La loi chilienne 21.719 : les règles cookies pour les visiteurs du Chili

Qu’est-ce que la loi chilienne 21.719 ?

La loi 21.719 a été publiée au Diario Oficial le 13 décembre 2024. Elle modifie si profondément la loi 19.628 de 1999 sur la protection de la vie privée que l’ancienne loi est rebaptisée « loi sur la protection des données personnelles ». Ses dispositions transitoires fixent son entrée en application au premier jour du 24e mois suivant sa publication, soit le 1er décembre 2026. D’ici là, la loi 19.628 s’applique, sans régulateur spécialisé : les personnes font valoir leurs droits devant les tribunaux.

Le 31 août 2026, le gouvernement a déposé un projet de loi (Boletín nº 18.623-07) qui reporterait l’entrée en application au 1er décembre 2027, modifierait la composition du conseil de l’Agence et étendrait à toutes les entreprises, pendant la première année, la possibilité d’un avertissement écrit au lieu d’une amende. En octobre 2026, la commission de la Constitution du Sénat l’avait approuvé dans son principe et en examinait encore le détail. Sauf si ce projet devient loi avant le 1er décembre 2026, la date d’origine reste valable. Vérifiez l’état du projet avant de vous fier à l’une ou l’autre date.

À qui s’applique la loi ?

L’article 1 bis donne à la loi une portée territoriale proche de celle du RGPD. Elle s’applique lorsque le responsable de traitement ou le sous-traitant est établi au Chili, lorsqu’un sous-traitant situé n’importe où agit pour un responsable de traitement chilien, et lorsqu’un responsable de traitement ou un sous-traitant situé hors du Chili réalise un traitement visant à proposer des biens ou des services à des personnes au Chili, à titre payant ou non, ou à suivre le comportement de personnes au Chili, y compris son analyse, son suivi, son profilage ou sa prédiction. Un site étranger qui suit les visiteurs chiliens avec des cookies de mesure d’audience ou de publicité est donc dans le champ. La loi ne s’applique pas aux personnes physiques qui traitent des données pour des activités personnelles.

Les données sensibles comprennent les données révélant l’origine ethnique ou raciale, l’appartenance politique, syndicale ou à une association professionnelle, la situation socio-économique, les convictions idéologiques ou philosophiques, les croyances religieuses, la santé, le profil biologique humain, les données biométriques, la vie sexuelle, l’orientation sexuelle et l’identité de genre. Les données des enfants et des adolescents bénéficient d’une protection particulière.

Qu’exige la loi pour les cookies ?

Aucun article n’est écrit pour les cookies. Les règles générales s’appliquent à tout cookie ou identifiant qui se rapporte à une personne identifiable.

Le consentement est la règle générale. L’article 12 dispose que le traitement est licite lorsque la personne y consent, et que ce consentement doit être libre, éclairé, spécifique quant à ses finalités, donné préalablement et univoque, par une déclaration verbale ou écrite, un moyen électronique équivalent, ou un acte positif qui montre clairement la volonté de la personne. La définition de l’article 2 ajoute qu’il peut s’agir d’une déclaration ou d’une action positive claire. Le silence, l’inaction ou une case précochée ne remplissent pas cette exigence.

Les autres bases légales. L’article 13 permet un traitement sans consentement lorsqu’il est nécessaire à l’exécution d’un contrat ou de mesures précontractuelles demandées par la personne, au respect d’une obligation légale, à la poursuite des intérêts légitimes du responsable de traitement ou d’un tiers sans porter atteinte aux droits et libertés de la personne, ou à l’exercice de droits en justice. Les cookies strictement nécessaires, comme un panier ou une session de connexion, relèvent de la base contractuelle. La possibilité de fonder la mesure d’audience sur l’intérêt légitime dépendra des lignes directrices de l’Agence ; les profils publicitaires sont plus difficiles à justifier ainsi, car la loi accorde un droit spécifique de s’y opposer.

Opposition et profilage. Les personnes peuvent s’opposer à un traitement réalisé exclusivement à des fins de prospection directe, y compris le profilage (article 8). L’article 8 bis ajoute un droit de ne pas faire l’objet de décisions automatisées, y compris le profilage, qui produisent des effets juridiques ou les affectent de manière significative, sauf si la décision est nécessaire à un contrat, repose sur un consentement préalable et exprès, ou est autorisée par la loi.

Transparence. L’article 14 ter impose aux responsables de traitement de tenir à disposition sur leur site une politique de traitement des données avec sa date et sa version, leur identité et un canal de contact, les catégories de données, les destinataires, les finalités et les bases légales (en nommant les intérêts légitimes invoqués), les mesures de sécurité, et les droits d’accès, de rectification, d’effacement, d’opposition et de portabilité, y compris le droit de saisir l’Agence. Y manquer est une infraction légère.

En pratique, un bandeau destiné aux visiteurs chiliens qui laisse les cookies de mesure d’audience et de publicité désactivés jusqu’à ce que le visiteur accepte, explique les finalités en espagnol et rend le refus aussi simple que l’acceptation répond à l’exigence de consentement.

Quelles sont les sanctions ?

L’Agence classe les infractions en trois niveaux (articles 34 bis à 34 quáter) et les sanctionne au titre de l’article 35 :

L’UTM (unidad tributaria mensual) est une unité fiscale mensuelle indexée sur l’inflation. Si les corrections ordonnées ne sont pas faites dans les 60 jours, l’amende est majorée de 50 %. Les récidivistes peuvent se voir infliger jusqu’au triple du montant, et une entreprise qui n’est pas une petite entreprise au sens de la loi 20.416 et récidive une infraction grave ou très grave peut se voir infliger jusqu’à 2 % ou 4 % de son chiffre d’affaires annuel de l’année civile précédente. Pendant les 12 premiers mois, les petites entreprises peuvent recevoir un avertissement écrit au lieu d’une amende. Les sanctions sont inscrites dans un registre national public.

Comment Cookiequiet gère le Chili

Le Chili ne figure pas dans la liste par défaut des pays réglementés de Cookiequiet : ajoutez-le à une liste personnalisée avec le ciblage géographique, gratuit dans chaque offre, et les visiteurs chiliens verront le bandeau de consentement : « Tout accepter » et « Tout refuser » de même poids, catégories désactivées par défaut, et un texte en espagnol choisi selon le navigateur et modifiable. Les balises attendent le consentement, et le registre des consentements enregistre chaque choix comme preuve. L’installation tient en une balise script et environ cinq minutes ; voir les tarifs. Pour les autres pays de la région, voir la LGPD brésilienne et l’Argentine.