Loi 21.719 : ce que les entreprises doivent faire au Chili avant le 1er décembre 2026

Le Chili dispose d'une nouvelle loi sur la protection des données personnelles. La loi n° 21.719, publiée au Journal officiel le 13 décembre 2024, remplace l'ancienne loi n° 19.628 de 1999 — jusqu'ici l'une des réglementations de protection des données les plus dépassées de la région — et entrera en vigueur le 1er décembre 2026, après une période transitoire de 24 mois. Pour les entreprises opérant au Chili, cette date n'est pas une simple formalité administrative : elle marque le passage d'un régime pratiquement dépourvu de contrôle réel à un régime doté d'une autorité spécialisée, de véritables pouvoirs de sanction et d'amendes pouvant atteindre un pourcentage du chiffre d'affaires annuel de l'entreprise.

À seulement trois mois de son entrée en vigueur, il convient que les entreprises — en particulier celles qui traitent des données de clients, de salariés ou de fournisseurs — comprennent ce qui change et ce qu'elles doivent mettre en œuvre avant cette échéance.

Ce que crée la nouvelle loi

La loi 21.719 crée l'Agence de protection des données personnelles (Agencia de Protección de Datos Personales, APDP), un nouvel organisme public chargé de contrôler le respect de la réglementation, d'orienter les entreprises et d'imposer des sanctions administratives. Ce dispositif remplace le régime antérieur, dans lequel le contrôle de la loi 19.628 revenait, de façon limitée et partielle, au Conseil pour la transparence (Consejo para la Transparencia), sans autorité dédiée ni régime de sanctions dissuasif.

Avec cette nouvelle institutionnalité, la loi modernise les concepts centraux du droit chilien de la protection des données, en les alignant — avec ses propres nuances — sur des standards tels que le Règlement général sur la protection des données (RGPD) de l'Union européenne : des bases légales plus exigeantes, de nouveaux droits pour les personnes concernées, et des obligations documentaires concrètes pour les responsables de traitement.

Bases légales du traitement

Sous la nouvelle loi, tout traitement de données personnelles doit reposer sur une base légale valable. Parmi celles que prévoit la loi figurent le consentement de la personne concernée — qui doit être libre, éclairé, spécifique quant à sa finalité, préalable et univoque —, le respect d'une obligation légale, l'exécution d'un contrat ou des mesures précontractuelles demandées par la personne concernée, l'intérêt légitime du responsable de traitement, et l'exercice ou la défense de droits devant les tribunaux ou les autorités publiques.

L'intérêt légitime mérite une attention particulière car, contrairement au consentement, il ne suffit pas de l'invoquer : l'entreprise doit pouvoir démontrer une analyse mettant en balance la finalité poursuivie, la nécessité du traitement, son impact sur les personnes concernées et les mesures de protection adoptées. En pratique, cela signifie que l'intérêt légitime ne peut pas servir de base « passe-partout » ; il exige une documentation préalable justifiant son bien-fondé.

Nouveaux droits et délais pour les personnes concernées

La loi renforce les droits traditionnels d'accès, de rectification, d'effacement et d'opposition (connus au Chili sous le nom de « droits ARCO ») et ajoute un droit à la portabilité des données. Les entreprises doivent répondre à ces demandes dans un délai de 30 jours calendaires à compter de leur réception, prorogeable une seule fois de 30 jours calendaires supplémentaires.

La loi prévoit également un mécanisme de blocage temporaire des données pour certaines demandes, avec un délai de 2 jours ouvrés, ainsi que la possibilité pour la personne concernée de saisir l'Agence si elle n'est pas satisfaite de la réponse reçue, dans un délai de 30 jours ouvrés suivant la demande.

Les entreprises doivent donc disposer, avant décembre 2026, d'un canal formel et traçable pour recevoir et traiter ces demandes : répondre « de bonne foi » par courriel, sans registre ni suivi des délais, ne suffira plus.

