Vodič za usklađenost s čileanskim Zakonom 21.719 o zaštiti osobnih podataka i pristanku na kolačiće: Priručnik modernizacije 2026 za izdavače
Čile je proveo više od dva desetljeća djelujući prema Zakonu 19.628 — zakonu iz 1999. koji je zemlji dao njezin prvi sustav zaštite osobnih podataka, ali je bio daleko ispod globalnog standarda koji je GDPR postavio 2018. Nadoknada je stigla u August 2024. kada je objavljen Zakon 21.719, zamijenivši većinu operativnih odredbi Zakona 19.628 moderniziranim okvirom koji prihvaća suvremenu arhitekturu: pravne osnove za obradu, prava ispitanika, odgovornost voditelja-izvršitelja obrade, obavijest o povredi, kontrole prekograničnog prijenosa, neovisni regulator s ovlastima za administrativne sankcije i sustav sankcija s kaznama koje mogu doseći UTM 5.000 — čileanska porezna jedinica indeksirana inflacijom — za najteže kategorije. Zakon 21.719 stupio je na snagu nakon prijelaznog razdoblja od dvije godine koje je 2026. dovelo njegove materijalne odredbe u obvezujuću snagu. Implikacija za izdavače koji dopiru do čileanskih čitatelja je izravna: stav o pristanku na kolačiće koji je radio prema Zakonu 19.628 više nije dovoljan, a stav koji zadovoljava GDPR zadovoljit će Zakon 21.719 samo kada integracija uzme u obzir specifične točke u kojima se sustavi razilaze.
Što Zakon 21.719 zapravo zahtijeva
Zakon se primjenjuje na obradu osobnih podataka pojedinaca koji se nalaze u Čileu neovisno o tome gdje je voditelj ili izvršitelj obrade osnovan, te na voditelje i izvršitelje obrade koji se nalaze u Čileu neovisno o tome gdje se ispitanici nalaze. Teritorijalni opseg je stoga širok i obuhvaća većinu izdavača koji poslužuju čileanske čitatelje, pri čemu se najčešći granični slučaj — nečileanski izdavač bez čileanske infrastrukture ali s čileanskim posjetiteljima — rješava pozivanjem na to je li voditelj aktivno usmjerio usluge prema Čileu. Osobni podaci definirani su široko kao sve informacije koje se odnose na identificiranu ili prepoznatljivu fizičku osobu, pri čemu su osjetljivi osobni podaci — uključujući podatke koji se odnose na rasno podrijetlo, političko mišljenje, vjersko uvjerenje, sindikalno članstvo, zdravlje, seksualni život, seksualnu orijentaciju i biometrijske podatke — podložni višem pragu pristanka i dodatnim proceduralnim zaštitama.
Zakon uspostavlja pravne osnove za obradu modelirane prema katalogu Članka 6 GDPR-a ali s čileanskim dodacima za obradu u javnom interesu i sudsku obradu; standardni popis prava ispitanika — pristup, ispravak, brisanje, prigovor, prenosivost i čileansko specifično pravo na blokiranje automatiziranog donošenja odluka; okvir odgovornosti voditelja-izvršitelja obrade s obveznim imenovanjem službenika za zaštitu podataka za kategorije višeg rizika; obveze obavijesti o povredi novoj Personal Data Protection Agency u roku od 72 sata od saznanja; kontrole prekograničnog prijenosa koje ovise o odlukama Agencije o primjerenosti ili odobrenim ugovornim jamstvima; i administrativni sustav sankcija s kaznama kategoriziranim prema težini prekršaja i dosezanjem UTM 5.000 za najteže povrede.
Kako Zakon 21.719 tretira pristanak na kolačiće
Zakon 21.719 ne sadrži posebnu odredbu sličnu ePrivacy o kolačićima; kolačići i analogni načini pohrane i pristupa spadaju u opći okvir pristanka. Standard je izričit, dobrovoljan, specifičan, informiran i nedvosmislen pristanak koji se dokazuje afirmativnom radnjom — obitelj zahtjeva koje je GDPR postavio kao globalnu osnovu i koje je Čile uvezao sa svojom vlastitom proceduralnom nadgradnjom. Personal Data Protection Agency, novi neovisni regulator koji uspostavlja Zakon, izdala je inicijalne smjernice tijekom faznog uvođenja prijelaznog razdoblja potvrđujući da unaprijed označeni okviri, implicitni pristanak izveden iz nastavka pregledavanja i banneri skupnog pristanka ne zadovoljavaju prag Zakona. To Čile čvrsto postavlja u liniju s globalnim smjerom i znači da je stav koji izdavači već održavaju za EGP pravo polazište za čileanski promet.
