Apa yang Sebenarnya Disyaratkan Undang-Undang 21.719

Undang-Undang berlaku untuk pemrosesan data pribadi individu yang berlokasi di Chile terlepas dari tempat pengontrol atau prosesor didirikan, dan untuk pengontrol serta prosesor yang berlokasi di Chile terlepas dari lokasi subjek data. Lingkup teritorial oleh karena itu luas dan mencakup sebagian besar penerbit yang melayani pembaca Chile, dengan kasus tepi yang paling umum — penerbit non-Chile tanpa infrastruktur Chile tetapi dengan pengunjung Chile — diselesaikan dengan merujuk pada apakah pengontrol secara aktif telah mengarahkan layanan ke Chile. Data pribadi didefinisikan secara luas sebagai informasi apa pun yang berkaitan dengan orang alami yang diidentifikasi atau dapat diidentifikasi, dengan data pribadi sensitif — termasuk data yang berkaitan dengan asal ras, pendapat politik, keyakinan agama, afiliasi serikat dagang, kesehatan, kehidupan seksual, orientasi seksual, dan data biometrik — tunduk pada ambang batas persetujuan yang lebih tinggi dan perlindungan prosedural tambahan.

Undang-Undang menetapkan dasar hukum untuk pemrosesan yang dimodelkan pada katalog Pasal 6 GDPR tetapi dengan penambahan khusus Chile untuk pemrosesan kepentingan umum dan pemrosesan peradilan; daftar standar hak subjek data — akses, rektifikasi, penghapusan, keberatan, portabilitas, dan hak khusus Chile untuk memblokir pengambilan keputusan otomatis; kerangka kerja akuntabilitas pengontrol-prosesor dengan penunjukan wajib pejabat perlindungan data untuk kategori risiko lebih tinggi; kewajiban pemberitahuan pelanggaran kepada Personal Data Protection Agency yang baru dalam 72 jam setelah kesadaran; kontrol transfer lintas batas yang bergantung pada penentuan kecukupan Badan atau perlindungan kontraktual yang disetujui; dan rezim penalti administratif dengan denda yang dikategorikan berdasarkan tingkat keparahan pelanggaran dan mencapai UTM 5.000 untuk pelanggaran paling serius.

Bagaimana Undang-Undang 21.719 Memperlakukan Persetujuan Cookie

Undang-Undang 21.719 tidak mengandung ketentuan terpisah bergaya ePrivacy tentang cookie; cookie dan teknologi penyimpanan-dan-akses analogis masuk dalam kerangka persetujuan umum. Standarnya adalah persetujuan yang eksplisit, sukarela, spesifik, terinformasi, dan tidak ambigu yang dibuktikan dengan tindakan afirmatif — keluarga persyaratan yang ditetapkan GDPR sebagai dasar global dan yang diadopsi Chile dengan lapisan prosedural tersendiri. Personal Data Protection Agency, regulator independen baru yang didirikan Undang-Undang, telah mengeluarkan panduan awal selama peluncuran masa tenggang yang mengkonfirmasi bahwa kotak yang telah dicentang sebelumnya, persetujuan implisit yang disimpulkan dari penelusuran yang berkelanjutan, dan banner persetujuan yang digabungkan tidak memenuhi ambang batas Undang-Undang. Ini menempatkan Chile dengan tegas selaras dengan lintasan global dan berarti posisi yang sudah dipertahankan penerbit untuk EEA adalah titik awal yang tepat untuk lalu lintas Chile.

Efek praktisnya adalah bahwa cookie dan teknologi analogis yang tidak benar-benar diperlukan untuk memberikan layanan yang secara aktif diminta pengunjung tidak boleh disetel sebelum pengunjung memberikan persetujuan. Cookie yang benar-benar diperlukan — pengidentifikasi sesi, konten keranjang, token keamanan, cookie penyeimbang beban — dapat disetel atas dasar bahwa pengunjung secara aktif meminta layanan. Semua yang lainnya — analitik, periklanan, personalisasi, pengujian A/B, pemutaran ulang sesi, dan tag pihak ketiga apa pun — memerlukan persetujuan sebelumnya.

