מה דורש חוק 21.719 בפועל

החוק חל על עיבוד נתונים אישיים של אנשים הנמצאים בצ'ילה ללא קשר למקום ייסוד הבקר או המעבד, ועל בקרים ומעבדים הנמצאים בצ'ילה ללא קשר למיקום נושאי הנתונים. טווח הטריטוריה רחב לכן ותופס את רוב המפרסמים המשרתים קוראים צ'יליאנים, כאשר המקרה הגבולי הנפוץ ביותר — מפרסם שאינו צ'יליאני ללא תשתית צ'יליאנית אך עם מבקרים צ'יליאנים — נפתר על ידי הפניה לשאלה האם הבקר כיוון באופן פעיל שירותים לצ'ילה. נתונים אישיים מוגדרים באופן רחב ככל מידע הנוגע לאדם פיזי מזוהה או הניתן לזיהוי, כאשר נתונים אישיים רגישים — כולל נתונים הנוגעים למוצא גזעי, דעה פוליטית, אמונה דתית, חברות בועד עובדים, בריאות, חיים מיניים, נטייה מינית ונתונים ביומטריים — כפופים לסף הסכמה גבוה יותר ולהגנות פרוצדורליות נוספות.

החוק מקים בסיסים משפטיים לעיבוד המבוססים על קטלוג Article 6 של ה-GDPR אך עם תוספות ספציפיות לצ'ילה לעיבוד עניין ציבורי ועיבוד שיפוטי; רשימת הזכויות הסטנדרטית של נושאי נתונים — גישה, תיקון, מחיקה, התנגדות, ניידות וזכות ספציפית לצ'ילה לחסום קבלת החלטות אוטומטית; מסגרת אחריות בקר-מעבד עם מינוי חובה של קצין הגנת נתונים לקטגוריות בסיכון גבוה יותר; חובות הודעה על הפרה לסוכנות החדשה להגנה על נתונים אישיים תוך 72 שעות מהמודעות; בקרות על העברה חוצת-גבולות התלויות בקביעות הנאותות של הסוכנות או בערבויות חוזיות מאושרות; ומשטר ענישה מנהלית עם קנסות מסווגים לפי חומרת ההפרה ומגיעים ל-UTM 5,000 עבור ההפרות החמורות ביותר.

כיצד מתייחס חוק 21.719 להסכמת עוגיות

חוק 21.719 אינו מכיל הוראה נפרדת בסגנון ePrivacy בנושא עוגיות; עוגיות וטכנולוגיות אחסון-וגישה אנלוגיות נכנסות למסגרת ההסכמה הכללית. הסטנדרט הוא הסכמה מפורשת, מרצון, ספציפית, מושכלת וחד-משמעית המוכחת על ידי פעולה חיובית — משפחת הדרישות שה-GDPR קבע כקו בסיס גלובלי וצ'ילה אימצה עם שכבת הנהלים שלה. הסוכנות להגנה על נתונים אישיים, הרגולטור העצמאי החדש שהחוק מקים, הוציאה הנחיות ראשוניות במהלך ההשקה ההדרגתית של תקופת הגרייס המאשרות שתיבות מסומנות מראש, הסכמה משתמעת שנובעת מגלישה מתמשכת ובאנרים של הסכמה מצרפית אינם עומדים בסף החוק. זה מציב את צ'ילה בהתאם לנתיב הגלובלי ומשמעות הדבר שהעמדה שמפרסמים כבר שומרים עבור ה-EEA היא נקודת ההתחלה הנכונה לתעבורה צ'יליאנית.

ההשפעה המעשית היא שעוגיות וטכנולוגיות אנלוגיות שאינן נחוצות בהחלט למתן השירות שהמבקר ביקש באופן פעיל אסור להגדיר לפני שהמבקר הסכים. עוגיות הנחוצות בהחלט — מזהי סשן, תוכן עגלת קניות, אסימוני אבטחה, עוגיות איזון עומסים — ניתן להגדיר על בסיס שהמבקר ביקש באופן פעיל את השירות. כל השאר — ניתוחים, פרסום, התאמה אישית, בדיקת A/B, הפעלה חוזרת של סשן וכל תג צד-שלישי — דורש הסכמה מוקדמת.

