Was Gesetz 21.719 tatsächlich verlangt

Das Gesetz gilt für die Verarbeitung personenbezogener Daten von Personen, die sich in Chile befinden, unabhängig davon, wo der Verantwortliche oder Auftragsverarbeiter ansässig ist, und für in Chile ansässige Verantwortliche und Auftragsverarbeiter, unabhängig davon, wo sich die Betroffenen befinden. Der territoriale Anwendungsbereich ist daher weit gefasst und erfasst die meisten Publisher, die chilenische Leser bedienen, wobei der häufigste Grenzfall — ein nicht-chilenischer Publisher ohne chilenische Infrastruktur, aber mit chilenischen Besuchern — durch den Verweis darauf gelöst wird, ob der Verantwortliche aktiv Dienste nach Chile gerichtet hat. Personenbezogene Daten sind weit definiert als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, wobei besondere Kategorien personenbezogener Daten — einschließlich Daten über rassische Herkunft, politische Meinung, religiöse Überzeugung, Gewerkschaftszugehörigkeit, Gesundheit, Sexualleben, sexuelle Orientierung und biometrische Daten — einer höheren Einwilligungsschwelle und zusätzlichen verfahrensmäßigen Schutzmaßnahmen unterliegen.

Das Gesetz legt Rechtsgrundlagen für die Verarbeitung fest, die nach dem Katalog von Artikel 6 der DSGVO modelliert sind, aber mit Chile-spezifischen Ergänzungen für Verarbeitung im öffentlichen Interesse und gerichtliche Verarbeitung; den standardmäßigen Katalog von Betroffenenrechten — Auskunft, Berichtigung, Löschung, Widerspruch, Portabilität und ein Chile-spezifisches Recht zum Blockieren automatisierter Entscheidungsfindung; einen Verantwortlichen-Auftragsverarbeiter-Rechenschaftspflichtrahmen mit obligatorischer Datenschutzbeauftragtenbestellung für Kategorien mit höherem Risiko; Datenpannenmeldepflichten an die neue Personal Data Protection Agency innerhalb von 72 Stunden nach Kenntnisnahme; grenzüberschreitende Übermittlungskontrollen, die von den Angemessenheitsentscheidungen der Behörde oder genehmigten vertraglichen Garantien abhängen; und ein Verwaltungssanktionsregime mit nach Schwere der Verletzung kategorisierten Bußgeldern, die für die schwerwiegendsten Verstöße UTM 5.000 erreichen.

Wie Gesetz 21.719 Cookie-Einwilligung behandelt

Gesetz 21.719 enthält keine separate ePrivacy-ähnliche Bestimmung zu Cookies; Cookies und analoge Speicher-und-Zugriffs-Technologien fallen unter den allgemeinen Einwilligungsrahmen. Der Standard ist eine ausdrückliche, freiwillige, spezifische, informierte und eindeutige Zustimmung, die durch eine positive Handlung nachgewiesen wird — die Familie von Anforderungen, die die DSGVO als globale Grundlinie festlegte und die Chile mit seiner eigenen verfahrensmäßigen Überlagerung übernommen hat. Die Personal Data Protection Agency, der neue unabhängige Regulierer, den das Gesetz einrichtet, hat während der Übergangsfrist erste Leitlinien herausgegeben, die bestätigen, dass vorausgefüllte Kästchen, aus fortgesetztem Surfen abgeleitete implizite Einwilligung und gebündelte Einwilligungsbanner den Schwellenwert des Gesetzes nicht erfüllen. Das stellt Chile fest in Einklang mit der globalen Entwicklung und bedeutet, dass die Position, die Publisher bereits für den EWR pflegen, der richtige Ausgangspunkt für chilenischen Traffic ist.

Der praktische Effekt ist, dass Cookies und analoge Technologien, die nicht unbedingt erforderlich sind, um den Dienst bereitzustellen, den der Besucher aktiv angefordert hat, nicht gesetzt werden dürfen, bevor der Besucher zugestimmt hat. Unbedingt erforderliche Cookies — Sitzungskennzeichen, Warenkorbinhalte, Sicherheits-Token, Load-Balancing-Cookies — können gesetzt werden auf der Grundlage, dass der Besucher den Dienst aktiv angefordert hat. Alles andere — Analysen, Werbung, Personalisierung, A/B-Tests, Session-Replay und jedes Drittanbieter-Tag — erfordert eine vorherige Einwilligung.