Bagaimana Undang-Undang 21.719 Berbeda dari GDPR dalam Praktik

Tiga perbedaan penting saat menghubungkan CMP untuk lalu lintas Chile. Pertama, Undang-Undang secara eksplisit mengakui hak untuk memblokir pengambilan keputusan otomatis — termasuk pembuatan profil — yang lebih luas dari padanannya dalam Pasal 22 GDPR dan berlaku setiap kali pemrosesan menghasilkan efek signifikan pada subjek data, dengan ambang batas efek signifikan yang ditafsirkan lebih longgar dari praktik Eropa. Bagi penerbit yang menjalankan mesin personalisasi yang mensegmentasi pengunjung ke dalam kategori komersial, hak ini berarti jalur opt-out dari pembuatan profil otomatis harus tersedia bahkan setelah persetujuan analitik diberikan. Kedua, rezim transfer lintas batas Undang-Undang mengharuskan Badan untuk menunjuk yurisdiksi tujuan; transfer ke yurisdiksi yang tidak ditunjuk memerlukan persetujuan eksplisit subjek data, perlindungan kontraktual yang disetujui Badan, atau salah satu pengecualian yang sempit. Ketiga, Undang-Undang menerapkan standar yang lebih ketat pada pemrosesan data biometrik dan data genetik daripada dasar GDPR, yang memerlukan jalur otorisasi terpisah untuk kategori-kategori tersebut yang harus diintegrasikan oleh penerbit yang menjalankan autentikasi biometrik atau pemrosesan serupa ke dalam arsitektur mereka.

Seperti Apa Tampilan Banner Cookie yang Patuh di Bawah Undang-Undang 21.719

Persyaratan teknis bertemu dengan apa yang sudah dihasilkan setiap CMP modern, tetapi pelabelan, dokumentasi, dan log persetujuan harus mencerminkan kekhususan Chile. Banner lapisan pertama harus menyajikan pilihan nyata kepada pengunjung — terima, tolak, kelola — di mana opsi penolakan setidaknya sama menonjolnya dengan opsi penerimaan. Persetujuan yang digabungkan dilarang, sehingga lapisan kedua harus memungkinkan opt-in per kategori yang mencakup minimal analitik, periklanan, pengambilan keputusan otomatis, dan pemrosesan apa pun yang bergantung pada transfer lintas batas. Kategori harus default mati; banner tidak boleh memuat tag sampai pengunjung secara afirmatif menyalakannya.

Pemberitahuan privasi yang ditampilkan dari banner harus mengidentifikasi pengontrol, pendaftaran pengontrol dengan Badan di mana berlaku, kategori data pribadi yang dikumpulkan, dasar hukum untuk setiap tujuan pemrosesan, periode retensi data, kategori penerima termasuk sub-prosesor apa pun yang berlokasi di luar Chile, hak subjek data berdasarkan Undang-Undang termasuk opt-out dari pengambilan keputusan otomatis, detail kontak DPO di mana penunjukan DPO wajib, dan detail kontak Badan untuk pengaduan. Pemberitahuan yang memenuhi standar Pasal 13 GDPR secara substansial tumpang tindih tetapi baris opt-out pengambilan keputusan otomatis dan kontak Badan harus ditambahkan secara eksplisit.

Pola Integrasi yang Lulus Tinjauan Badan

Implementasi referensi memiliki empat bagian yang bergerak. Yang pertama adalah CMP yang mendukung opt-in per kategori, default-off termasuk toggle pengambilan keputusan otomatis terpisah dan mengekspos pilihan pengunjung melalui string persetujuan terstruktur yang dapat dipersistensikan penerbit. Yang kedua adalah lapisan pemuatan tag — pengelola tag sisi server atau gerbang asli CMP — yang secara ketat menerapkan status persetujuan sebelum cookie yang tidak penting disetel. Yang ketiga adalah log persetujuan, disimpan di sisi server, yang mencatat untuk setiap peristiwa persetujuan pilihan pengunjung per kategori, cap waktu, versi banner, versi bahasa yang dilihat pengunjung, dan pengidentifikasi IP yang dipotong atau di-hash sehingga pengontrol dapat menghasilkan catatan atas permintaan Badan. Yang keempat adalah jalur penarikan yang setidaknya semudah pemberian asli — tautan pembukaan kembali banner yang tetap di footer ditambah halaman hak privasi berbahasa Spanyol yang menampilkan opt-out pengambilan keputusan otomatis sebagai ketentuan terpisah.

