Während Globalisierung und digitale Transformation die Geschäftswelt weiter umgestalten, ist die Fähigkeit, personenbezogene Daten über Grenzen hinweg zu übermitteln, unerlässlich geworden. Chile ist mit seiner offenen Wirtschaft und seinen umfangreichen internationalen Handelsbeziehungen ein bedeutender Teilnehmer an globalen Datenflüssen. Die Verabschiedung des Gesetzes 21.719 hat umfassende Regeln für die Übermittlung personenbezogener Daten außerhalb Chiles eingeführt und ersetzt die minimalen Anforderungen des bisherigen Rahmens. Das Verständnis dieser neuen Anforderungen ist für jede Organisation, die personenbezogene Daten chilenischer Einwohner sendet oder empfängt, von entscheidender Bedeutung.
Der Bisherige Rahmen Unter dem Gesetz 19.628
Unter Chiles ursprünglichem Datenschutzgesetz, dem Gesetz 19.628, unterlagen grenzüberschreitende Datenübermittlungen nur einer sehr begrenzten Regulierung. Das Gesetz legte keine spezifischen Bedingungen oder Schutzmaßnahmen für internationale Übermittlungen fest und erforderte auch keine Genehmigung durch eine Aufsichtsbehörde. In der Praxis konnten personenbezogene Daten mit wenigen Einschränkungen ins Ausland übermittelt werden, was den chilenischen Einwohnern nur minimalen Schutz bot, wenn ihre Daten in ausländischen Rechtsordnungen verarbeitet wurden.
Dieser permissive Ansatz war zunehmend nicht mehr zeitgemäß, insbesondere da wichtige Handelspartner wie die Europäische Union im Rahmen der DSGVO strenge Übermittlungsmechanismen implementierten. Das Fehlen robuster Übermittlungsregeln behinderte auch Chiles Fähigkeit, einen Angemessenheitsbeschluss der Europäischen Kommission zu erhalten, was die Möglichkeiten für vereinfachte Datenflüsse mit EU-Mitgliedstaaten einschränkte.
Neue Übermittlungsregeln Unter dem Gesetz 21.719
Das Gesetz 21.719 führt einen strukturierten Rahmen für internationale Datenübermittlungen ein, der dem von der DSGVO etablierten Modell eng folgt. Unter dem neuen Regime dürfen personenbezogene Daten nur dann außerhalb Chiles übermittelt werden, wenn eine von mehreren zulässigen Bedingungen erfüllt ist. Diese Bedingungen sollen sicherstellen, dass die personenbezogenen Daten chilenischer Einwohner unabhängig vom Verarbeitungsort weiterhin angemessenen Schutz genießen.
Angemessenheitsbeschlüsse
Die Agencia de Protección de Datos Personales ist befugt, Angemessenheitsbeschlüsse zu erlassen, die anerkennen, dass ein fremdes Land, Gebiet oder eine internationale Organisation ein Datenschutzniveau bietet, das dem durch chilenisches Recht garantierten im Wesentlichen gleichwertig ist. Liegt ein Angemessenheitsbeschluss vor, können personenbezogene Daten ohne zusätzliche Schutzmaßnahmen in die anerkannte Rechtsordnung übermittelt werden.
Die Bewertung berücksichtigt Faktoren wie die Rechtsstaatlichkeit, die Existenz und Funktionsweise einer unabhängigen Aufsichtsbehörde, die internationalen Verpflichtungen des Ziellandes und die wirksame Durchsetzung der Betroffenenrechte. Dieser Mechanismus entspricht direkt den Angemessenheitsbeschlüssen der Europäischen Kommission unter der DSGVO.
Standardvertragsklauseln
In Ermangelung eines Angemessenheitsbeschlusses können Organisationen auf von der Agencia genehmigte Standardvertragsklauseln (SVK) zurückgreifen. Dies sind vorab genehmigte Vertragsvorlagen, die sowohl dem Datenexporteur in Chile als auch dem Datenimporteur im Ausland verbindliche Datenschutzpflichten auferlegen. SVK müssen wesentliche Anforderungen abdecken, darunter Zweckbindung, Datensicherheitsmaßnahmen, Betroffenenrechte, Einschränkungen bei der Unterverarbeitung und Durchsetzungsmechanismen.
Organisationen sollten SVK sorgfältig als Teil ihrer Datenverarbeitungsvereinbarungen implementieren und Transfer-Folgenabschätzungen durchführen, um zu überprüfen, dass der Rechtsrahmen des Ziellandes den durch die Klauseln gewährten Schutz nicht untergräbt.
Verbindliche Interne Datenschutzvorschriften
Multinationale Organisationen können verbindliche interne Datenschutzvorschriften (Binding Corporate Rules, BCR) entwickeln, um konzerninterne Übermittlungen personenbezogener Daten zu regeln. BCR sind interne Richtlinien, die einheitliche Datenschutzstandards für alle Einheiten innerhalb einer Unternehmensgruppe festlegen, unabhängig von deren geografischem Standort. Um unter dem Gesetz 21.719 gültig zu sein, müssen BCR von der Agencia genehmigt werden und nachweisen, dass alle Konzerneinheiten an durchsetzbare Datenschutzpflichten gebunden sind.
Während BCR eine erhebliche Anfangsinvestition in Bezug auf Entwicklung und Genehmigung erfordern, bieten sie eine flexible und skalierbare Lösung für multinationale Organisationen, die routinemäßig große Mengen personenbezogener Daten zwischen verbundenen Unternehmen übermitteln.
