Cosa richiede effettivamente la Legge 21.719

La Legge si applica al trattamento dei dati personali di persone situate in Cile indipendentemente da dove sia stabilito il titolare o il responsabile del trattamento, e ai titolari e responsabili situati in Cile indipendentemente da dove si trovino gli interessati. L'ambito territoriale è quindi ampio e comprende la maggior parte degli editori che servono lettori cileni, con il caso limite più comune — un editore non cileno senza infrastrutture cilene ma con visitatori cileni — risolto facendo riferimento al fatto che il titolare abbia attivamente indirizzato servizi verso il Cile. I dati personali sono definiti ampiamente come qualsiasi informazione relativa a una persona fisica identificata o identificabile, con i dati personali sensibili — compresi i dati relativi all'origine razziale, all'opinione politica, alla credenza religiosa, all'affiliazione sindacale, alla salute, alla vita sessuale, all'orientamento sessuale e ai dati biometrici — soggetti a una soglia di consenso più elevata e a ulteriori tutele procedurali.

La Legge istituisce basi giuridiche per il trattamento modellate sul catalogo dell'Articolo 6 del GDPR ma con aggiunte specifiche per il Cile per il trattamento di interesse pubblico e il trattamento giudiziario; il catalogo standard dei diritti degli interessati — accesso, rettifica, cancellazione, opposizione, portabilità e un diritto specifico cileno di bloccare il processo decisionale automatizzato; un quadro di responsabilità titolare-responsabile del trattamento con nomina obbligatoria del responsabile della protezione dei dati per le categorie a rischio più elevato; obblighi di notifica delle violazioni alla nuova Personal Data Protection Agency entro 72 ore dalla conoscenza; controlli sui trasferimenti transfrontalieri che dipendono dalle decisioni di adeguatezza dell'Agenzia o dalle garanzie contrattuali approvate; e un regime di sanzioni amministrative con multe categorizzate per gravità dell'infrazione e che raggiungono UTM 5.000 per le violazioni più gravi.

Come la Legge 21.719 tratta il consenso ai cookie

La Legge 21.719 non contiene una disposizione separata in stile ePrivacy sui cookie; i cookie e le analoghe tecnologie di archiviazione e accesso rientrano nell'ambito del quadro generale del consenso. Lo standard è un accordo esplicito, volontario, specifico, informato e inequivocabile comprovato da un atto affermativo — la famiglia di requisiti che il GDPR ha stabilito come riferimento globale e che il Cile ha adottato con il proprio strato procedurale. L'Agenzia per la Protezione dei Dati Personali, il nuovo regolatore indipendente istituito dalla Legge, ha emesso orientamenti iniziali durante il rollout del periodo di grazia confermando che le caselle pre-selezionate, il consenso implicito dedotto dalla navigazione continuata e i banner di consenso cumulativo non soddisfano la soglia della Legge. Questo allinea il Cile con la traiettoria globale e significa che la posizione che gli editori già mantengono per il SEE è il giusto punto di partenza per il traffico cileno.

L'effetto pratico è che i cookie e le tecnologie analoghe che non sono strettamente necessarie per fornire il servizio che il visitatore ha attivamente richiesto non devono essere impostati prima che il visitatore abbia prestato il consenso. I cookie strettamente necessari — identificatori di sessione, contenuto del carrello, token di sicurezza, cookie per il bilanciamento del carico — possono essere impostati sulla base del fatto che il visitatore ha attivamente richiesto il servizio. Tutto il resto — analisi, pubblicità, personalizzazione, test A/B, replay della sessione e qualsiasi tag di terze parti — richiede il consenso preventivo.

Come la Legge 21.719 si discosta dal GDPR in pratica

Tre differenze contano quando si configura un CMP per il traffico cileno. In primo luogo, la Legge riconosce esplicitamente un diritto di bloccare il processo decisionale automatizzato — inclusa la profilazione — che è più ampio dell'equivalente dell'Articolo 22 del GDPR e si applica ogniqualvolta il trattamento produce effetti significativi sull'interessato, con la soglia degli effetti significativi interpretata più generosamente rispetto alla prassi europea. Per gli editori che gestiscono motori di personalizzazione che segmentano i visitatori in categorie commerciali, il diritto significa che deve essere disponibile un percorso di opt-out dalla profilazione automatizzata anche dopo la concessione del consenso analitici. In secondo luogo, il regime di trasferimento transfrontaliero della Legge richiede all'Agenzia di designare le giurisdizioni di destinazione; i trasferimenti verso giurisdizioni non designate richiedono il consenso esplicito dell'interessato, garanzie contrattuali approvate dall'Agenzia o una delle deroghe ristrette. In terzo luogo, la Legge applica uno standard più rigoroso al trattamento dei dati biometrici e dei dati genetici rispetto al livello base del GDPR, richiedendo un percorso di autorizzazione separato per quelle categorie che gli editori che effettuano autenticazione biometrica o trattamenti simili devono integrare nella loro architettura.

Come appare un banner per i cookie conforme alla Legge 21.719

I requisiti tecnici convergono con ciò che ogni CMP moderno già produce, ma l'etichettatura, la documentazione e il registro del consenso devono riflettere le specificità cilene. Il banner del primo livello deve presentare al visitatore una scelta reale — accetta, rifiuta, gestisci — dove l'opzione di rifiuto è almeno altrettanto prominente dell'opzione di accettazione. Il consenso cumulativo è vietato, pertanto il secondo livello deve consentire l'opt-in per categoria che copra come minimo l'analisi, la pubblicità, il processo decisionale automatizzato e qualsiasi trattamento dipendente da trasferimenti transfrontalieri. Le categorie devono essere predefinite su disattivato; il banner non deve caricare tag finché il visitatore non li ha attivati in modo affermativo.

