Czego faktycznie wymaga Ustawa 21.719

Ustawa ma zastosowanie do przetwarzania danych osobowych osób fizycznych przebywających w Chile, niezależnie od miejsca siedziby administratora lub podmiotu przetwarzającego, a także do administratorów i podmiotów przetwarzających z siedzibą w Chile, niezależnie od miejsca zamieszkania podmiotów danych. Terytorialny zakres stosowania jest zatem szeroki i obejmuje większość wydawców obsługujących chilijskich czytelników; najczęstszy przypadek graniczny — niechilijski wydawca bez chilijskiej infrastruktury, ale z chilijskimi odwiedzającymi — rozstrzyga się w odniesieniu do tego, czy administrator aktywnie skierował usługi do Chile. Dane osobowe są szeroko zdefiniowane jako wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej; wrażliwe dane osobowe — obejmujące dane dotyczące pochodzenia rasowego, poglądów politycznych, przekonań religijnych, przynależności do związków zawodowych, zdrowia, życia seksualnego, orientacji seksualnej i danych biometrycznych — podlegają wyższemu progowi zgody i dodatkowym zabezpieczeniom proceduralnym.

Ustawa ustanawia podstawy prawne przetwarzania wzorowane na katalogu Article 6 GDPR, ale z chilijskimi uzupełnieniami dotyczącymi przetwarzania w interesie publicznym i sądowego; standardowy zestaw praw podmiotów danych — dostęp, sprostowanie, usunięcie, sprzeciw, przenoszalność i chilijskie prawo do blokowania zautomatyzowanego podejmowania decyzji; ramy odpowiedzialności administratora i podmiotu przetwarzającego z obowiązkowym wyznaczeniem inspektora ochrony danych dla kategorii wyższego ryzyka; obowiązki zgłaszania naruszeń do nowej Personal Data Protection Agency w ciągu 72 godzin od uzyskania wiedzy; kontrole transgranicznych transferów zależące od decyzji o adekwatności Agencji lub zatwierdzonych zabezpieczeń umownych; oraz system administracyjnych sankcji z grzywnami sklasyfikowanymi według wagi naruszenia i sięgającymi UTM 5 000 za najpoważniejsze naruszenia.

Jak Ustawa 21.719 traktuje zgodę na pliki cookie

Ustawa 21.719 nie zawiera odrębnego przepisu w stylu ePrivacy dotyczącego plików cookie; pliki cookie i analogiczne technologie przechowywania i dostępu mieszczą się w ogólnych ramach zgody. Standardem jest wyraźna, dobrowolna, konkretna, świadoma i jednoznaczna zgoda potwierdzona działaniem potwierdzającym — rodzina wymagań, którą GDPR ustanowił jako globalny standard i którą Chile przyjęło z własnymi procesowymi warstwami. Personal Data Protection Agency, nowy niezależny organ regulacyjny ustanowiony przez Ustawę, wydał wstępne wytyczne podczas wdrażania okresu przejściowego, potwierdzając, że wstępnie zaznaczone pola, dorozumiana zgoda wywnioskowana z kontynuowania przeglądania i zbiorcze banery zgody nie spełniają progu Ustawy. To zdecydowanie wpisuje Chile w globalną trajektorię i oznacza, że pozycja utrzymywana przez wydawców dla EOG jest właściwym punktem wyjścia dla chilijskiego ruchu.

Praktycznym skutkiem jest to, że pliki cookie i analogiczne technologie, które nie są ściśle niezbędne do świadczenia usługi, o którą aktywnie poprosił odwiedzający, nie mogą być ustawiane przed wyrażeniem zgody przez odwiedzającego. Ściśle niezbędne pliki cookie — identyfikatory sesji, zawartość koszyka, tokeny bezpieczeństwa, pliki cookie do równoważenia obciążenia — można ustawiać na podstawie aktywnego żądania usługi przez odwiedzającego. Wszystko inne — analityka, reklama, personalizacja, testy A/B, odtwarzanie sesji i dowolny tag strony trzeciej — wymaga uprzedniej zgody.