Obligations opérationnelles pour les entreprises

Au-delà des principes généraux, la loi impose des obligations concrètes de conformité. La première est le Registre des activités de traitement (RAT) : un inventaire documenté des données traitées, de leur finalité, de la base légale applicable et des mesures de sécurité mises en place. La seconde concerne les analyses d'impact, exigées pour les traitements à haut risque pour les droits des personnes concernées, comme le traitement à grande échelle de données sensibles ou l'évaluation systématique de personnes.

La loi prévoit également la fonction de délégué à la protection des données, bien que sa désignation ne soit pas automatiquement obligatoire pour toute entreprise : cela dépend du volume, de la nature et du risque du traitement effectué. Néanmoins, chaque organisation devrait désigner formellement un responsable chargé de répondre à l'Agence et aux personnes concernées, que l'obligation stricte de nommer un délégué s'applique ou non. À cela s'ajoutent les contrats avec les sous-traitants — les prestataires externes qui traitent des données pour le compte de l'entreprise, comme la paie, le marketing ou l'hébergement infonuagique —, qui doivent être liés par des accords encadrant ce traitement.

Enfin, en cas d'incident compromettant des données personnelles, l'entreprise doit en informer l'Agence sans retard injustifié et par les moyens les plus rapides possibles. Contrairement au RGPD, la loi ne fixe pas de délai précis en heures, mais exige que l'entreprise puisse démontrer l'absence de retard injustifié. Lorsque la violation concerne des données sensibles, des données de mineurs de moins de 14 ans ou des données économiques et financières, les personnes concernées doivent également en être informées directement.

Contrôle et sanctions

Le régime de sanctions constitue le changement le plus dissuasif par rapport à la loi 19.628. Les infractions sont classées en infractions légères (amende pouvant atteindre 5 000 UTM), graves (jusqu'à 10 000 UTM) et très graves (jusqu'à 20 000 UTM) — l'UTM (Unidad Tributaria Mensual) étant une unité fiscale mensuelle chilienne servant à indexer les amendes et autres obligations. En cas de récidive d'infractions graves ou très graves, l'amende peut être calculée sous forme d'un pourcentage — de 2 % à 4 % — du chiffre d'affaires annuel de l'entreprise au Chili. L'Agence peut également ordonner des mesures correctives et, dans les cas les plus graves, des suspensions temporaires d'activité pouvant aller jusqu'à 30 jours. Les infractions se prescrivent par 4 ans, et les sanctions déjà prononcées par 3 ans à compter de la date à laquelle la décision devient définitive.

Un point important pour les petites et moyennes entreprises : pendant les 12 premiers mois d'application de la loi (soit, approximativement, jusqu'en décembre 2027), l'Agence a la faculté de prononcer un avertissement écrit plutôt qu'une amende pour certaines infractions — ce qui constitue, en pratique, une période d'adaptation plus souple pour les PME. Cela ne les dispense pas de se conformer à la loi, mais atténue le risque de sanction immédiate pour celles qui s'y adaptent de bonne foi.

Une mise en garde nécessaire

Il convient d'être clair sur l'état actuel de la question : la loi 21.719 n'est pas encore entrée en vigueur et l'Agence de protection des données personnelles ne dispose pas encore de la plénitude de ses pouvoirs de contrôle ; il n'existe donc, à ce jour, aucune jurisprudence administrative ou judiciaire consolidée interprétant ses dispositions. Toute analyse de son application pratique revêt, pour l'instant, un caractère préventif et doctrinal, et doit être considérée avec cette prudence.

Ce qu'une entreprise devrait faire dès aujourd'hui

Avec à peine trois mois avant l'entrée en vigueur de la loi, la marge pour s'adapter sereinement s'est déjà considérablement réduite. Dans ce délai, un plan de mise en conformité réaliste devrait donner la priorité aux actions suivantes : dresser un inventaire réel des traitements de données effectués par l'entreprise — la base du RAT —, vérifier la base légale sur laquelle repose chacun d'eux, mettre à jour ou établir les contrats avec les prestataires agissant comme sous-traitants, et désigner formellement un responsable interne de la protection des données, que l'obligation stricte de nommer un délégué s'applique ou non. Repousser ce travail au-delà de ces trois mois expose l'entreprise au moment même où l'Agence commencera à exercer activement ses pouvoirs de contrôle.