Undang-Undang Chile 21.719 Panduan Pematuhan Perlindungan Data Peribadi dan Persetujuan Kuki: Buku Permainan Pemodenan 2026 untuk Penerbit
Chile telah beroperasi selama lebih dari dua dekad di bawah Undang-Undang 19.628 — statut tahun 1999 yang memberikan negara ini rejim perlindungan data peribadi pertama tetapi jauh ketinggalan dari standard global yang ditetapkan oleh GDPR pada tahun 2018. Penyusul tiba pada August 2024 apabila Undang-Undang 21.719 diwartakan, menggantikan sebahagian besar peruntukan operatif Undang-Undang 19.628 dengan rangka kerja yang dimodernkan yang menggunakan seni bina kontemporari: asas perundangan untuk pemprosesan, hak subjek data, akauntabiliti pengawal-pemproses, notifikasi pelanggaran, kawalan pemindahan merentas sempadan, pengawal selia bebas dengan kuasa penalti pentadbiran, dan rejim sanksi dengan denda yang boleh mencapai UTM 5,000 — unit cukai Chile yang diindekskan inflasi — untuk kategori yang paling serius. Undang-Undang 21.719 berkuat kuasa selepas tempoh ransisi dua tahun yang membawa peruntukan substantifnya berkuat kuasa secara mengikat pada tahun 2026. Implikasi bagi penerbit yang melayani pembaca Chile adalah jelas: postur persetujuan kuki yang berfungsi di bawah Undang-Undang 19.628 tidak lagi mencukupi, dan postur yang memenuhi GDPR akan memenuhi Undang-Undang 21.719 hanya apabila integrasi mengambil kira titik-titik khusus di mana rejim-rejim tersebut berbeza.
Apa yang sebenarnya dikehendaki oleh Undang-Undang 21.719
Undang-Undang ini terpakai kepada pemprosesan data peribadi individu yang terletak di Chile tanpa mengira di mana pengawal atau pemproses ditubuhkan, dan kepada pengawal serta pemproses yang terletak di Chile tanpa mengira di mana subjek data berada. Skop wilayah adalah luas dan merangkumi kebanyakan penerbit yang melayani pembaca Chile; kes tepi yang paling biasa — penerbit bukan Chile tanpa infrastruktur Chile tetapi dengan pelawat Chile — diselesaikan dengan merujuk kepada sama ada pengawal telah mengarahkan perkhidmatan secara aktif ke Chile. Data peribadi ditakrifkan secara luas sebagai sebarang maklumat yang berkaitan dengan orang semula jadi yang dikenal pasti atau boleh dikenal pasti; data peribadi sensitif — termasuk data yang berkaitan dengan asal usul kaum, pendapat politik, kepercayaan agama, keahlian kesatuan sekerja, kesihatan, kehidupan seksual, orientasi seksual, dan data biometrik — tertakluk kepada ambang persetujuan yang lebih tinggi dan perlindungan prosedural tambahan.
Undang-Undang ini mewujudkan asas perundangan untuk pemprosesan yang dimodelkan berdasarkan katalog Article 6 GDPR tetapi dengan penambahan khusus Chile untuk pemprosesan kepentingan awam dan kehakiman; set standard hak subjek data — akses, pembetulan, penghapusan, bantahan, kebolehpindahan, dan hak khusus Chile untuk menyekat pembuatan keputusan automatik; rangka kerja akauntabiliti pengawal-pemproses dengan pelantikan pegawai perlindungan data mandatori untuk kategori risiko lebih tinggi; kewajipan notifikasi pelanggaran kepada Personal Data Protection Agency yang baru dalam masa 72 jam selepas mengetahui; kawalan pemindahan merentas sempadan bergantung kepada penentuan kecukupan agensi atau perlindungan kontraktual yang diluluskan; dan rejim penalti pentadbiran dengan denda yang dikategorikan mengikut keterukan pelanggaran dan mencapai UTM 5,000 untuk pelanggaran yang paling serius.
Bagaimana Undang-Undang 21.719 merawat persetujuan kuki
Undang-Undang 21.719 tidak mengandungi peruntukan berasingan bergaya ePrivacy mengenai kuki; kuki dan teknologi penyimpanan dan akses yang serupa termasuk dalam rangka kerja persetujuan umum. Standardnya ialah persetujuan eksplisit, sukarela, spesifik, bermaklumat, dan tidak samar-samar yang dibuktikan oleh tindakan afirmatif — kumpulan keperluan yang GDPR tetapkan sebagai garis dasar global dan yang Chile telah mengimport dengan lapisan prosedural tersendiri. Personal Data Protection Agency, pengawal selia bebas baru yang ditubuhkan oleh Undang-Undang, telah mengeluarkan panduan awal semasa pelaksanaan tempoh ransisi yang mengesahkan bahawa kotak yang ditandai terlebih dahulu, persetujuan tersirat yang disimpulkan daripada penyemakan imbas berterusan, dan sepanduk persetujuan tergabung tidak memenuhi ambang Undang-Undang. Ini meletakkan Chile dengan tegas sejajar dengan trajektori global dan bermakna postur yang sudah penerbit kekalkan untuk EEA adalah titik permulaan yang betul untuk trafik Chile.
