Čo Zákon 21.719 skutočne vyžaduje

Zákon sa vzťahuje na spracovanie osobných údajov osôb nachádzajúcich sa v Čile, bez ohľadu na to, kde je usadený prevádzkovateľ alebo sprostredkovateľ, a na prevádzkovateľov a sprostredkovateľov so sídlom v Čile, bez ohľadu na to, kde sa nachádzajú dotknuté osoby. Územný rozsah pôsobnosti je preto široký a postihuje väčšinu vydavateľov slúžiacich čilským čitateľom; najbežnejší hraničný prípad — nečilský vydavateľ bez čilskej infraštruktúry, ale s čilskými návštevníkmi — sa rieši odkazom na to, či prevádzkovateľ aktívne smeroval služby do Čile. Osobné údaje sú široko definované ako akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby; citlivé osobné údaje — vrátane údajov týkajúcich sa rasového pôvodu, politického názoru, náboženského presvedčenia, odborovej príslušnosti, zdravia, sexuálneho života, sexuálnej orientácie a biometrických údajov — podliehajú vyššiemu prahu súhlasu a dodatočným procesným ochranám.

Zákon stanovuje zákonné základy spracovania modelované podľa katalógu Article 6 GDPR, ale s čilskými doplnkami pre spracovanie vo verejnom záujme a súdne spracovanie; štandardnú sadu práv dotknutých osôb — prístup, opravu, vymazanie, námietku, prenosnosť a čilské právo blokovať automatizované rozhodovanie; rámec zodpovednosti prevádzkovateľa a sprostredkovateľa s povinným vymenovaním zodpovednej osoby za ochranu údajov pre kategórie vyššieho rizika; povinnosti oznamovať porušenia novej Personal Data Protection Agency do 72 hodín od zistenia; kontroly cezhraničných prenosov závisiacich od rozhodnutí agentúry o primeranosti alebo schválených zmluvných záruk; a režim administratívnych sankcií s pokutami klasifikovanými podľa závažnosti porušenia a dosahujúcimi UTM 5 000 pri najzávažnejších porušeniach.

Ako Zákon 21.719 zaobchádza so súhlasom s cookies

Zákon 21.719 neobsahuje samostatné ustanovenie v štýle ePrivacy o cookies; cookies a analogické technológie ukladania a prístupu spadajú do rámca všeobecného súhlasu. Štandardom je výslovný, dobrovoľný, konkrétny, informovaný a jednoznačný súhlas doložený potvrdením — rodina požiadaviek, ktoré GDPR stanovilo ako globálny základný štandard a ktoré Čile importovalo s vlastnou procesnou vrstvou. Personal Data Protection Agency, nový nezávislý regulátor zriadený Zákonom, vydala počiatočné usmernenia počas zavádzania prechodného obdobia, ktoré potvrdzujú, že vopred zaškrtnuté políčka, implicitný súhlas odvodzovaný z nepretržitého prehliadania a hromadné banery súhlasu nespĺňajú prah Zákona. To pevne radí Čile do súladu so svetovou trajektóriou a znamená, že pozícia, ktorú vydavatelia už udržiavajú pre EHP, je správnym východiskovým bodom pre čilský provoz.

Praktickým dôsledkom je, že cookies a analogické technológie, ktoré nie sú nevyhnutne potrebné na poskytovanie služby, ktorú návštevník aktívne požiadal, sa nesmú nastaviť skôr, ako návštevník súhlasí. Nevyhnutne potrebné cookies — identifikátory relácií, obsahy košíka, bezpečnostné tokeny, cookies na vyrovnávanie záťaže — je možné nastaviť na základe toho, že návštevník aktívne požiadal o službu. Všetko ostatné — analytika, reklama, personalizácia, A/B testovanie, záznam relácií a akýkoľvek tag tretej strany — vyžaduje predchádzajúci súhlas.