Jak Ustawa 21.719 różni się od GDPR w praktyce

Trzy różnice są istotne przy konfiguracji CMP dla chilijskiego ruchu. Po pierwsze, Ustawa wyraźnie uznaje prawo do blokowania zautomatyzowanego podejmowania decyzji — w tym profilowania — które jest szersze niż odpowiednik Article 22 GDPR i ma zastosowanie gdy przetwarzanie wywołuje znaczące skutki dla podmiotu danych, przy czym próg dla znaczących skutków jest interpretowany bardziej liberalnie niż w praktyce europejskiej. Dla wydawców prowadzących silniki personalizacji segmentujące odwiedzających do kategorii komercyjnych, prawo to oznacza, że ścieżka rezygnacji ze zautomatyzowanego profilowania musi być dostępna nawet po udzieleniu zgody na analitykę. Po drugie, reżim transgranicznych transferów Ustawy wymaga, aby Agencja wyznaczała jurysdykcje docelowe; transfery do niewyznaczonych jurysdykcji wymagają wyraźnej zgody podmiotu danych, zabezpieczeń umownych zatwierdzonych przez Agencję lub jednego z wąskich wyjątków. Po trzecie, Ustawa stosuje surowszy standard do przetwarzania danych biometrycznych i danych genetycznych niż poziom podstawowy GDPR, wymagając odrębnej ścieżki autoryzacji dla tych kategorii, którą wydawcy prowadzący uwierzytelnianie biometryczne lub podobne przetwarzanie muszą uwzględnić w swojej architekturze.

Jak wygląda zgodny baner plików cookie na podstawie Ustawy 21.719

Wymagania techniczne pokrywają się z tym, co każdy nowoczesny CMP już produkuje, ale etykietowanie, dokumentacja i dziennik zgód muszą odzwierciedlać chilijskie specyfiki. Baner pierwszej warstwy musi prezentować odwiedzającemu realny wybór — zaakceptuj, odrzuć, zarządzaj — gdzie opcja odrzucenia jest co najmniej tak samo wyraźna jak opcja akceptacji. Zgoda zbiorcza jest zakazana, więc druga warstwa musi umożliwiać opt-in według kategorii obejmujący co najmniej analitykę, reklamę, zautomatyzowane podejmowanie decyzji i wszelkie przetwarzanie zależne od transferów transgranicznych. Kategorie muszą być domyślnie wyłączone; baner nie może ładować tagów dopóki odwiedzający nie włączy ich aktywnie.

Informacja o ochronie prywatności wyświetlana z banera musi identyfikować administratora, rejestrację administratora w Agencji w stosownych przypadkach, kategorie gromadzonych danych osobowych, podstawę prawną każdego celu przetwarzania, okres przechowywania danych, kategorie odbiorców w tym wszelkich podmiotów przetwarzających spoza Chile, prawa podmiotu danych wynikające z Ustawy w tym rezygnację ze zautomatyzowanego podejmowania decyzji, dane kontaktowe inspektora ochrony danych tam gdzie jego wyznaczenie jest obowiązkowe oraz dane kontaktowe Agencji do składania skarg. Informacja spełniająca standard Article 13 GDPR w znacznym stopniu się pokrywa, ale linie dotyczące rezygnacji ze zautomatyzowanego podejmowania decyzji i kontaktu do Agencji muszą zostać wyraźnie dodane.

Wzorzec integracji przechodzący przegląd Agencji

Implementacja referencyjna ma cztery elementy ruchome. Pierwszym jest CMP obsługujący opt-in według kategorii z domyślnym wyłączeniem, w tym oddzielny przełącznik zautomatyzowanego podejmowania decyzji, i udostępniający wybór odwiedzającego za pośrednictwem strukturalnego ciągu zgody, który wydawca może zachować. Drugim jest warstwa ładowania tagów — menedżer tagów po stronie serwera lub natywna brama CMP — który ściśle egzekwuje stan zgody przed ustawieniem jakiegokolwiek nieistotnego pliku cookie. Trzecim jest dziennik zgód przechowywany po stronie serwera, który dla każdego zdarzenia zgody rejestruje wybór odwiedzającego według kategorii, znacznik czasu, wersję banera, wersję językową którą widział odwiedzający oraz skrócony lub zahashowany identyfikator IP, tak aby administrator mógł przedstawić zapis na żądanie Agencji. Czwartym jest ścieżka wycofania co najmniej tak łatwa jak pierwotne udzielenie zgody — trwały link do ponownego otwarcia banera w stopce plus strona praw prywatności w języku hiszpańskim pokazująca rezygnację ze zautomatyzowanego podejmowania decyzji jako oddzielną funkcję.