Praktični učinak je taj da kolačići i analogni načini koji nisu strogo potrebni za pružanje usluge koju je posjetitelj aktivno zatražio ne smiju biti postavljeni prije nego što posjetitelj da pristanak. Strogo potrebni kolačići — identifikatori sesije, sadržaj košarice, sigurnosni tokeni, kolačići za balansiranje opterećenja — mogu se postaviti na temelju da je posjetitelj aktivno zatražio uslugu. Sve ostalo — analitika, oglašavanje, personalizacija, A/B testiranje, snimanje sesije i svaka oznaka treće strane — zahtijeva prethodni pristanak.
Kako se Zakon 21.719 u praksi razlikuje od GDPR-a
Tri razlike su važne pri spajanju CMP-a za čileanski promet. Prvo, Zakon izričito prepoznaje pravo na blokiranje automatiziranog donošenja odluka — uključujući profiliranje — koje je šire od ekvivalenta Članka 22 GDPR-a i primjenjuje se uvijek kada obrada proizvodi značajne učinke na ispitanika, s pragom za značajne učinke koji se tumači velikodušnije nego u europskoj praksi. Za izdavače koji upravljaju mehanizmima personalizacije koji segmentiraju posjetitelje u komercijalne kategorije, pravo znači da mora biti dostupan put odustajanja od automatiziranog profiliranja čak i nakon što je dan pristanak za analitiku. Drugo, sustav prekograničnog prijenosa Zakona zahtijeva da Agencija odredi odredišne jurisdikcije; prijenosi u neodređene jurisdikcije zahtijevaju ili izričit pristanak ispitanika, ugovorna jamstva koja je odobrila Agencija, ili jedno od uskih odstupanja. Treće, Zakon primjenjuje stroži standard na obradu biometrijskih podataka i genetskih podataka nego osnova GDPR-a, zahtijevajući poseban put autorizacije za te kategorije koji izdavači koji provode biometrijsku autentifikaciju ili sličnu obradu moraju ugraditi u svoju arhitekturu.
Kako izgleda sukladni banner kolačića prema Zakonu 21.719
Tehnički zahtjevi se podudaraju s onim što svaki moderni CMP već proizvodi, ali označavanje, dokumentacija i zapisnik pristanka moraju odražavati čileanske specifičnosti. Banner prvog sloja mora posjetitelju prikazati pravi izbor — prihvati, odbij, upravljaj — gdje je opcija odbijanja barem jednako istaknuta kao i opcija prihvaćanja. Skupni pristanak je zabranjen, stoga drugi sloj mora omogućiti pristanak po kategoriji koji pokriva barem analitiku, oglašavanje, automatizirano donošenje odluka i svaku obradu ovisnu o prekograničnom prijenosu. Kategorije moraju biti zadano postavljene na isključeno; banner ne smije učitavati oznake dok posjetitelj ne uključi afirmativno.
Obavijest o privatnosti koja se prikazuje s bannera mora identificirati voditelja obrade, registraciju voditelja obrade kod Agencije gdje je primjenjivo, kategorije prikupljenih osobnih podataka, pravnu osnovu za svaku svrhu obrade, period čuvanja podataka, kategorije primatelja uključujući sve izvršitelje obrade koji se nalaze izvan Čilea, prava ispitanika prema Zakonu uključujući odustajanje od automatiziranog donošenja odluka, kontaktne podatke DPO-a gdje je imenovanje DPO-a obvezno, i kontaktne podatke Agencije za žalbe. Obavijest koja ispunjava standard Članka 13 GDPR-a se značajno preklapa, ali retke odustajanja od automatiziranog donošenja odluka i kontakta s Agencijom treba dodati izričito.