Kde sa Zákon 21.719 v praxi odchyľuje od GDPR

Tri rozdiely sú dôležité pri konfigurácii CMP pre čilský provoz. Po prvé, Zákon výslovne uznáva právo blokovať automatizované rozhodovanie — vrátane profilovania — ktoré je širšie ako ekvivalent v Article 22 GDPR a uplatňuje sa vždy, keď spracovanie vyvoláva významné účinky na dotknutú osobu, pričom prah pre významné účinky je interpretovaný veľkorysejšie ako v európskej praxi. Pre vydavateľov prevádzkujúcich personalizačné motory segmentujúce návštevníkov do komerčných kategórií toto právo znamená, že cesta opt-out z automatizovaného profilovania musí byť dostupná aj po udelení súhlasu s analytikou. Po druhé, režim cezhraničných prenosov Zákona vyžaduje, aby Agentúra určila cieľové jurisdikcie; prevody do neurčených jurisdikcií vyžadujú buď výslovný súhlas dotknutej osoby, zmluvné záruky schválené Agentúrou, alebo jedno z úzkych výnimiek. Po tretie, Zákon uplatňuje prísnejší štandard na spracovanie biometrických údajov a genetických údajov ako základný štandard GDPR, vyžadujúc samostatnú autorizačnú stopu pre tieto kategórie, ktorú vydavatelia vykonávajúci biometrickú autentifikáciu alebo podobné spracovanie musia zaradiť do svojej architektúry.

Ako vyzerá súladný banner cookies podľa Zákona 21.719

Technické požiadavky sa zhodujú s tým, čo každý moderný CMP už produkuje, ale označovanie, dokumentácia a protokol súhlasu musia odrážať čilské špecifiká. Banner prvej vrstvy musí návštevníkovi ponúknuť skutočný výber — prijať, odmietnuť, spravovať — kde možnosť odmietnutia je aspoň rovnako výrazná ako možnosť prijatia. Hromadný súhlas je zakázaný, takže druhá vrstva musí umožňovať opt-in podľa kategórií pokrývajúci minimálne analytiku, reklamu, automatizované rozhodovanie a akékoľvek spracovanie závislé od cezhraničných prenosov. Kategórie musia byť predvolene vypnuté; banner nesmie načítavať tagy, kým ich návštevník aktívne nezapne.

Oznámenie o ochrane súkromia zobrazené z bannera musí identifikovať prevádzkovateľa, registráciu prevádzkovateľa v Agentúre tam, kde je to uplatniteľné, kategórie zhromaždených osobných údajov, zákonný základ pre každý účel spracovania, dobu uchovávania údajov, kategórie príjemcov vrátane akýchkoľvek sprostredkovateľov so sídlom mimo Čile, práva dotknutej osoby podľa Zákona vrátane opt-out z automatizovaného rozhodovania, kontaktné údaje zodpovednej osoby za ochranu údajov tam, kde je jej vymenovanie povinné, a kontaktné údaje Agentúry pre sťažnosti. Oznámenie, ktoré spĺňa štandard Article 13 GDPR, sa do veľkej miery prelína, ale riadky opt-out z automatizovaného rozhodovania a kontaktu Agentúry je potrebné pridať výslovne.

Integračný vzor, ktorý prejde revíziou Agentúry

Referenčná implementácia má štyri pohyblivé časti. Prvou je CMP, ktorý podporuje opt-in predvolene vypnutý podľa kategórií vrátane samostatného prepínača automatizovaného rozhodovania a sprístupňuje výber návštevníka prostredníctvom štruktúrovaného reťazca súhlasu, ktorý môže vydavateľ uchovávať. Druhým je vrstva načítavania tagov — správca tagov na strane servera alebo natívna brána CMP — ktorá striktne vynucuje stav súhlasu pred nastavením akéhokoľvek nepodstatného cookie. Treťou je protokol súhlasu uložený na strane servera, ktorý pre každú udalosť súhlasu zaznamenáva výber návštevníka podľa kategórie, časovú pečiatku, verziu bannera, jazykovú verziu, ktorú návštevník videl, a skrátený alebo hashovaný identifikátor IP, aby prevádzkovateľ mohol predložiť záznam na žiadosť Agentúry. Štvrtou je cesta odvolania aspoň tak jednoduchá ako pôvodné udelenie — trvalý odkaz na opätovné otvorenie bannera v päte stránky plus stránka práv na ochranu súkromia v španielčine, ktorá zobrazuje opt-out z automatizovaného rozhodovania ako samostatnú funkciu.

