Loi 21.719 - Que doivent faire les entreprises au Chili avant le 1er décembre 2026 ?

Le Chili a une nouvelle Loi de Protection des Données Personnelles. La Loi N° 21.719, publiée au Journal Officiel le 13 décembre 2024, remplace l'ancienne Loi N° 19.628 de 1999, jusqu'à présent l'une des réglementations de protection des données les plus dépassées de la région, et entrera en vigueur le 1er décembre 2026, après une période de vacance légale de 24 mois. Pour les entreprises qui opèrent au Chili, cette date n'est pas une simple démarche administrative de plus, mais marque le passage d'un régime avec un contrôle pratiquement inexistant à un régime avec une agence spécialisée, des pouvoirs de sanction réels et des amendes pouvant atteindre un pourcentage des revenus annuels de l'entreprise.

À seulement trois mois de son entrée en vigueur, il convient que les entreprises, en particulier celles qui traitent des données de clients, de travailleurs ou de fournisseurs, comprennent ce qui change et ce qu'elles doivent mettre en œuvre avant cette date.

Ce que crée la nouvelle loi

La Loi 21.719 crée l'Agence de Protection des Données Personnelles (APDP), un nouvel organisme public avec des attributions pour contrôler le respect de la réglementation, instruire les entreprises, et appliquer des sanctions administratives. Cela remplace le schéma antérieur, dans lequel le contrôle de la Loi 19.628 relevait de façon limitée et partielle du Conseil pour la Transparence, sans autorité dédiée ni régime de sanction dissuasif.

Avec la nouvelle institutionnalité, la loi modernise les concepts centraux du droit de la protection des données au Chili, en s'alignant, bien qu'avec ses propres nuances, sur des standards comme le Règlement Général sur la Protection des Données de l'Union Européenne (RGPD) ; des bases légales plus exigeantes, de nouveaux droits pour les titulaires des données, et des obligations documentaires concrètes pour ceux qui traitent ces données.

Bases légales du traitement

Sous la nouvelle loi, traiter des données personnelles exige de disposer d'une base légale habilitante. Parmi celles que prévoit la loi figurent :

Le consentement du titulaire, qui doit être libre, informé, spécifique quant à sa finalité, préalable et univoque.
Le respect d'une obligation légale.
L'exécution d'un contrat ou l'adoption de mesures précontractuelles demandées par le titulaire.
L'intérêt légitime du responsable.
L'exercice ou la défense de droits devant les tribunaux ou organismes publics.

L'intérêt légitime mérite une attention spéciale, car contrairement au consentement il ne suffit pas de l'invoquer. L'entreprise doit pouvoir démontrer une analyse qui pèse la finalité poursuivie, la nécessité du traitement, son impact sur les titulaires et les mesures de protection adoptées. En pratique, cela signifie que l'intérêt légitime ne peut pas être utilisé comme un joker ; il exige une documentation préalable qui soutienne sa validité.

Nouveaux droits et délais pour les titulaires

La loi renforce les droits traditionnels ARCO (accès, rectification, annulation et opposition) et ajoute le droit à la portabilité des données. Les entreprises doivent répondre à ces demandes dans un délai de 30 jours calendaires depuis leur réception, délai prorogeable une seule fois jusqu'à 30 jours calendaires supplémentaires.

Il est également prévu un mécanisme de blocage temporaire des données face à certaines demandes, avec un délai de 2 jours ouvrables. Le titulaire peut réclamer auprès de l'Agence dans les 30 jours ouvrables suivant la demande s'il n'est pas satisfait de la réponse.

Cela oblige les entreprises à disposer, avant décembre 2026, d'un canal formel et traçable pour recevoir et traiter ces demandes ; il ne suffit pas de répondre « de bonne foi » par courriel sans registre ni contrôle des délais.

Obligations opérationnelles pour les entreprises

Au-delà des principes, la loi impose des charges concrètes de conformité :

1. Registre des Activités de Traitement (RAT) : un inventaire documenté de quelles données sont traitées, dans quel but, sous quelle base légale et avec quelles mesures de sécurité.

