O que a Lei 21.719 realmente exige

A Lei se aplica ao processamento de dados pessoais de indivíduos localizados no Chile, independentemente de onde o controlador ou processador está estabelecido, e a controladores e processadores localizados no Chile, independentemente de onde os titulares de dados estão localizados. O escopo territorial é, portanto, amplo e abrange a maioria dos editores que atendem leitores chilenos; o caso limite mais comum — um editor não chileno sem infraestrutura chilena, mas com visitantes chilenos — é resolvido por referência a se o controlador direcionou ativamente serviços para o Chile. Dados pessoais são amplamente definidos como qualquer informação relativa a uma pessoa física identificada ou identificável; dados pessoais sensíveis — incluindo dados relativos à origem racial, opinião política, crença religiosa, filiação sindical, saúde, vida sexual, orientação sexual e dados biométricos — estão sujeitos a um limite de consentimento mais elevado e a proteções processuais adicionais.

A Lei estabelece bases legais para processamento modeladas no catálogo do Article 6 do GDPR, mas com adições específicas do Chile para processamento de interesse público e judicial; o conjunto padrão de direitos dos titulares de dados — acesso, retificação, exclusão, oposição, portabilidade e um direito específico do Chile de bloquear a tomada de decisão automatizada; uma estrutura de responsabilização de controlador-processador com nomeação obrigatória de encarregado de proteção de dados para categorias de maior risco; obrigações de notificação de violações à nova Personal Data Protection Agency no prazo de 72 horas após o conhecimento; controles de transferências transfronteiriças dependentes das determinações de adequação da Agência ou salvaguardas contratuais aprovadas; e um regime de penalidades administrativas com multas classificadas pela gravidade da infração e chegando a UTM 5.000 para as violações mais graves.

Como a Lei 21.719 trata o consentimento de cookies

A Lei 21.719 não contém uma disposição separada no estilo ePrivacy sobre cookies; cookies e tecnologias análogas de armazenamento e acesso se enquadram no quadro geral de consentimento. O padrão é um acordo explícito, voluntário, específico, informado e inequívoco evidenciado por um ato afirmativo — a família de requisitos que o GDPR estabeleceu como linha de base global e que o Chile importou com sua própria sobreposição processual. A Personal Data Protection Agency, o novo regulador independente que a Lei estabelece, emitiu orientações iniciais durante a implementação do período de carência confirmando que caixas pré-marcadas, consentimento implícito inferido da navegação contínua e banners de consentimento agrupado não satisfazem o limite da Lei. Isso coloca o Chile firmemente alinhado com a trajetória global e significa que a postura que os editores já mantêm para o EEA é o ponto de partida certo para o tráfego chileno.

O efeito prático é que cookies e tecnologias análogas que não são estritamente necessárias para fornecer o serviço que o visitante solicitou ativamente não devem ser definidos antes de o visitante ter consentido. Cookies estritamente necessários — identificadores de sessão, conteúdos de carrinho, tokens de segurança, cookies de balanceamento de carga — podem ser definidos com base no fato de que o visitante solicitou ativamente o serviço. Todo o restante — análise, publicidade, personalização, testes A/B, repetição de sessão e qualquer tag de terceiros — requer consentimento prévio.

Como a Lei 21.719 diverge do GDPR na prática

Três diferenças importam ao configurar um CMP para o tráfego chileno. Primeiro, a Lei reconhece explicitamente um direito de bloquear a tomada de decisão automatizada — incluindo criação de perfis — que é mais amplo do que o equivalente do Article 22 do GDPR e se aplica sempre que o processamento produz efeitos significativos sobre o titular dos dados, com o limite para efeitos significativos interpretado de forma mais generosa do que na prática europeia. Para editores que executam mecanismos de personalização que segmentam visitantes em categorias comerciais, o direito significa que um caminho de exclusão da criação de perfis automatizada deve estar disponível mesmo após o consentimento de análise ter sido concedido. Segundo, o regime de transferências transfronteiriças da Lei exige que a Agência designe jurisdições de destino; transferências para jurisdições não designadas exigem consentimento explícito do titular dos dados, salvaguardas contratuais aprovadas pela Agência ou uma das derrogações restritas. Terceiro, a Lei aplica um padrão mais rígido ao processamento de dados biométricos e dados genéticos do que a linha de base do GDPR, exigindo uma trilha de autorização separada para essas categorias que os editores que executam autenticação biométrica ou processamento similar devem incorporar à sua arquitetura.

Como é um banner de cookies em conformidade sob a Lei 21.719

Os requisitos técnicos convergem com o que cada CMP moderno já produz, mas a rotulagem, a documentação e o registro de consentimento devem refletir os aspectos específicos do Chile. O banner da primeira camada deve apresentar ao visitante uma escolha real — aceitar, rejeitar, gerenciar — onde a opção de rejeição é pelo menos tão proeminente quanto a opção de aceitação. O consentimento agrupado é proibido, portanto a segunda camada deve permitir opt-in por categoria cobrindo no mínimo análise, publicidade, tomada de decisão automatizada e qualquer processamento dependente de transferências transfronteiriças. As categorias devem ser padronizadas como desligadas; o banner não deve carregar tags até que o visitante os ative afirmativamente.