Weitere Übermittlungsmechanismen
Das Gesetz erkennt auch mehrere zusätzliche Grundlagen für internationale Übermittlungen an, darunter:
- Ausdrückliche Einwilligung: Der Betroffene hat seine ausdrückliche und informierte Einwilligung in die spezifische Übermittlung gegeben, nachdem er über die potenziellen Risiken aufgeklärt wurde
- Vertragliche Notwendigkeit: Die Übermittlung ist für die Erfüllung oder den Abschluss eines Vertrags zwischen dem Betroffenen und dem Verantwortlichen erforderlich
- Rechtsansprüche: Die Übermittlung ist für die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich
- Öffentliches Interesse: Die Übermittlung ist aus wichtigen Gründen des öffentlichen Interesses erforderlich, die gesetzlich anerkannt sind
- Lebenswichtige Interessen: Die Übermittlung ist zum Schutz lebenswichtiger Interessen des Betroffenen oder einer anderen Person erforderlich
APEC-Regeln zum Grenzüberschreitenden Datenschutz
Chile ist Mitglied der Asiatisch-Pazifischen Wirtschaftskooperation (APEC) und nimmt am APEC Cross-Border Privacy Rules (CBPR) System teil. Das CBPR bietet einen Rahmen zur Erleichterung datenschutzkonformer Datenflüsse zwischen teilnehmenden APEC-Volkswirtschaften, indem es einen Satz grundlegender Datenschutzprinzipien festlegt, die zertifizierte Organisationen einhalten müssen.
Unter dem Gesetz 21.719 kann die APEC-CBPR-Zertifizierung als anerkannter Übermittlungsmechanismus dienen und die Rahmenwerke für Angemessenheit, SVK und BCR ergänzen. Dies ist besonders relevant für chilenische Unternehmen, die mit Partnern im asiatisch-pazifischen Raum Handel treiben, da die CBPR-Zertifizierung die Compliance über mehrere Rechtsordnungen hinweg gleichzeitig vereinfachen kann.
Wesentliche Unterschiede zu den Übermittlungsmechanismen der DSGVO
Obwohl Chiles neuer Übermittlungsrahmen stark von der DSGVO inspiriert ist, bestehen mehrere wichtige Unterschiede, die Organisationen kennen sollten:
- Aufsichtsbehörde: Die Agencia de Protección de Datos Personales, nicht die Europäischen Datenschutzbehörden, ist die zuständige Behörde für die Genehmigung von Übermittlungsmechanismen und den Erlass von Angemessenheitsbeschlüssen
- APEC-Integration: Chiles Teilnahme am APEC-CBPR-System bietet einen zusätzlichen Übermittlungsmechanismus, der im Rahmen der DSGVO nicht verfügbar ist
- Übergangsfrist: Die vollständige Umsetzung der Übermittlungsanforderungen wird stufenweise erfolgen, was Organisationen Zeit gibt, ihre Praktiken anzupassen, bevor die Durchsetzung beginnt
- Regionaler Kontext: Chiles Angemessenheitsbewertungen werden die Datenschutzlandschaft lateinamerikanischer und asiatisch-pazifischer Handelspartner berücksichtigen, die sich von den Bewertungsprioriäten der EU unterscheiden können
Praktische Hinweise für Unternehmen
Organisationen, die personenbezogene Daten aus Chile übermitteln, sollten die folgenden Schritte unternehmen, um die Einhaltung der neuen Übermittlungsregeln sicherzustellen:
- Datenflüsse kartieren: Identifizieren Sie alle Übermittlungen personenbezogener Daten außerhalb Chiles, einschließlich der Zielländer, der Kategorien übermittelter Daten und der Zwecke jeder Übermittlung
- Übermittlungsmechanismen bewerten: Bestimmen Sie für jede Übermittlung, welcher Mechanismus verfügbar und geeignet ist, sei es ein Angemessenheitsbeschluss, SVK, BCR, Einwilligung oder eine andere anerkannte Grundlage
- Angemessene Schutzmaßnahmen umsetzen: Entwerfen und schließen Sie die erforderlichen vertraglichen Vereinbarungen ab und führen Sie bei Bedarf Transfer-Folgenabschätzungen durch
- Regulatorische Entwicklungen beobachten: Bleiben Sie über Angemessenheitsbeschlüsse der Agencia und Aktualisierungen genehmigter SVK oder Leitlinien zu BCR-Anträgen informiert
- Datenschutzhinweise aktualisieren: Stellen Sie sicher, dass Ihre Datenschutzrichtlinien die Betroffenen über internationale Übermittlungen, die Zielländer und die getroffenen Schutzmaßnahmen informieren
- Compliance dokumentieren: Führen Sie Aufzeichnungen über alle Übermittlungsmechanismen, Bewertungen und Entscheidungen, um die Einhaltung im Falle einer behördlichen Anfrage nachweisen zu können
Eine umfassende Compliance-Plattform wie die ResGuard Compliance Map kann Organisationen dabei helfen, ihre internationalen Datenübermittlungen zu verfolgen, vertragliche Schutzmaßnahmen zu verwalten und die für die regulatorische Compliance erforderliche Dokumentation zu pflegen.
Fazit
Chiles neue Regeln für grenzüberschreitende Datenübermittlungen stellen eine bedeutende Modernisierung des Datenschutzrahmens des Landes dar. Durch die Festlegung klarer Bedingungen und Schutzmaßnahmen für internationale Übermittlungen schützt das Gesetz 21.719 die Rechte chilenischer Betroffener und unterstützt gleichzeitig die legitimen Bedürfnisse von Unternehmen, global zu operieren. Organisationen sollten jetzt handeln, um ihre Datenflüsse zu kartieren, geeignete Übermittlungsmechanismen zu implementieren und sich auf die vollständige Durchsetzung dieser Anforderungen vorzubereiten. Für ein umfassenderes Verständnis von Chiles neuem Datenschutzgesetz lesen Sie unseren Leitfaden zum Gesetz 21.719.