• Tag analitik — Google Analytics 4, Adobe Analytics, Matomo, Amplitude, Mixpanel, PostHog, Heap — hanya boleh dimuat setelah kategori analitik diberikan. Setiap platform mendukung konfigurasi dengan gerbang persetujuan yang mencegah penulisan cookie sebelum gerbang beralih.
• Tag periklanan — Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight, header bidder programatik — harus dibatasi serupa, dan ketika mitra periklanan mentransfer data di luar Chile ke yurisdiksi yang tidak ditunjuk Badan, yurisdiksi penerima dan dasar transfer harus muncul dalam pemberitahuan privasi.
• Alat pemutaran ulang sesi dan peta panas — Hotjar, Microsoft Clarity, FullStory, Contentsquare — harus berada di belakang gerbang yang terpisah dan lebih ketat karena Badan telah menyelaraskan dengan panduan internasional yang menandai rendering bidang input sebagai kategori yang memerlukan persetujuan eksplisit dan granular.
• Pengambilan keputusan otomatis dan pembuatan profil — mesin personalisasi, penetapan harga dinamis, sistem rekomendasi yang mensegmentasi pengunjung ke dalam kategori komersial — harus dibatasi oleh toggle opt-out terpisah yang dapat digunakan pengunjung secara independen dari persetujuan analitik atau pemasaran, dan opt-out harus disebarluaskan ke setiap sistem hilir yang menerapkan keputusan otomatis.

Validasi, Pendaftaran, dan Posisi Audit untuk 2026

Penerapan Chile yang dapat dipertahankan pada 2026 harus lulus empat pemeriksaan teknis. Pertama, sesi browser bersih yang disajikan dari alamat IP Chile harus menghasilkan nol cookie yang tidak penting sebelum banner ditindaklanjuti. Kedua, jalur tolak-semua harus menghasilkan posisi yang sama seperti sesi tanpa tindakan — tidak ada tag analitik, tidak ada tag periklanan, tidak ada skrip pemutaran ulang sesi, tidak ada pembuatan profil otomatis. Ketiga, aliran terima-semua harus menghasilkan hanya tag yang disetujui pengunjung, dan log persetujuan harus berisi catatan yang sesuai. Keempat, aliran penarikan harus segera menghentikan penembakan tag lebih lanjut, mengakhiri masa berlaku cookie yang disetel selama sesi yang disetujui, menonaktifkan pengambilan keputusan otomatis yang memengaruhi pengunjung, dan memicu sinyal penghapusan atau opt-out hilir yang diperlukan mitra penerima.

Di luar pemeriksaan teknis, posisi pendaftaran dan audit adalah yang membuat penerapan dapat dipertahankan. Pengontrol yang memproses data pribadi penduduk Chile di atas ambang batas yang ditentukan Badan harus menyelesaikan pendaftaran dan pemberitahuan yang relevan, dan catatan pendaftaran — bersama dengan log persetujuan, pemberitahuan privasi, hasil penilaian dampak perlindungan data untuk pemrosesan risiko lebih tinggi termasuk pembuatan profil, dokumen penunjukan DPO, dan otorisasi transfer lintas batas — membentuk dokumentasi yang dapat diminta Badan selama tinjauan kepatuhan. CMP yang dikonfigurasi dengan benar dengan log sisi server, lapisan pemuatan tag yang menerapkan status persetujuan, pemberitahuan privasi yang menyebutkan setiap tujuan transfer lintas batas, ketentuan opt-out pengambilan keputusan otomatis, dan dokumen pendaftaran dalam file adalah yang mengubah Undang-Undang 21.719 dari hal yang tidak diketahui secara regulasi menjadi bagian yang dapat dipertahankan dari posisi persetujuan Amerika Latin seorang penerbit.