O aviso de privacidade exibido no banner deve identificar o controlador, o registro do controlador junto à Agência quando aplicável, as categorias de dados pessoais coletados, a base legal para cada finalidade de processamento, o período de retenção de dados, as categorias de destinatários incluindo quaisquer subprocessadores localizados fora do Chile, os direitos do titular dos dados sob a Lei incluindo a exclusão da tomada de decisão automatizada, os detalhes de contato do DPO onde a nomeação do DPO é obrigatória e os detalhes de contato da Agência para reclamações. Um aviso que atende ao padrão do Article 13 do GDPR se sobrepõe substancialmente, mas as linhas de exclusão da tomada de decisão automatizada e de contato da Agência devem ser adicionadas explicitamente.

O padrão de integração que passa pela revisão da Agência

A implementação de referência tem quatro partes móveis. A primeira é um CMP que suporta opt-in padrão desligado por categoria, incluindo um botão de alternância separado para tomada de decisão automatizada, e expõe a escolha do visitante por meio de uma string de consentimento estruturada que o editor pode persistir. A segunda é uma camada de carregamento de tags — um gerenciador de tags no servidor ou uma porta nativa do CMP — que aplica estritamente o estado de consentimento antes que qualquer cookie não essencial seja definido. A terceira é um registro de consentimento, armazenado no servidor, que registra para cada evento de consentimento a escolha do visitante por categoria, o carimbo de hora, a versão do banner, a versão do idioma que o visitante viu e um identificador de IP truncado ou com hash para que o controlador possa produzir o registro mediante solicitação da Agência. A quarta é um caminho de revogação pelo menos tão fácil quanto a concessão original — um link persistente de reabertura do banner no rodapé mais uma página de direitos de privacidade em espanhol que exibe a exclusão da tomada de decisão automatizada como uma facilidade separada.

• Tags de análise — Google Analytics 4, Adobe Analytics, Matomo, Amplitude, Mixpanel, PostHog, Heap — devem ser carregados somente após a concessão da categoria de análise. Cada plataforma suporta uma configuração com controle de consentimento que impede qualquer gravação de cookie antes que a porta mude.
• Tags de publicidade — Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight, licitadores de cabeçalho programáticos — também devem ter controles, e onde o parceiro de publicidade transfere dados fora do Chile para uma jurisdição que a Agência não designou, a jurisdição do destinatário e a base para a transferência devem aparecer no aviso de privacidade.
• Ferramentas de repetição de sessão e mapa de calor — Hotjar, Microsoft Clarity, FullStory, Contentsquare — devem ficar atrás de uma porta separada e mais rígida, pois a Agência se alinhou com orientações internacionais que identificam a renderização de campos de entrada como uma categoria que exige consentimento explícito e granular.
• Tomada de decisão automatizada e criação de perfis — mecanismos de personalização, precificação dinâmica, sistemas de recomendação que segmentam visitantes em categorias comerciais — devem ser controlados por um botão de exclusão separado que o visitante pode acionar independentemente do consentimento de análise ou marketing, e a exclusão deve se propagar a todos os sistemas downstream que aplicam decisões automatizadas.

Validação, registro e postura de auditoria para 2026

Uma implantação chilena defensável em 2026 deve passar por quatro verificações técnicas. Primeiro, uma sessão de navegador limpa servida a partir de um endereço IP chileno deve produzir zero cookies não essenciais antes que o banner tenha sido acionado. Segundo, o caminho de rejeitar tudo deve resultar na mesma postura que uma sessão sem ação — sem tags de análise, sem tags de publicidade, sem scripts de repetição de sessão, sem criação de perfis automatizada. Terceiro, um fluxo de aceitar tudo deve produzir apenas as tags para as quais o visitante consentiu, e o registro de consentimento deve conter um registro correspondente. Quarto, um fluxo de revogação deve imediatamente parar outros disparos de tags, expirar os cookies definidos durante a sessão consentida, desativar qualquer tomada de decisão automatizada que afete o visitante e acionar quaisquer sinais de exclusão ou opt-out downstream que os parceiros destinatários exijam.

Além das verificações técnicas, a postura de registro e auditoria é o que torna uma implantação defensável. Os controladores que processam dados pessoais de residentes chilenos acima dos limites definidos pela Agência devem completar os registros e notificações relevantes; o registro de registro — junto com o registro de consentimento, o aviso de privacidade, os resultados da avaliação de impacto de proteção de dados para processamento de maior risco, incluindo criação de perfis, a documentação de nomeação do DPO e as autorizações de transferências transfronteiriças — forma a documentação que a Agência pode solicitar durante uma revisão de conformidade. Um CMP corretamente configurado com um log no servidor, uma camada de carregamento de tags que aplica o estado de consentimento, um aviso de privacidade que nomeia cada destino de transferência transfronteiriça, uma facilidade de exclusão da tomada de decisão automatizada e a documentação de registro arquivada é o que transforma a Lei 21.719 de uma incógnita regulatória em uma parte defensável da postura de consentimento da América Latina de um editor.