Une échéance en suspens

Au Chili, presque toutes les entreprises qui se préparaient à la nouvelle loi sur la protection des données avaient la même date inscrite à leur calendrier, le 1er décembre 2026. Depuis le 28 octobre, cette date est mise en doute. Ce jour-là, le Sénat a approuvé, en premier stade constitutionnel, le projet qui fixe l'entrée en vigueur de la loi au 15 octobre 2027.

La nouvelle peut se lire de deux façons. La première est comme un soulagement, dix mois et demi de plus pour faire sereinement ce qui était en retard. La seconde, plus risquée, est comme un signal que le sujet peut attendre. Les entreprises qui choisiront la seconde arriveront en octobre 2027 dans la même situation qu'aujourd'hui, mais avec moins de temps et face à une Agence mieux préparée à contrôler.

Ce qu'a approuvé le Sénat

Le projet est né d'un message présidentiel du 31 août 2026, qui proposait de reporter l'entrée en vigueur au 1er décembre 2027. À la Commission de la Constitution du Sénat, la date a été avancée au 15 octobre 2027.

Outre la date, le projet modifie l'Agence de protection des données personnelles, l'organisme qui contrôlera le respect de la loi et sanctionnera les infractions. Son conseil de direction passerait de trois à cinq conseillers, avec des mandats de six ans, sans possibilité de nouvelle désignation, et serait renouvelé partiellement tous les deux ans. Les premiers conseillers seraient proposés par le Président de la République en un seul acte, deux pour six ans, deux pour quatre ans et un pour deux ans, afin que le renouvellement soit échelonné, et ils devraient obtenir l'approbation des deux tiers des sénateurs en exercice. Le délai pour les proposer passerait de six à neuf mois avant l'entrée en vigueur, mais si, au moment de la publication de la loi, il reste moins de douze mois avant cette date, comme ce sera le cas pour toute publication postérieure au 15 octobre 2026, le Président disposerait de dix jours à compter de la publication pour faire la proposition.

Le projet ne modifie pas les obligations que la Loi 21.719 impose aux entreprises ni son régime de sanctions.

Trois scénarios possibles

Si la Chambre approuve le projet sans modification et que la loi est publiée avant le 1er décembre, la nouvelle date devient ferme. La Loi 21.719 entrerait en vigueur le 15 octobre 2027 et le Président disposerait de dix jours à compter de la publication pour proposer au Sénat les noms des conseillers de l'Agence.

Si la Chambre introduit des modifications, le projet retourne au Sénat pour une troisième lecture, et le temps disponible avant le 1er décembre se réduit. Tant que ce processus n'est pas terminé, la date légale reste la date d'origine.

Si le projet n'est pas publié avant le 1er décembre, la Loi 21.719 entre en vigueur ce jour-là, même si l'Agence chargée de la contrôler ne fonctionne pas encore. Une loi de report publiée après cette date devrait suspendre une norme déjà en vigueur, ce qui ouvre une discussion juridique que personne ne devrait vouloir avoir avec sa propre conformité comme objet de preuve.

Ce qui ne change pas

Tant que la Loi 21.719 n'est pas entrée en vigueur, la Loi 19.628, sur la protection de la vie privée, continue de s'appliquer. C'est une loi plus faible et sans organe de contrôle spécialisé, mais elle exige toujours, entre autres, que le traitement de données personnelles repose sur une base légale ou sur l'autorisation de la personne concernée, et elle permet toujours aux personnes de saisir les tribunaux.

Ce qui se passe déjà sur le marché ne change pas non plus. D'après notre expérience, les grandes entreprises intègrent des clauses de protection des données dans leurs contrats avec leurs fournisseurs et demandent des justificatifs de conformité avant de contracter. Pour un éditeur de logiciels, un comptable externe, une entreprise de recouvrement ou un centre d'appels, la question n'attendra pas octobre 2027.

Des normes complémentaires sont déjà publiées, comme le Decreto Supremo N° 662, de 2025, du ministère des Finances, qui réglemente les modèles de prévention des infractions et qui a été publié au Diario Oficial (le Journal officiel) le 9 septembre 2026. Sa certification ne fonctionne pas encore parce que l'Agence n'est pas en activité, mais rien n'empêche de mettre en place le modèle dès maintenant.

Comment utiliser le temps

Le travail qu'exige la Loi 21.719 est le même avec l'une ou l'autre date. Il faut d'abord savoir quelles données personnelles l'entreprise traite, de qui, pour quelle finalité et sur quelle base légale. Il convient ensuite de revoir les contrats avec les fournisseurs qui accèdent à ces données. Il faut après cela mettre de l'ordre dans la sécurité de l'information, ouvrir un canal pour que les personnes exercent leurs droits et désigner un responsable de la vie privée au sein de l'entreprise. Enfin, il faut tout documenter, car lorsque l'Agence contrôlera, elle demandera des registres avant des explications.

Ce qui change entre les deux dates est la qualité du travail. Avec une échéance au 1er décembre, le travail se fait dans la précipitation. Avec une échéance en octobre 2027, il peut se faire dans un ordre raisonnable, budgété et sans interrompre l'activité.

Ce que nous ignorons encore

La Chambre votera-t-elle avant le 1er décembre ? Maintiendra-t-elle le 15 octobre 2027 ou reviendra-t-elle à la date du message présidentiel ? Quand les conseillers de l'Agence seront-ils nommés et quand commencera-t-elle réellement à contrôler ? Aucune de ces réponses ne change ce qu'une entreprise doit faire, mais toutes changent le rythme auquel il convient de le faire. Nous mettrons à jour cette analyse lorsque le projet avancera.

Dix mois et demi suffisent pour se mettre en conformité correctement. C'est aussi assez de temps pour oublier le sujet jusqu'à ce qu'il soit trop tard.