Kesan praktisnya ialah kuki dan teknologi serupa yang tidak benar-benar diperlukan untuk menyampaikan perkhidmatan yang diminta secara aktif oleh pelawat tidak boleh ditetapkan sebelum pelawat memberikan persetujuan. Kuki yang benar-benar diperlukan — pengecam sesi, kandungan troli, token keselamatan, kuki pengimbangan beban — boleh ditetapkan atas dasar bahawa pelawat telah meminta perkhidmatan secara aktif. Segalanya yang lain — analitik, pengiklanan, pemperibadian, ujian A/B, ulangan sesi, dan mana-mana tag pihak ketiga — memerlukan persetujuan terlebih dahulu.
Cara Undang-Undang 21.719 berbeza daripada GDPR dalam amalan
Tiga perbezaan penting ketika mengkonfigurasi CMP untuk trafik Chile. Pertama, Undang-Undang secara eksplisit mengiktiraf hak untuk menyekat pembuatan keputusan automatik — termasuk pemprofilekan — yang lebih luas daripada padanan Article 22 GDPR dan terpakai apabila pemprosesan menghasilkan kesan signifikan kepada subjek data, dengan ambang untuk kesan signifikan ditafsirkan dengan lebih murah hati daripada amalan Eropah. Bagi penerbit yang menjalankan enjin pemperibadian yang mensegmen pelawat ke dalam kategori komersial, hak ini bermakna laluan opt-out daripada pemprofilekan automatik mesti tersedia walaupun selepas persetujuan analitik diberikan. Kedua, rejim pemindahan merentas sempadan Undang-Undang memerlukan Agensi untuk menentukan bidang kuasa destinasi; pemindahan ke bidang kuasa yang tidak ditetapkan memerlukan sama ada persetujuan eksplisit subjek data, perlindungan kontraktual yang diluluskan oleh Agensi, atau salah satu daripada pengecualian sempit. Ketiga, Undang-Undang menggunakan standard yang lebih ketat kepada pemprosesan data biometrik dan data genetik daripada garis dasar GDPR, memerlukan trek kebenaran berasingan untuk kategori tersebut yang mesti diambil kira oleh penerbit yang menjalankan pengesahan biometrik atau pemprosesan serupa dalam seni bina mereka.
Rupa sepanduk kuki yang patuh di bawah Undang-Undang 21.719
Keperluan teknikal bertemu dengan apa yang setiap CMP moden sudah hasilkan, tetapi pelabelan, dokumentasi, dan log persetujuan mesti mencerminkan spesifik Chile. Sepanduk lapisan pertama mesti membentangkan pelawat dengan pilihan sebenar — terima, tolak, urus — di mana pilihan tolak sekurang-kurangnya sama menonjol dengan pilihan terima. Persetujuan tergabung dilarang, jadi lapisan kedua mesti membenarkan opt-in per kategori yang merangkumi sekurang-kurangnya analitik, pengiklanan, pembuatan keputusan automatik, dan mana-mana pemprosesan yang bergantung kepada pemindahan merentas sempadan. Kategori mesti ditetapkan kepada mati secara lalai; sepanduk tidak boleh memuatkan tag sehingga pelawat menghidupkannya secara afirmatif.
Notis privasi yang dipaparkan daripada sepanduk mesti mengenal pasti pengawal, pendaftaran pengawal dengan Agensi di mana berkenaan, kategori data peribadi yang dikumpulkan, asas perundangan untuk setiap tujuan pemprosesan, tempoh pengekalan data, kategori penerima termasuk mana-mana sub-pemproses yang terletak di luar Chile, hak subjek data di bawah Undang-Undang termasuk opt-out pembuatan keputusan automatik, butiran hubungan DPO di mana pelantikan DPO adalah mandatori, dan butiran hubungan Agensi untuk aduan. Notis yang memenuhi standard Article 13 GDPR bertindih secara substantif tetapi baris opt-out pembuatan keputusan automatik dan hubungan Agensi mesti ditambah secara eksplisit.