• Analytické tagy — Google Analytics 4, Adobe Analytics, Matomo, Amplitude, Mixpanel, PostHog, Heap — sa smú načítavať len po udelení kategórie analytiky. Každá platforma podporuje konfiguráciu s bránou súhlasu, ktorá bráni akémukoľvek zápisu cookies pred prepnutím brány.
• Reklamné tagy — Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight, programatickí ponukovači hlavičiek — musia byť podobne kontrolované a tam, kde reklamný partner prenáša údaje mimo Čile do jurisdikcie, ktorú Agentúra neurčila, jurisdikcia príjemcu a základ prevodu musia byť uvedené v oznámení o ochrane súkromia.
• Nástroje záznamu relácií a tepelných máp — Hotjar, Microsoft Clarity, FullStory, Contentsquare — musia byť za samostatnou, prísnejšou bránou, pretože Agentúra sa zosúladila s medzinárodnými usmerneniami, ktoré označujú vykreslenie vstupných polí ako kategóriu vyžadujúcu výslovný a granulárny súhlas.
• Automatizované rozhodovanie a profilovanie — personalizačné motory, dynamické oceňovanie, odporúčacie systémy segmentujúce návštevníkov do komerčných kategórií — musia byť kontrolované samostatným prepínačom opt-out, ktorý môže návštevník aktivovať nezávisle od súhlasu s analytikou alebo marketingom, a opt-out sa musí šíriť do každého nadväzujúceho systému uplatňujúceho automatizované rozhodnutia.

Validácia, registrácia a auditná pozícia pre rok 2026

Obhájiteľné čilské nasadenie v roku 2026 musí prejsť štyrmi technickými kontrolami. Po prvé, čistá relácia prehliadača obsluhovaná z čilskej IP adresy musí produkovať nula nepodstatných cookies skôr, ako bol banner aktivovaný. Po druhé, cesta odmietnuť-všetko musí mať za následok rovnakú pozíciu ako relácia bez akcie — žiadne analytické tagy, žiadne reklamné tagy, žiadne skripty záznamu relácií, žiadne automatizované profilovanie. Po tretie, tok prijať-všetko musí produkovať iba tagy, s ktorými návštevník súhlasil, a protokol súhlasu musí obsahovať zodpovedajúci záznam. Po štvrté, tok odvolania musí okamžite zastaviť ďalšie spúšťanie tagov, nechať vypršať cookies nastavené počas súhlasenej relácie, deaktivovať akékoľvek automatizované rozhodovanie ovplyvňujúce návštevníka a spustiť akékoľvek nadväzujúce signály vymazania alebo opt-out, ktoré vyžadujú partneri-príjemcovia.

Okrem technických kontrol je auditná a registračná pozícia to, čo robí nasadenie obhájiteľným. Prevádzkovatelia spracúvajúci osobné údaje čilských obyvateľov nad prahy definované Agentúrou musia dokončiť príslušné registrácie a oznámenia; registračný záznam — spolu s protokolom súhlasu, oznámením o ochrane súkromia, výsledkami posúdenia vplyvu ochrany údajov pre spracovanie vyššieho rizika vrátane profilovania, dokumentáciou vymenovania zodpovednej osoby za ochranu údajov a autorizáciami cezhraničných prenosov — tvorí dokumentáciu, ktorú môže Agentúra požadovať počas revízie súladu. Správne nakonfigurovaný CMP s protokolom na strane servera, vrstva načítavania tagov vynucujúca stav súhlasu, oznámenie o ochrane súkromia uvádzajúce každý cieľ cezhraničného prenosu, funkcia opt-out z automatizovaného rozhodovania a registračná dokumentácia v spise je to, čo transformuje Zákon 21.719 z regulačnej neznámej na obhájiteľnú súčasť latinskoamerickej pozície vydavateľa v oblasti súhlasu.