2. Évaluation d'impact : exigible pour les traitements à haut risque pour les droits des titulaires, comme l'utilisation de données sensibles à grande échelle ou l'évaluation systématique de personnes.

3. Délégué à la Protection des Données : la loi prévoit cette figure, bien que sa désignation ne soit pas automatiquement obligatoire pour toute entreprise ; cela dépend du volume, de la nature et du risque du traitement qu'elle effectue. Malgré cela, il convient que toute organisation définisse formellement qui répond devant l'Agence et devant les titulaires, que l'obligation stricte de nommer un Délégué existe ou non.

4. Contrats avec les sous-traitants : les prestataires externes qui traitent des données pour le compte de l'entreprise (services de paie, marketing, stockage dans le cloud, etc.) doivent être soumis à des accords qui régulent ce traitement.

5. Notification des violations de sécurité : face à un incident qui compromet des données personnelles, l'entreprise doit notifier l'Agence sans délais indus et par les moyens les plus rapides possibles. La loi ne fixe pas de délai précis en heures, contrairement au RGPD européen, mais exige de pouvoir démontrer qu'il n'y a pas eu de retard injustifié. Lorsque la violation concerne des données sensibles, des informations de mineurs de moins de 14 ans ou des données économico-financières, il faut en outre en informer directement les titulaires affectés.

Contrôle et sanctions

Le régime de sanctions est le changement le plus dissuasif face à la Loi 19.628. Les infractions sont classées en légères (amende jusqu'à 5.000 UTM), graves (jusqu'à 10.000 UTM) et très graves (jusqu'à 20.000 UTM), et en cas de récidive d'infractions graves ou très graves, l'amende peut être calculée comme un pourcentage entre 2% et 4% des revenus annuels de l'entreprise au Chili. L'Agence peut également imposer des mesures correctives et, dans les cas les plus graves, des suspensions temporaires jusqu'à 30 jours. Les infractions se prescrivent en 4 ans et les sanctions déjà appliquées, en 3 ans depuis que la décision devient définitive.

Une donnée pertinente pour les petites et moyennes entreprises est que pendant les 12 premiers mois de vigueur de la loi (c'est-à-dire, jusqu'à environ décembre 2027), l'Agence a la faculté d'appliquer un avertissement écrit au lieu d'amendes pour certaines infractions, ce qui en pratique opère comme une période d'adaptation plus flexible pour les PME. Cela n'exempte pas de la conformité, mais modère le risque de sanction immédiate pour ceux qui s'adaptent de bonne foi.

Un avertissement nécessaire

Il convient d'être clair sur l'état actuel de cette matière. La Loi 21.719 n'entre pas encore en vigueur et l'Agence de Protection des Données Personnelles n'opère pas encore avec la pleine capacité de ses pouvoirs de contrôle, c'est pourquoi à ce jour il n'existe pas de jurisprudence administrative ni judiciaire consolidée qui interprète ses dispositions. Toute analyse sur son application pratique est, pour l'instant, de caractère préventif et doctrinal, et doit être traitée avec cette prudence.

Ce qu'une entreprise devrait faire aujourd'hui

Avec à peine trois mois pour l'entrée en vigueur, la marge pour s'adapter calmement s'est déjà considérablement réduite. Un plan d'adaptation réaliste, dans ce délai, devrait prioriser au moins les étapes suivantes (i) établir un inventaire réel des traitements de données que réalise l'entreprise (l'intrant pour le RAT), (ii) réviser sous quelle base légale repose chacun, (iii) mettre à jour ou générer les contrats avec les prestataires qui agissent comme sous-traitants, et (iv) définir formellement un responsable interne de la vie privée, qu'il ait ou non la qualité de Délégué exigée par la loi. Reporter ce travail au-delà de ces trois mois laisse l'entreprise exposée juste quand l'Agence commencera à contrôler activement.