כיצד חוק 21.719 שונה מה-GDPR בפועל

שלושה הבדלים חשובים בעת חיבור CMP לתעבורה צ'יליאנית. ראשית, החוק מכיר במפורש בזכות לחסום קבלת החלטות אוטומטית — כולל פרופיילינג — שהיא רחבה יותר מהמקבילה של Article 22 של ה-GDPR וחלה בכל עת שהעיבוד מייצר השפעות מהותיות על נושא הנתונים, כאשר הסף להשפעות מהותיות מתפרש ביתר נדיבות מאשר בפרקטיקה האירופית. עבור מפרסמים המפעילים מנועי התאמה אישית המסייגים מבקרים לקטגוריות מסחריות, הזכות פירושה שנתיב ביטול הצטרפות מפרופיילינג אוטומטי חייב להיות זמין גם לאחר שניתנה הסכמה לניתוחים. שנית, משטר ההעברה חוצת-הגבולות של החוק מחייב את הסוכנות לייעד תחומי שיפוט יעד; העברות לתחומי שיפוט לא מיועדים דורשות הסכמה מפורשת של נושא הנתונים, ערבויות חוזיות שאושרו על ידי הסוכנות, או אחת מהחריגות הצרות. שלישית, החוק מחיל סטנדרט מחמיר יותר על עיבוד נתונים ביומטריים ונתונים גנטיים מאשר קו הבסיס של ה-GDPR, ומצריך מסלול הרשאה נפרד עבור אותן קטגוריות שמפרסמים המבצעים אימות ביומטרי או עיבוד דומה חייבים לשלב בארכיטקטורה שלהם.

כיצד נראה באנר עוגיות תואם תחת חוק 21.719

הדרישות הטכניות מתכנסות עם מה שכל CMP מודרני כבר מייצר, אך התיוג, התיעוד ורשומת ההסכמה חייבים לשקף את הפרטים הספציפיים לצ'ילה. באנר השכבה הראשונה חייב להציג למבקר בחירה אמיתית — קבל, דחה, נהל — שבה אפשרות הדחייה בולטת לפחות כמו אפשרות הקבלה. הסכמה מצרפית אסורה, לכן השכבה השנייה חייבת לאפשר הצטרפות לפי קטגוריה המכסה לכל הפחות ניתוחים, פרסום, קבלת החלטות אוטומטית וכל עיבוד התלוי בהעברה חוצת-גבולות. קטגוריות חייבות להיות ברירת מחדל במצב כבוי; הבאנר אסור לטעון תגים עד שהמבקר הפעיל אותם באופן חיובי.

הודעת הפרטיות המוצגת מהבאנר חייבת לזהות את הבקר, את רישום הבקר בסוכנות במקום הרלוונטי, את קטגוריות הנתונים האישיים שנאספו, את הבסיס החוקי לכל מטרת עיבוד, את תקופת שמירת הנתונים, את קטגוריות הנמענים כולל כל מעבד-משנה הממוקם מחוץ לצ'ילה, את זכויות נושא הנתונים לפי החוק כולל ביטול הצטרפות מקבלת החלטות אוטומטית, את פרטי הקשר של ה-DPO כאשר מינוי ה-DPO חובה, ואת פרטי הקשר של הסוכנות לתלונות. הודעה העומדת בסטנדרט Article 13 של ה-GDPR חופפת במידה רבה, אך שורות ביטול ההצטרפות מקבלת החלטות אוטומטית וקשר הסוכנות חייבות להתווסף במפורש.

תבנית האינטגרציה שעוברת סקירת הסוכנות

מימוש הייחוס כולל ארבעה חלקים נעים. הראשון הוא CMP התומך בהצטרפות לפי קטגוריה, ברירת-מחדל-כבוי, כולל מתג נפרד לקבלת החלטות אוטומטית, וחושף את בחירת המבקר דרך מחרוזת הסכמה מובנית שהמפרסם יכול לשמר. השני הוא שכבת טעינת תגים — מנהל תגים בצד-שרת או שער מקורי של CMP — שאוכפת באופן קפדני את מצב ההסכמה לפני שמוגדרת כל עוגייה שאינה חיונית. השלישי הוא רשומת הסכמה, המאוחסנת בצד-שרת, הרושמת עבור כל אירוע הסכמה את בחירת המבקר לפי קטגוריה, את חותמת הזמן, את גרסת הבאנר, את גרסת השפה שראה המבקר ומזהה IP מקוצר או מוצפן כך שהבקר יכול להפיק את הרשומה לפי בקשת הסוכנות. הרביעי הוא נתיב משיכה נוח לפחות כמו ההענקה המקורית — קישור קבוע לפתיחה מחדש של הבאנר בכותרת התחתונה ועמוד זכויות פרטיות בספרדית המציג את ביטול ההצטרפות מקבלת החלטות אוטומטית כפונקציה נפרדת.

