكّل التوثيق الذي قد تطلبه الوكالة خلال مراجعة الامتثال. نظام CMP مُهيَّأ بشكل صحيح مع سجل من جانب الخادم وطبقة تحميل علامات تُطبّق حالة الموافقة وإشعار خصوصية يُسمّي كل وجهة لنقل البيانات عبر الحدود وإمكانية انسحاب من صنع القرار الآلي وأوراق التسجيل المحفوظة هو ما يحوّل القانون 21.719 من مجهول تنظيمي إلى جزء قابل للدفاع عنه من موقف الموافقة اللاتيني الأمريكي للناشر.