法律21.719が実際に求めること

同法は、管理者や処理者の設立場所を問わず、チリに所在する個人の個人データの処理に適用され、また、データ主体の所在地を問わず、チリに所在する管理者・処理者にも適用されます。したがって領土的適用範囲は広く、チリの読者にサービスを提供するほとんどの出版社を対象としています。最も一般的なボーダーケース — チリのインフラはないがチリの訪問者を持つ非チリの出版社 — は、管理者がチリにサービスを積極的に向けていたかどうかによって解決されます。個人データは、識別された、または識別可能な自然人に関するあらゆる情報と幅広く定義されており、特に人種的出身、政治的意見、宗教的信仰、労働組合加入、健康、性的生活、性的指向、生体認証データに関わる機密個人データは、より高い同意の閾値と追加の手続き的保護の対象となります。

同法は、GDPRの第6条カタログをモデルにした処理の合法的根拠を確立しており、公益処理および司法処理に関するチリ固有の追加規定も含まれています。標準的なデータ主体の権利 — アクセス、訂正、消去、異議申立、ポータビリティ、および自動意思決定のブロックに関するチリ固有の権利 — に加えて、高リスクカテゴリに対する必須のデータ保護責任者（DPO）任命を含む管理者・処理者の説明責任フレームワーク、認知から72時間以内に新設されたPersonal Data Protection Agencyへの侵害通知義務、機関の十分性決定または承認済み契約上の保護措置に依拠した国境を越えたデータ移転の管理、そして最も重大な侵害に対してUTM 5,000に達する違反の重大性に応じて分類された行政罰制度が設けられています。

法律21.719がクッキー同意を扱う方法

法律21.719には、クッキーに関するePrivacy方式の独立した規定はありません。クッキーおよびこれに類するストレージ・アクセス技術は、一般的な同意フレームワークの範囲内に含まれます。標準は、肯定的な行為によって証明される明示的、自発的、特定的、十分な情報に基づく、かつ曖昧さのない合意です — GDPRがグローバル基準として確立した要件の体系であり、チリはそれを独自の手続き的重層とともに採用しました。同法が設立した新たな独立規制機関であるPersonal Data Protection Agencyは、移行期間の段階的展開中に初期ガイダンスを発行し、事前にチェックされたボックス、継続的なブラウジングから推測される黙示の同意、および一括同意バナーが同法の閾値を満たさないことを確認しました。これによりチリはグローバルな軌道と確実に足並みをそろえており、出版社がすでにEEA向けに維持している姿勢がチリのトラフィックに対する正しい出発点となることを意味します。

実際的な効果として、訪問者が積極的に要求したサービスの提供に厳密に必要ではないクッキーおよびこれに類する技術は、訪問者が同意する前に設定してはなりません。厳密に必要なクッキー — セッション識別子、カートの内容、セキュリティトークン、ロードバランシングクッキー — は、訪問者がサービスを積極的に要求したことを根拠に設定できます。それ以外のすべて — アナリティクス、広告、パーソナライゼーション、A/Bテスト、セッションリプレイ、あらゆるサードパーティタグ — は事前同意を必要とします。

法律21.719がGDPRと実践的にどこで異なるか

チリのトラフィック向けにCMPを設定する際、3つの相違点が重要です。第一に、同法は、GDPRの第22条に相当するものより広範な自動意思決定 — プロファイリングを含む — のブロック権を明示的に認めており、処理がデータ主体に重大な影響をもたらす場合に適用され、重大な影響の閾値はヨーロッパの実務よりも寛大に解釈されます。訪問者を商業カテゴリに分類するパーソナライゼーションエンジンを運用する出版社にとって、この権利は、アナリティクス同意が付与された後でも自動プロファイリングからのオプトアウトパスを利用できなければならないことを意味します。第二に、同法の国境を越えたデータ移転体制は、機関が移転先の法域を指定することを要求しており、指定されていない法域への移転にはデータ主体の明示的な同意、機関が承認した契約上の保護措置、または狭い範囲の例外的規定のいずれかが必要です。第三に、同法はGDPRのベースラインよりも生体認証データおよび遺伝的データの処理に厳格な基準を適用しており、生体認証や類似の処理を実施する出版社がアーキテクチャに組み込まなければならない、それらのカテゴリに対する別個の承認トラックを要求します。

法律21.719のもとで準拠したクッキーバナーはどのようなものか

技術的要件は、現代のCMPがすでに実現していることと重なりますが、ラベリング、ドキュメント、および同意ログはチリ固有の内容を反映しなければなりません。第1レイヤーのバナーは、訪問者に本物の選択肢 — 承認、拒否、管理 — を提示しなければならず、拒否オプションは承認オプションと少なくとも同等の目立つ表示が求められます。一括同意は禁止されているため、第2レイヤーではカテゴリ別のオプトインを可能にし、最低でもアナリティクス、広告、自動意思決定、国境を越えたデータ移転に依存するあらゆる処理をカバーしなければなりません。カテゴリはデフォルトでオフに設定する必要があり、訪問者が積極的にオンにするまでタグをロードしてはなりません。