Wie Gesetz 21.719 in der Praxis von der DSGVO abweicht

Drei Unterschiede sind wichtig, wenn ein CMP für chilenischen Traffic verdrahtet wird. Erstens erkennt das Gesetz ausdrücklich ein Recht an, automatisierte Entscheidungsfindung zu blockieren — einschließlich Profiling — das über das Äquivalent von Artikel 22 der DSGVO hinausgeht und gilt, wenn die Verarbeitung wesentliche Auswirkungen auf die betroffene Person hat, wobei die Schwelle für wesentliche Auswirkungen großzügiger ausgelegt wird als in der europäischen Praxis. Für Publisher, die Personalisierungsmaschinen betreiben, die Besucher in kommerzielle Kategorien einteilen, bedeutet das Recht, dass ein Opt-out-Pfad aus automatisiertem Profiling verfügbar sein muss, auch nachdem die Analyseeinwilligung erteilt wurde. Zweitens erfordert das grenzüberschreitende Übermittlungsregime des Gesetzes, dass die Behörde Zieljurisdiktionen bezeichnet; Übermittlungen in nicht bezeichnete Jurisdiktionen erfordern entweder eine ausdrückliche Einwilligung der betroffenen Person, von der Behörde genehmigte vertragliche Garantien oder eine der engen Ausnahmen. Drittens legt das Gesetz einen strengeren Standard für die Verarbeitung biometrischer Daten und genetischer Daten an als die DSGVO-Grundlinie und verlangt einen separaten Genehmigungsweg für jene Kategorien, den Publisher, die biometrische Authentifizierung oder ähnliche Verarbeitung durchführen, in ihre Architektur einbeziehen müssen.

Wie ein konformes Cookie-Banner unter Gesetz 21.719 aussieht

Die technischen Anforderungen konvergieren mit dem, was jeder moderne CMP bereits produziert, aber die Beschriftung, die Dokumentation und das Einwilligungsprotokoll müssen chilenische Besonderheiten widerspiegeln. Das Banner der ersten Ebene muss dem Besucher eine echte Wahl präsentieren — akzeptieren, ablehnen, verwalten — wobei die Ablehnungsoption mindestens so prominent ist wie die Akzeptierungsoption. Gebündelte Einwilligung ist verboten, daher muss die zweite Ebene eine kategorienweise Opt-in-Möglichkeit ermöglichen, die mindestens Analysen, Werbung, automatisierte Entscheidungsfindung und jede von grenzüberschreitender Übermittlung abhängige Verarbeitung abdeckt. Kategorien müssen standardmäßig ausgeschaltet sein; das Banner darf keine Tags laden, bis der Besucher sie positiv eingeschaltet hat.

Der vom Banner aufgerufene Datenschutzhinweis muss den Verantwortlichen, die Registrierung des Verantwortlichen bei der Behörde, wo zutreffend, die Kategorien der erhobenen personenbezogenen Daten, die Rechtsgrundlage für jeden Verarbeitungszweck, die Datenspeicherdauer, die Kategorien der Empfänger einschließlich etwaiger außerhalb Chiles ansässiger Unterauftragsverarbeiter, die Rechte der betroffenen Person nach dem Gesetz einschließlich des Opt-out aus automatisierter Entscheidungsfindung, die Kontaktdaten des DPO, wo die DPO-Bestellung obligatorisch ist, und die Kontaktdaten der Behörde für Beschwerden identifizieren. Ein Hinweis, der den DSGVO-Artikel-13-Standard erfüllt, überschneidet sich erheblich, aber die Zeilen für den Opt-out aus automatisierter Entscheidungsfindung und den Behördenkontakt müssen ausdrücklich hinzugefügt werden.

Das Integrationsmuster, das eine Behördenprüfung besteht

Die Referenzimplementierung hat vier bewegliche Teile. Der erste ist ein CMP, der kategorienweisen, standardmäßig ausgeschalteten Opt-in unterstützt, einschließlich eines separaten Umschalters für automatisierte Entscheidungsfindung, und die Wahl des Besuchers über einen strukturierten Einwilligungsstring bereitstellt, den der Publisher speichern kann. Der zweite ist eine Tag-Lade-Schicht — ein serverseitiger Tag-Manager oder ein CMP-nativer Gate — der den Einwilligungsstatus streng durchsetzt, bevor ein nicht wesentliches Cookie gesetzt wird. Der dritte ist ein serverseitig gespeichertes Einwilligungsprotokoll, das für jedes Einwilligungsereignis die Wahl des Besuchers je Kategorie, den Zeitstempel, die Bannerversion, die Sprachversion, die der Besucher sah, und eine gekürzte oder gehashte IP-Kennung aufzeichnet, sodass der Verantwortliche den Eintrag auf Anfrage der Behörde vorlegen kann. Der vierte ist ein Widerrufspfad, der mindestens so einfach ist wie die ursprüngliche Erteilung — ein dauerhafter Banner-Wiedereröffnungslink in der Fußzeile plus eine spanischsprachige Datenschutz-Rechte-Seite, die den Opt-out aus automatisierter Entscheidungsfindung als separate Funktion zeigt.