• Tagi analityczne — Google Analytics 4, Adobe Analytics, Matomo, Amplitude, Mixpanel, PostHog, Heap — należy ładować tylko po udzieleniu zgody na kategorię analityczną. Każda platforma obsługuje konfigurację z bramą zgody, która zapobiega jakiemukolwiek zapisowi pliku cookie przed przełączeniem bramy.
• Tagi reklamowe — Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight, programatyczne licytacje nagłówków — muszą być podobnie zabezpieczone; a tam gdzie partner reklamowy przekazuje dane poza Chile do jurysdykcji niewyznaczonej przez Agencję, jurysdykcja odbiorcy i podstawa transferu muszą pojawić się w informacji o ochronie prywatności.
• Narzędzia do odtwarzania sesji i map ciepła — Hotjar, Microsoft Clarity, FullStory, Contentsquare — muszą znajdować się za oddzielną, bardziej rygorystyczną bramą, ponieważ Agencja dostosowała się do wytycznych międzynarodowych oznaczających renderowanie pól wejściowych jako kategorię wymagającą wyraźnej i szczegółowej zgody.
• Zautomatyzowane podejmowanie decyzji i profilowanie — silniki personalizacji, dynamiczne ustalanie cen, systemy rekomendacji segmentujące odwiedzających do kategorii komercyjnych — muszą być zabezpieczone oddzielnym przełącznikiem rezygnacji, który odwiedzający może włączyć niezależnie od zgody na analitykę lub marketing, a rezygnacja musi propagować się do każdego systemu downstream stosującego zautomatyzowane decyzje.

Walidacja, rejestracja i pozycja audytowa na 2026 r.

Możliwe do obrony chilijskie wdrożenie w 2026 r. musi przejść cztery kontrole techniczne. Po pierwsze, czysta sesja przeglądarki obsługiwana z chilijskiego adresu IP musi generować zero nieistotnych plików cookie przed podjęciem działania na banerze. Po drugie, ścieżka odrzuć-wszystko musi skutkować taką samą pozycją jak sesja bez działania — żadnych tagów analitycznych, żadnych tagów reklamowych, żadnych skryptów odtwarzania sesji, żadnego zautomatyzowanego profilowania. Po trzecie, przepływ zaakceptuj-wszystko musi generować tylko tagi, na które odwiedzający wyraził zgodę, a dziennik zgód musi zawierać odpowiedni zapis. Po czwarte, przepływ wycofania musi natychmiast zatrzymać dalsze uruchamianie tagów, wygasić pliki cookie ustawione podczas sesji po wyrażeniu zgody, dezaktywować wszelkie zautomatyzowane podejmowanie decyzji wpływające na odwiedzającego i uruchomić wszelkie sygnały usunięcia lub rezygnacji downstream, których wymagają partnerzy odbiorcy.

Poza kontrolami technicznymi to pozycja rejestracyjna i audytowa sprawia, że wdrożenie jest możliwe do obrony. Administratorzy przetwarzający dane osobowe chilijskich mieszkańców powyżej progów określonych przez Agencję muszą przeprowadzić odpowiednie rejestracje i powiadomienia; zapis rejestracyjny — wraz z dziennikiem zgód, informacją o ochronie prywatności, wynikami oceny skutków dla ochrony danych dla przetwarzania wyższego ryzyka w tym profilowania, dokumentacją wyznaczenia inspektora ochrony danych oraz autoryzacjami transgranicznych transferów — stanowi dokumentację, której Agencja może zażądać w trakcie przeglądu zgodności. Prawidłowo skonfigurowany CMP z dziennikiem po stronie serwera, warstwa ładowania tagów egzekwująca stan zgody, informacja o ochronie prywatności wymieniająca każde miejsce docelowe transgranicznego transferu, funkcja rezygnacji ze zautomatyzowanego podejmowania decyzji oraz dokumentacja rejestracyjna w aktach — to jest to, co przekształca Ustawę 21.719 z regulatoryjnej niewiadomej w możliwą do obrony część latynoamerykańskiej pozycji wydawcy w zakresie zgody.