L'informativa sulla privacy visualizzata dal banner deve identificare il titolare del trattamento, la registrazione del titolare presso l'Agenzia ove applicabile, le categorie di dati personali raccolti, la base giuridica per ciascuna finalità di trattamento, il periodo di conservazione dei dati, le categorie di destinatari compresi eventuali sub-responsabili situati fuori dal Cile, i diritti dell'interessato ai sensi della Legge incluso l'opt-out dal processo decisionale automatizzato, i recapiti del DPO dove la nomina del DPO è obbligatoria, e i recapiti dell'Agenzia per i reclami. Un'informativa che soddisfa lo standard dell'Articolo 13 del GDPR si sovrappone sostanzialmente, ma le righe di opt-out dal processo decisionale automatizzato e di contatto con l'Agenzia devono essere aggiunte esplicitamente.

Il modello di integrazione che supera una verifica dell'Agenzia

L'implementazione di riferimento ha quattro parti mobili. La prima è un CMP che supporta l'opt-in per categoria, predefinito su disattivato, incluso un selettore separato per il processo decisionale automatizzato, e che espone la scelta del visitatore tramite una stringa di consenso strutturata che l'editore può conservare. La seconda è un livello di caricamento dei tag — un tag manager lato server o una porta nativa al CMP — che applica rigorosamente lo stato del consenso prima che venga impostato qualsiasi cookie non essenziale. La terza è un registro del consenso, memorizzato lato server, che registra per ogni evento di consenso la scelta del visitatore per categoria, il timestamp, la versione del banner, la versione linguistica che il visitatore ha visto e un identificatore IP troncato o con hash in modo che il titolare possa produrre il registro su richiesta dell'Agenzia. La quarta è un percorso di revoca almeno altrettanto semplice dell'originale consenso — un link permanente per riaprire il banner nel footer più una pagina dei diritti alla privacy in lingua spagnola che presenta l'opt-out dal processo decisionale automatizzato come funzionalità separata.

• Tag di analisi — Google Analytics 4, Adobe Analytics, Matomo, Amplitude, Mixpanel, PostHog, Heap — devono essere caricati solo dopo la concessione della categoria di analisi. Ogni piattaforma supporta una configurazione con gate del consenso che impedisce qualsiasi scrittura di cookie prima che il gate si attivi.
• Tag pubblicitari — Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight, header bidder programmatici — devono essere analogamente controllati, e quando il partner pubblicitario trasferisce dati fuori dal Cile a una giurisdizione che l'Agenzia non ha designato, la giurisdizione del destinatario e la base del trasferimento devono comparire nell'informativa sulla privacy.
• Strumenti di replay della sessione e mappe di calore — Hotjar, Microsoft Clarity, FullStory, Contentsquare — devono essere dietro una porta separata e più restrittiva perché l'Agenzia si è allineata alle linee guida internazionali che segnalano il rendering dei campi di input come categoria che richiede consenso esplicito e granulare.
• Processo decisionale automatizzato e profilazione — motori di personalizzazione, prezzi dinamici, sistemi di raccomandazione che segmentano i visitatori in categorie commerciali — devono essere controllati da un selettore di opt-out separato che il visitatore può attivare indipendentemente dal consenso per analisi o marketing, e l'opt-out deve propagarsi a ogni sistema a valle che applica decisioni automatizzate.

Convalida, registrazione e posizione di audit per il 2026

Un'implementazione cilena difendibile nel 2026 deve superare quattro verifiche tecniche. In primo luogo, una sessione browser pulita servita da un indirizzo IP cileno deve produrre zero cookie non essenziali prima che il banner sia stato attivato. In secondo luogo, il percorso di rifiuto totale deve avere come risultato la stessa posizione di una sessione senza azione — nessun tag di analisi, nessun tag pubblicitario, nessuno script di replay della sessione, nessuna profilazione automatizzata. In terzo luogo, un flusso di accettazione totale deve produrre solo i tag per cui il visitatore ha prestato il consenso, e il registro del consenso deve contenere un record corrispondente. In quarto luogo, un flusso di revoca deve interrompere immediatamente ulteriori attivazioni di tag, far scadere i cookie impostati durante la sessione con consenso, disattivare qualsiasi processo decisionale automatizzato che interessa il visitatore e attivare eventuali segnali di cancellazione o opt-out a valle richiesti dai partner destinatari.

Al di là delle verifiche tecniche, la posizione di registrazione e audit è ciò che rende un'implementazione difendibile. I titolari che trattano dati personali di residenti cileni oltre le soglie definite dall'Agenzia devono completare le registrazioni e le notifiche pertinenti, e il registro di registrazione — insieme al registro del consenso, all'informativa sulla privacy, ai risultati della valutazione d'impatto sulla protezione dei dati per il trattamento a rischio più elevato compresa la profilazione, ai documenti di nomina del DPO e alle autorizzazioni per i trasferimenti transfrontalieri — costituisce la documentazione che l'Agenzia può richiedere durante una verifica di conformità. Un CMP correttamente configurato con un registro lato server, un livello di caricamento dei tag che applica lo stato del consenso, un'informativa sulla privacy che nomina ogni destinazione di trasferimento transfrontaliero, una funzionalità di opt-out dal processo decisionale automatizzato e i documenti di registrazione agli atti è ciò che trasforma la Legge 21.719 da una incognita regolamentare in una parte difendibile della posizione sul consenso in America Latina di un editore.