• Analyse-Tags — Google Analytics 4, Adobe Analytics, Matomo, Amplitude, Mixpanel, PostHog, Heap — dürfen nur geladen werden, nachdem die Analysekategorie erteilt wurde. Jede Plattform unterstützt eine einwilligungsgesteuerte Konfiguration, die jedes Cookie-Schreiben verhindert, bevor der Gate umschaltet.
• Werbe-Tags — Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight, programmatische Header-Bidder — müssen ähnlich abgesichert werden, und wenn der Werbepartner Daten aus Chile in eine Jurisdiktion überträgt, die die Behörde nicht bezeichnet hat, müssen die Empfängerjurisdiktion und die Übermittlungsgrundlage im Datenschutzhinweis erscheinen.
• Session-Replay- und Heatmap-Tools — Hotjar, Microsoft Clarity, FullStory, Contentsquare — müssen hinter einem separaten, strengeren Gate sein, weil die Behörde die internationale Leitlinie übernommen hat, die die Wiedergabe von Eingabefeldern als Kategorie kennzeichnet, die eine ausdrückliche und granulare Einwilligung erfordert.
• Automatisierte Entscheidungsfindung und Profiling — Personalisierungsmaschinen, dynamische Preisgestaltung, Empfehlungssysteme, die Besucher in kommerzielle Kategorien einteilen — müssen durch einen separaten Opt-out-Umschalter abgesichert werden, den der Besucher unabhängig von der Analyse- oder Marketing-Einwilligung betätigen kann, und der Opt-out muss sich auf jedes nachgelagerte System ausbreiten, das automatisierte Entscheidungen anwendet.

Validierung, Registrierung und Prüfungsstellung für 2026

Ein verteidigungsfähiges chilenisches Deployment im Jahr 2026 muss vier technische Prüfungen bestehen. Erstens muss eine saubere Browsersitzung, die von einer chilenischen IP-Adresse ausgeliefert wird, null nicht wesentliche Cookies produzieren, bevor das Banner betätigt wurde. Zweitens muss der Alle-ablehnen-Pfad zu derselben Position wie eine Keine-Aktion-Sitzung führen — keine Analyse-Tags, keine Werbe-Tags, keine Session-Replay-Skripte, kein automatisiertes Profiling. Drittens muss ein Alle-akzeptieren-Ablauf nur die Tags produzieren, denen der Besucher zugestimmt hat, und das Einwilligungsprotokoll muss einen übereinstimmenden Eintrag enthalten. Viertens muss ein Widerrufsablauf weitere Tag-Auslösungen sofort stoppen, die während der eingewilligten Sitzung gesetzten Cookies ablaufen lassen, jede den Besucher betreffende automatisierte Entscheidungsfindung deaktivieren und alle nachgelagerten Löschungs- oder Opt-out-Signale auslösen, die die Empfängerpartner benötigen.

Über die technischen Prüfungen hinaus ist die Registrierungs- und Prüfungsstellung das, was ein Deployment verteidigungsfähig macht. Verantwortliche, die personenbezogene Daten chilenischer Einwohner über den von der Behörde definierten Schwellenwerten verarbeiten, müssen die relevanten Registrierungen und Meldungen abschließen, und der Registrierungseintrag — zusammen mit dem Einwilligungsprotokoll, dem Datenschutzhinweis, den Ergebnissen der Datenschutz-Folgenabschätzung für Verarbeitungen mit höherem Risiko einschließlich Profiling, den DPO-Bestellungsunterlagen und den grenzüberschreitenden Übermittlungsgenehmigungen — bildet die Dokumentation, die die Behörde bei einer Compliance-Prüfung anfordern kann. Ein korrekt konfigurierter CMP mit einem serverseitigen Protokoll, einer Tag-Lade-Schicht, die den Einwilligungsstatus durchsetzt, einem Datenschutzhinweis, der jede grenzüberschreitende Übermittlungsdestination benennt, einer Opt-out-Funktion für automatisierte Entscheidungsfindung und den Registrierungsunterlagen in der Akte ist das, was Gesetz 21.719 von einer regulatorischen Unbekannten in einen verteidigungsfähigen Teil der lateinamerikanischen Einwilligungsstellung eines Publishers verwandelt.