Integracijski obrazac koji prolazi pregled Agencije
Referentna implementacija ima četiri pokretna dijela. Prva je CMP koji podržava pristanak po kategoriji, zadano isključen, uključujući poseban prekidač za automatizirano donošenje odluka, i izlaže izbor posjetitelja putem strukturiranog niza pristanka koji izdavač može čuvati. Drugi je sloj za učitavanje oznaka — upravitelj oznaka na strani poslužitelja ili CMP-nativni prolaz — koji strogo nameće stanje pristanka prije postavljanja bilo kojeg nebitnog kolačića. Treći je zapisnik pristanka, pohranjen na strani poslužitelja, koji za svaki događaj pristanka bilježi izbor posjetitelja po kategoriji, vremensku oznaku, verziju bannera, jezičnu verziju koju je posjetitelj vidio i skraćeni ili hashirani IP identifikator kako bi voditelj mogao predočiti zapis na zahtjev Agencije. Četvrti je put povlačenja barem jednako jednostavan kao izvorni odobrenik — trajna veza za ponovni prikaz bannera u podnožju stranice plus stranica prava privatnosti na španjolskom jeziku koja prikazuje odustajanje od automatiziranog donošenja odluka kao zasebnu mogućnost.
- Oznake za analitiku — Google Analytics 4, Adobe Analytics, Matomo, Amplitude, Mixpanel, PostHog, Heap — smiju se učitavati samo nakon odobrenja kategorije analitike. Svaka platforma podržava konfiguraciju s prolazom pristanka koja sprječava pisanje kolačića prije prebacivanja prolaza.
- Oznake za oglašavanje — Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight, programatski header bidder — moraju biti na sličan način zaštićeni, a kada partner za oglašavanje prenosi podatke izvan Čilea u jurisdikciju koju Agencija nije odredila, jurisdikcija primatelja i osnova prijenosa moraju biti navedeni u obavijesti o privatnosti.
- Alati za snimanje sesije i toplinske karte — Hotjar, Microsoft Clarity, FullStory, Contentsquare — moraju biti iza zasebnog, strožeg prolaza jer se Agencija uskladila s međunarodnim smjernicama koje označavaju prikazivanje ulaznih polja kao kategoriju koja zahtijeva izričit i granularni pristanak.
- Automatizirano donošenje odluka i profiliranje — mehanizmi personalizacije, dinamičko određivanje cijena, sustavi preporuka koji segmentiraju posjetitelje u komercijalne kategorije — moraju biti zaštićeni zasebnim prekidačem za odustajanje koji posjetitelj može aktivirati neovisno o pristanku za analitiku ili marketing, a odustajanje se mora propagirati na svaki nizvodni sustav koji primjenjuje automatizirane odluke.
Validacija, registracija i revizijsko stajalište za 2026.
Obranjiva čileanska implementacija u 2026. mora proći četiri tehnička provjere. Prvo, čista sesija preglednika poslužena s čileanskih IP adrese mora proizvesti nula nebitnih kolačića prije nego što je banner aktiviran. Drugo, put odbijanja svih mora rezultirati istim stavom kao sesija bez radnje — bez oznaka za analitiku, bez oznaka za oglašavanje, bez skripti za snimanje sesije, bez automatiziranog profiliranja. Treće, protok prihvaćanja svih mora producirati samo oznake za koje je posjetitelj dao pristanak, a zapisnik pristanka mora sadržavati odgovarajući zapis. Četvrto, protok povlačenja mora odmah zaustaviti daljnje aktiviranja oznaka, isteći kolačiće postavljene tijekom sesije s pristankom, deaktivirati svako automatizirano donošenje odluka koje utječe na posjetitelja i aktivirati sve nizvodni signale brisanja ili odustajanja koje zahtijevaju partneri primatelji.
Izvan tehničkih provjera, revizijsko stajalište i registracija je ono što implementaciju čini obranjivom. Voditelji koji obrađuju osobne podatke čileanskih rezidentata iznad pragova koje je definirala Agencija moraju dovršiti relevantne registracije i obavijesti, a zapis registracije — zajedno s zapisnikom pristanka, obavijesti o privatnosti, rezultatima procjene učinka na zaštitu podataka za obradu višeg rizika uključujući profiliranje, dokumentima o imenovanju DPO-a i odobrenjima za prekogranični prijenos — tvori dokumentaciju koju Agencija može zatražiti tijekom pregleda usklađenosti. Ispravno konfiguriran CMP sa zapisnikom na strani poslužitelja, slojem za učitavanje oznaka koji nameće stanje pristanka, obavijesti o privatnosti koja imenuje svako odredište prekograničnog prijenosa, mogućnosti odustajanja od automatiziranog donošenja odluka i dokumentima o registraciji u spisu je ono što Zakon 21.719 pretvara iz regulatorne nepoznanice u obranjivi dio stava o pristanku za Latinsku Ameriku nekog izdavača.