Ce qu'exige réellement la loi 21.719

La loi s'applique au traitement des données personnelles de personnes situées au Chili indépendamment du lieu d'établissement du responsable du traitement ou du sous-traitant, et aux responsables et sous-traitants situés au Chili indépendamment du lieu de résidence des personnes concernées. Le champ d'application territorial est donc large et englobe la plupart des éditeurs desservant des lecteurs chiliens, le cas limite le plus courant — un éditeur non chilien sans infrastructure chilienne mais avec des visiteurs chiliens — étant résolu par référence au fait que le responsable ait activement dirigé des services vers le Chili. Les données personnelles sont définies largement comme toute information relative à une personne physique identifiée ou identifiable, les données personnelles sensibles — comprenant les données relatives à l'origine raciale, à l'opinion politique, à la croyance religieuse, à l'affiliation syndicale, à la santé, à la vie sexuelle, à l'orientation sexuelle et aux données biométriques — étant soumises à un seuil de consentement plus élevé et à des protections procédurales supplémentaires.

La loi établit des bases légales de traitement calquées sur le catalogue de l'Article 6 du RGPD mais avec des ajouts spécifiques au Chili pour le traitement d'intérêt public et le traitement judiciaire ; le catalogue standard des droits des personnes concernées — accès, rectification, effacement, opposition, portabilité et un droit spécifique au Chili de bloquer la prise de décision automatisée ; un cadre de responsabilité responsable-sous-traitant avec désignation obligatoire d'un délégué à la protection des données pour les catégories à risque plus élevé ; des obligations de notification de violation à la nouvelle Personal Data Protection Agency dans les 72 heures de la prise de conscience ; des contrôles de transfert transfrontalier tributaires des décisions d'adéquation de l'Agence ou de garanties contractuelles approuvées ; et un régime de sanctions administratives avec des amendes catégorisées selon la gravité de l'infraction et atteignant UTM 5 000 pour les violations les plus graves.

Comment la loi 21.719 traite le consentement aux cookies

La loi 21.719 ne contient pas de disposition distincte de type ePrivacy sur les cookies ; les cookies et les technologies de stockage et d'accès analogues relèvent du cadre général de consentement. La norme est un accord explicite, volontaire, spécifique, éclairé et sans ambiguïté mis en évidence par un acte affirmatif — la famille d'exigences que le RGPD a établie comme référence mondiale et que le Chili a importée avec sa propre couche procédurale. L'Agence de protection des données personnelles, le nouveau régulateur indépendant qu'instaure la loi, a publié des orientations initiales lors du déploiement progressif de la période de grâce confirmant que les cases pré-cochées, le consentement implicite déduit de la navigation continue et les bannières de consentement groupé ne satisfont pas le seuil de la loi. Cela place le Chili fermement dans la trajectoire mondiale et signifie que la posture que les éditeurs maintiennent déjà pour l'EEE est le bon point de départ pour le trafic chilien.

L'effet pratique est que les cookies et les technologies analogues qui ne sont pas strictement nécessaires pour fournir le service que le visiteur a activement demandé ne doivent pas être définis avant que le visiteur ait consenti. Les cookies strictement nécessaires — identifiants de session, contenu du panier, jetons de sécurité, cookies d'équilibrage de charge — peuvent être définis sur la base que le visiteur a activement demandé le service. Tout le reste — analytique, publicité, personnalisation, test A/B, rediffusion de session et tout tag tiers — nécessite un consentement préalable.

Comment la loi 21.719 s'écarte du RGPD dans la pratique

Trois différences importent lors du câblage d'un CMP pour le trafic chilien. Premièrement, la loi reconnaît explicitement un droit de bloquer la prise de décision automatisée — y compris le profilage — qui est plus large que l'équivalent de l'Article 22 du RGPD et s'applique chaque fois que le traitement produit des effets significatifs sur la personne concernée, avec le seuil des effets significatifs interprété plus généreusement que dans la pratique européenne. Pour les éditeurs exploitant des moteurs de personnalisation qui segmentent les visiteurs en catégories commerciales, le droit signifie qu'une voie d'exclusion du profilage automatisé doit être disponible même après l'octroi du consentement analytique. Deuxièmement, le régime de transfert transfrontalier de la loi exige que l'Agence désigne des juridictions de destination ; les transferts vers des juridictions non désignées nécessitent soit le consentement explicite de la personne concernée, soit des garanties contractuelles approuvées par l'Agence, soit une des dérogations étroites. Troisièmement, la loi applique une norme plus stricte au traitement des données biométriques et des données génétiques que la référence du RGPD, exigeant une piste d'autorisation distincte pour ces catégories que les éditeurs effectuant une authentification biométrique ou un traitement similaire doivent intégrer à leur architecture.

À quoi ressemble une bannière de cookies conforme sous la loi 21.719

Les exigences techniques convergent avec ce que chaque CMP moderne produit déjà, mais l'étiquetage, la documentation et le journal de consentement doivent refléter les spécificités chiliennes. La bannière de première couche doit présenter au visiteur un vrai choix — accepter, rejeter, gérer — où l'option de rejet est au moins aussi visible que l'option d'acceptation. Le consentement groupé est interdit, de sorte que la deuxième couche doit permettre l'opt-in par catégorie couvrant au minimum l'analytique, la publicité, la prise de décision automatisée et tout traitement dépendant d'un transfert transfrontalier. Les catégories doivent être par défaut désactivées ; la bannière ne doit pas charger de tags jusqu'à ce que le visiteur les ait activés de manière affirmative.