Corak integrasi yang lulus semakan Agensi
Pelaksanaan rujukan mempunyai empat bahagian yang bergerak. Yang pertama adalah CMP yang menyokong opt-in lalai-mati per kategori termasuk togol pembuatan keputusan automatik yang berasingan dan mendedahkan pilihan pelawat melalui rentetan persetujuan berstruktur yang boleh disimpan oleh penerbit. Yang kedua ialah lapisan pemuatan tag — pengurus tag sisi pelayan atau get CMP-natif — yang menguatkuasakan keadaan persetujuan secara ketat sebelum sebarang kuki bukan penting ditetapkan. Yang ketiga ialah log persetujuan yang disimpan di sisi pelayan yang merekodkan untuk setiap peristiwa persetujuan pilihan pelawat setiap kategori, cap masa, versi sepanduk, versi bahasa yang dilihat pelawat, dan pengecam IP yang dipendekkan atau di-hash supaya pengawal boleh menghasilkan rekod atas permintaan Agensi. Yang keempat ialah laluan pengunduran sekurang-kurangnya semudah pemberian asal — pautan buka semula sepanduk yang berterusan dalam pengaki ditambah halaman hak privasi berbahasa Sepanyol yang memaparkan opt-out pembuatan keputusan automatik sebagai kemudahan berasingan.
- Tag analitik — Google Analytics 4, Adobe Analytics, Matomo, Amplitude, Mixpanel, PostHog, Heap — mesti dimuatkan hanya selepas kategori analitik diberikan. Setiap platform menyokong konfigurasi yang dikawal persetujuan yang menghalang sebarang penulisan kuki sebelum get beralih.
- Tag pengiklanan — Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight, penawar pengepala programatik — mesti dikawal dengan cara yang sama, dan di mana rakan kongsi pengiklanan memindahkan data di luar Chile ke bidang kuasa yang tidak ditetapkan oleh Agensi, bidang kuasa penerima dan asas pemindahan mesti muncul dalam notis privasi.
- Alat ulangan sesi dan peta haba — Hotjar, Microsoft Clarity, FullStory, Contentsquare — mesti berada di belakang get yang lebih ketat berasingan kerana Agensi telah sejajar dengan panduan antarabangsa yang menandakan pemaparan medan input sebagai kategori yang memerlukan persetujuan eksplisit dan terperinci.
- Pembuatan keputusan automatik dan pemprofilekan — enjin pemperibadian, penetapan harga dinamik, sistem cadangan yang mensegmen pelawat ke dalam kategori komersial — mesti dikawal oleh togol opt-out berasingan yang boleh dilibatkan secara bebas daripada persetujuan analitik atau pemasaran oleh pelawat, dan opt-out mesti disebarkan kepada setiap sistem hiliran yang menerapkan keputusan automatik.
Pengesahan, pendaftaran, dan postur audit untuk 2026
Penempatan Chile yang boleh dipertahankan pada tahun 2026 mesti lulus empat pemeriksaan teknikal. Pertama, sesi penyemak imbas bersih yang diservis daripada alamat IP Chile mesti menghasilkan sifar kuki bukan penting sebelum sepanduk diambil tindakan. Kedua, laluan tolak-semua mesti menghasilkan postur yang sama seperti sesi tanpa tindakan — tiada tag analitik, tiada tag pengiklanan, tiada skrip ulangan sesi, tiada pemprofilekan automatik. Ketiga, aliran terima-semua mesti menghasilkan hanya tag yang dipersetujui oleh pelawat, dan log persetujuan mesti mengandungi rekod yang sepadan. Keempat, aliran penarikan balik mesti segera menghentikan kebakaran tag selanjutnya, menamatkan kuki yang ditetapkan semasa sesi yang dipersetujui, menyahaktifkan sebarang pembuatan keputusan automatik yang mempengaruhi pelawat, dan mencetuskan sebarang isyarat pemadaman atau opt-out hiliran yang diperlukan oleh rakan kongsi penerima.
Di luar pemeriksaan teknikal, postur pendaftaran dan audit adalah yang membuat penempatan boleh dipertahankan. Pengawal yang memproses data peribadi penduduk Chile melebihi ambang yang ditentukan oleh Agensi mesti melengkapkan pendaftaran dan notifikasi yang relevan; rekod pendaftaran — bersama dengan log persetujuan, notis privasi, keputusan penilaian impak perlindungan data untuk pemprosesan risiko lebih tinggi termasuk pemprofilekan, dokumentasi pelantikan DPO, dan kebenaran pemindahan merentas sempadan — membentuk dokumentasi yang Agensi mungkin minta semasa semakan pematuhan. CMP yang dikonfigurasi dengan betul dengan log sisi pelayan, lapisan pemuatan tag yang menguatkuasakan keadaan persetujuan, notis privasi yang menamakan setiap destinasi pemindahan merentas sempadan, kemudahan opt-out pembuatan keputusan automatik, dan dokumentasi pendaftaran dalam fail adalah yang mengubah Undang-Undang 21.719 daripada yang tidak diketahui oleh kawal selia kepada bahagian postur persetujuan Amerika Latin penerbit yang boleh dipertahankan.