バナーから表示されるプライバシー通知は、管理者、該当する場合の機関への管理者の登録、収集された個人データのカテゴリ、各処理目的の合法的根拠、データ保持期間、チリ国外に所在するサブ処理者を含む受信者のカテゴリ、自動意思決定からのオプトアウトを含む法律に基づくデータ主体の権利、DPOの任命が義務的な場合のDPOの連絡先、そして苦情申立のための機関の連絡先を明示しなければなりません。GDPRの第13条基準を満たす通知は概ね重複しますが、自動意思決定オプトアウトおよび機関連絡先の行は明示的に追加する必要があります。

機関の審査をパスする統合パターン

参考実装には4つの構成要素があります。第1は、自動意思決定の独立したトグルを含む、カテゴリ別・デフォルトオフのオプトインをサポートするCMPで、出版社が保持できる構造化された同意文字列を通じて訪問者の選択を公開します。第2は、非必須クッキーが設定される前に同意状態を厳格に適用するタグロード層 — サーバーサイドタグマネージャーまたはCMPネイティブゲート — です。第3は、各同意イベントについてカテゴリ別の訪問者の選択、タイムスタンプ、バナーバージョン、訪問者が確認した言語バージョン、および機関の求めに応じて管理者が記録を提出できるように、切り詰められたまたはハッシュ化されたIPidentifierを記録する、サーバーサイドに保存された同意ログです。第4は、フッターに常設のバナー再表示リンクとスペイン語のプライバシー権ページを含む、最初の付与と少なくとも同様に容易な撤回パスです。このスペイン語ページは自動意思決定オプトアウトを独立した機能として表示します。

• アナリティクスタグ — Google Analytics 4、Adobe Analytics、Matomo、Amplitude、Mixpanel、PostHog、Heap — はアナリティクスカテゴリが付与された後にのみロードしなければなりません。各プラットフォームは、ゲートが切り替わる前にクッキーの書き込みを防ぐ同意ゲート設定をサポートしています。
• 広告タグ — Google Ads、Meta Pixel、TikTok Pixel、LinkedIn Insight、プログラマティックヘッダービッダー — も同様にゲートを設ける必要があり、広告パートナーが機関の指定していない法域にチリ国外へデータを移転する場合、受信者の法域と移転の根拠をプライバシー通知に明記しなければなりません。
• セッションリプレイおよびヒートマップツール — Hotjar、Microsoft Clarity、FullStory、Contentsquare — は別個のより厳格なゲートの背後に置かなければなりません。機関が入力フィールドのレンダリングを明示的かつ詳細な同意を必要とするカテゴリと位置づける国際ガイダンスと足並みをそろえているためです。
• 自動意思決定とプロファイリング — パーソナライゼーションエンジン、動的価格設定、訪問者を商業カテゴリに分類するレコメンデーションシステム — はアナリティクスまたはマーケティング同意とは独立して訪問者が操作できる別個のオプトアウトトグルによってゲートを設け、オプトアウトは自動意思決定を適用するすべてのダウンストリームシステムに伝播しなければなりません。

2026年に向けた検証、登録、監査体制

2026年に防御可能なチリのデプロイメントは、4つの技術的チェックをパスしなければなりません。第1に、チリのIPアドレスから提供されたクリーンなブラウザセッションは、バナーが操作される前に非必須クッキーをゼロ件生成しなければなりません。第2に、すべて拒否のパスは、何もアクション無しのセッションと同様の状態 — アナリティクスタグなし、広告タグなし、セッションリプレイスクリプトなし、自動プロファイリングなし — になる必要があります。第3に、すべて承認のフローは訪問者が同意したタグのみを生成し、同意ログに一致するレコードが含まれていなければなりません。第4に、撤回フローは即座にさらなるタグの発火を停止し、同意済みセッション中に設定されたクッキーを失効させ、訪問者に影響する自動意思決定を無効化し、受信者パートナーが要求するダウンストリームの削除またはオプトアウトシグナルをトリガーしなければなりません。

技術的チェックを超えて、登録と監査の体制がデプロイメントを防御可能にします。機関が定める閾値を超えてチリ居住者の個人データを処理する管理者は、関連する登録と届出を完了しなければならず、登録記録 — 同意ログ、プライバシー通知、プロファイリングを含む高リスク処理に対するデータ保護影響評価の結果、DPO任命書類、国境を越えた移転承認と合わせて — は機関がコンプライアンスレビューの際に要求する可能性がある文書を構成します。サーバーサイドログを持つ適切に構成されたCMP、同意状態を適用するタグロード層、各国境を越えた移転先を明記したプライバシー通知、自動意思決定オプトアウト機能、そしてファイルに保管された登録書類の組み合わせこそが、法律21.719を規制上の未知数から出版社のラテンアメリカにおける同意体制の防御可能な部分へと変える要素です。