• תגי ניתוח — Google Analytics 4, Adobe Analytics, Matomo, Amplitude, Mixpanel, PostHog, Heap — חייבים להיטען רק לאחר שניתנה קטגוריית הניתוחים. כל פלטפורמה תומכת בתצורה עם שער הסכמה המונעת כל כתיבת עוגיות לפני שהשער מתהפך.
• תגי פרסום — Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight, בידרים תכנותיים של כותרת — חייבים להיות מוגנים באופן דומה, וכאשר שותף הפרסום מעביר נתונים מחוץ לצ'ילה לתחום שיפוט שהסוכנות לא ייעדה, תחום השיפוט של הנמען ובסיס ההעברה חייבים להופיע בהודעת הפרטיות.
• כלי הפעלה חוזרת של סשן ומפות חום — Hotjar, Microsoft Clarity, FullStory, Contentsquare — חייבים להיות מאחורי שער נפרד ומחמיר יותר מכיוון שהסוכנות התיישרה עם הנחיות בינלאומיות המסמנות את עיבוד שדות קלט כקטגוריה הדורשת הסכמה מפורשת ודגרנולרית.
• קבלת החלטות אוטומטית ופרופיילינג — מנועי התאמה אישית, תמחור דינמי, מערכות המלצות המסייגות מבקרים לקטגוריות מסחריות — חייבים להיות מוגנים על ידי מתג ביטול הצטרפות נפרד שהמבקר יכול להפעיל באופן עצמאי מהסכמת הניתוחים או השיווק, וביטול ההצטרפות חייב להתפשט לכל מערכת זרם-מטה שמחילה החלטות אוטומטיות.

אימות, רישום ועמדת ביקורת לשנת 2026

פריסה צ'יליאנית ניתנת להגנה בשנת 2026 חייבת לעבור ארבעה בדיקות טכניות. ראשית, סשן דפדפן נקי המוגש מכתובת IP צ'יליאנית חייב לייצר אפס עוגיות שאינן חיוניות לפני שהבאנר הופעל. שנית, נתיב דחיית-הכל חייב להוביל לאותה עמדה כמו סשן ללא פעולה — ללא תגי ניתוח, ללא תגי פרסום, ללא סקריפטים של הפעלה חוזרת של סשן, ללא פרופיילינג אוטומטי. שלישית, זרימת קבלת-הכל חייבת לייצר רק את התגים שהמבקר הסכים להם, ורשומת ההסכמה חייבת להכיל רשומה תואמת. רביעית, זרימת משיכה חייבת לעצור מיד ירי תגים נוסף, לפוג את העוגיות שהוגדרו במהלך הסשן המוסכם, לנטרל כל קבלת החלטות אוטומטית המשפיעה על המבקר, ולהפעיל כל אות מחיקה או ביטול הצטרפות זרם-מטה הנדרש על ידי שותפי הנמענים.

מעבר לבדיקות הטכניות, עמדת הרישום והביקורת היא מה שהופך פריסה לניתנת להגנה. בקרים המעבדים נתונים אישיים של תושבי צ'ילה מעל הספים שהסוכנות הגדירה חייבים להשלים את הרישומים וההודעות הרלוונטיים, ורשומת הרישום — יחד עם רשומת ההסכמה, הודעת הפרטיות, תוצאות הערכת ההשפעה על הגנת הנתונים לעיבוד בסיכון גבוה יותר כולל פרופיילינג, מסמכי מינוי ה-DPO והרשאות ההעברה חוצת-הגבולות — יוצרת את התיעוד שהסוכנות עשויה לבקש במהלך סקירת ציות. CMP מוגדר כראוי עם רשומת צד-שרת, שכבת טעינת תגים האוכפת את מצב ההסכמה, הודעת פרטיות הנוקבת כל יעד העברה חוצת-גבולות, פונקציית ביטול הצטרפות מקבלת החלטות אוטומטית ומסמכי הרישום בתיק — זהו מה שהופך את חוק 21.719 מ-"אי-ידיעה רגולטורית" לחלק ניתן להגנה מעמדת ההסכמה הלטינו-אמריקאית של מפרסם.