L'avis de confidentialité surfacé depuis la bannière doit identifier le responsable du traitement, l'enregistrement du responsable auprès de l'Agence le cas échéant, les catégories de données personnelles collectées, la base légale pour chaque finalité de traitement, la durée de conservation des données, les catégories de destinataires y compris tout sous-traitant situé hors du Chili, les droits de la personne concernée au titre de la loi y compris l'exclusion de la prise de décision automatisée, les coordonnées du DPO là où la désignation du DPO est obligatoire, et les coordonnées de l'Agence pour les réclamations. Un avis satisfaisant la norme de l'Article 13 du RGPD se chevauche substantiellement mais les lignes d'exclusion de la prise de décision automatisée et de contact avec l'Agence doivent être ajoutées explicitement.

Le modèle d'intégration qui passe un examen de l'Agence

L'implémentation de référence comporte quatre parties mobiles. La première est un CMP prenant en charge l'opt-in par catégorie, désactivé par défaut, y compris un commutateur distinct de prise de décision automatisée, et exposant le choix du visiteur via une chaîne de consentement structurée que l'éditeur peut conserver. La seconde est une couche de chargement de tags — un gestionnaire de tags côté serveur ou une porte native à CMP — qui applique strictement l'état de consentement avant qu'un cookie non essentiel ne soit défini. La troisième est un journal de consentement, stocké côté serveur, qui enregistre pour chaque événement de consentement le choix du visiteur par catégorie, l'horodatage, la version de la bannière, la version linguistique que le visiteur a vue, et un identifiant IP tronqué ou haché de sorte que le responsable puisse produire l'enregistrement sur demande de l'Agence. La quatrième est une voie de retrait au moins aussi facile que l'octroi initial — un lien permanent de réouverture de bannière dans le pied de page plus une page de droits à la vie privée en espagnol qui présente l'exclusion de la prise de décision automatisée comme une fonctionnalité distincte.

• Tags analytiques — Google Analytics 4, Adobe Analytics, Matomo, Amplitude, Mixpanel, PostHog, Heap — ne doivent être chargés qu'après l'octroi de la catégorie analytique. Chaque plateforme prend en charge une configuration à porte de consentement qui empêche toute écriture de cookie avant le basculement de la porte.
• Tags publicitaires — Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight, enchérisseurs programmatiques d'en-tête — doivent être similairement contrôlés, et lorsque le partenaire publicitaire transfère des données hors du Chili vers une juridiction que l'Agence n'a pas désignée, la juridiction du destinataire et la base du transfert doivent figurer dans l'avis de confidentialité.
• Outils de rediffusion de session et de cartes de chaleur — Hotjar, Microsoft Clarity, FullStory, Contentsquare — doivent être derrière une porte distincte et plus stricte car l'Agence s'est alignée sur les orientations internationales signalant le rendu des champs de saisie comme une catégorie nécessitant un consentement explicite et granulaire.
• Prise de décision automatisée et profilage — moteurs de personnalisation, tarification dynamique, systèmes de recommandation segmentant les visiteurs en catégories commerciales — doivent être contrôlés par un commutateur d'exclusion distinct que le visiteur peut activer indépendamment du consentement analytique ou marketing, et l'exclusion doit se propager à chaque système en aval appliquant des décisions automatisées.

Validation, enregistrement et posture d'audit pour 2026

Un déploiement chilien défendable en 2026 doit passer quatre vérifications techniques. Premièrement, une session de navigateur propre servie depuis une adresse IP chilienne doit produire zéro cookie non essentiel avant que la bannière ait été actionnée. Deuxièmement, la voie de rejet global doit déboucher sur la même posture qu'une session sans action — aucun tag analytique, aucun tag publicitaire, aucun script de rediffusion de session, aucun profilage automatisé. Troisièmement, un flux d'acceptation globale ne doit produire que les tags pour lesquels le visiteur a consenti, et le journal de consentement doit contenir un enregistrement correspondant. Quatrièmement, un flux de retrait doit immédiatement arrêter les déclenchements de tags supplémentaires, expirer les cookies définis pendant la session consentie, désactiver toute prise de décision automatisée affectant le visiteur, et déclencher tout signal de suppression ou d'exclusion en aval requis par les partenaires destinataires.

Au-delà des vérifications techniques, la posture d'enregistrement et d'audit est ce qui rend un déploiement défendable. Les responsables qui traitent les données personnelles de résidents chiliens au-delà des seuils définis par l'Agence doivent compléter les enregistrements et notifications pertinents, et l'enregistrement — conjointement avec le journal de consentement, l'avis de confidentialité, les résultats de l'analyse d'impact relative à la protection des données pour les traitements à risque plus élevé y compris le profilage, les documents de désignation du DPO et les autorisations de transfert transfrontalier — forme la documentation que l'Agence peut demander lors d'un examen de conformité. Un CMP correctement configuré avec un journal côté serveur, une couche de chargement de tags appliquant l'état de consentement, un avis de confidentialité nommant chaque destination de transfert transfrontalier, une fonctionnalité d'exclusion de la prise de décision automatisée et les documents d'enregistrement au dossier est ce qui transforme la loi 21.719 d'un inconnu réglementaire en une partie défendable de la posture de consentement latino-américaine d'un éditeur.