Im Dezember 2024 verabschiedete Chile das Gesetz 21.719, eine umfassende Überarbeitung des nationalen Rahmens zum Schutz personenbezogener Daten. Dieses wegweisende Gesetz ersetzt die veralteten Bestimmungen des Gesetzes 19.628, das den Datenschutz in Chile seit 1999 geregelt hatte. Das neue Gesetz bringt die chilenische Regulierungslandschaft in Einklang mit internationalen Standards und orientiert sich dabei maßgeblich an der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union. Für Unternehmen, die in Chile tätig sind oder Daten chilenischer Einwohner verarbeiten, ist das Verständnis dieses neuen Gesetzes unerlässlich, um die Einhaltung zu gewährleisten und erhebliche Strafen zu vermeiden.
Warum War ein Neues Gesetz Notwendig?
Chile gehörte zu den ersten lateinamerikanischen Ländern, die Datenschutzgesetze verabschiedeten, als es 1999 das Gesetz 19.628 erließ. Das ursprüngliche Gesetz wies jedoch erhebliche Mängel auf, die in den vergangenen zwei Jahrzehnten zunehmend offensichtlich wurden. Es fehlte eine eigene Aufsichtsbehörde für die Durchsetzung, es gab keine nennenswerten Sanktionen bei Verstößen, und es adressierte moderne Datenverarbeitungspraktiken wie Cloud Computing, künstliche Intelligenz und grenzüberschreitende Datenflüsse nicht.
Das Fehlen einer unabhängigen Durchsetzungsbehörde bedeutete, dass Betroffene Datenschutzverstöße vor Gericht verfolgen mussten – ein langsamer und kostspieliger Prozess, der die meisten Verstöße de facto ungeahndet ließ. Unternehmen operierten mit minimaler Aufsicht, und Chiles Datenschutzrahmen wurde nach internationalen Maßstäben weithin als unzureichend angesehen. Die Verfassungsreform von 2018, die den Schutz personenbezogener Daten zu einem Grundrecht in der chilenischen Verfassung erhob, legte den Grundstein für die umfassende Gesetzesreform, die das Gesetz 21.719 darstellt.
Wesentliche Bestimmungen des Gesetzes 21.719
Das neue Gesetz führt einen umfassenden Regulierungsrahmen ein, der die Lücken seines Vorgängers schließt und Chile an globale Best Practices angleicht. Die folgenden Abschnitte beschreiben die wichtigsten Bestimmungen.
Erweiterte Betroffenenrechte
Das Gesetz 21.719 erweitert die Rechte der Betroffenen erheblich. Zusätzlich zu den bestehenden Rechten auf Auskunft, Berichtigung und Löschung führt das neue Gesetz das Recht auf Datenübertragbarkeit, das Widerspruchsrecht und das Recht ein, keiner automatisierten Entscheidungsfindung unterworfen zu werden. Diese Rechte spiegeln eng die unter der DSGVO festgelegten wider und geben den Betroffenen eine wirksame Kontrolle über ihre persönlichen Informationen.
Verantwortliche müssen auf Anfragen der Betroffenen innerhalb festgelegter Fristen reagieren und klare Mechanismen bereitstellen, damit die Betroffenen ihre Rechte ausüben können. Die Nichtgewährleistung dieser Rechte kann zu regulatorischen Maßnahmen und Sanktionen führen.
Verstärkte Einwilligungsanforderungen
Die Einwilligung nach dem Gesetz 21.719 muss freiwillig, spezifisch, informiert und eindeutig sein. Das Gesetz verlangt, dass die Einwilligung durch eine klare bestätigende Handlung eingeholt wird, und verbietet die Verwendung vorangekreuzter Kästchen oder stillschweigender Einwilligungsmechanismen. Verantwortliche müssen nachweisen können, dass eine gültige Einwilligung eingeholt wurde, und müssen unkomplizierte Möglichkeiten für den jederzeitigen Widerruf der Einwilligung bereitstellen.
Für die Verarbeitung sensibler personenbezogener Daten, einschließlich Gesundheitsinformationen, biometrischer Daten und politischer Meinungen, ist eine ausdrückliche Einwilligung erforderlich, sofern keine spezifische gesetzliche Ausnahme gilt.
Meldepflicht bei Datenschutzverletzungen
Das Gesetz führt erstmals in der chilenischen Datenschutzgeschichte verpflichtende Meldeanforderungen bei Datenschutzverletzungen ein. Verantwortliche müssen die Agencia de Protección de Datos Personales unverzüglich über jede Verletzung des Schutzes personenbezogener Daten informieren, die ein Risiko für die Betroffenen darstellt. Wenn die Verletzung voraussichtlich ein hohes Risiko für die Betroffenen mit sich bringt, müssen auch die betroffenen Personen direkt benachrichtigt werden.
Organisationen müssen Verfahren zur Erkennung und Reaktion auf Datenschutzverletzungen implementieren, um die rechtzeitige Einhaltung dieser Anforderungen zu gewährleisten.
Pflichten des Datenschutzbeauftragten
Das Gesetz 21.719 führt die Pflicht bestimmter Organisationen ein, einen Datenschutzbeauftragten (DSB) zu ernennen. Der DSB ist für die Überwachung der Datenschutzstrategie der Organisation, das Compliance-Monitoring, die Beratung zu Datenschutz-Folgenabschätzungen und die Funktion als primäre Kontaktstelle zur Aufsichtsbehörde verantwortlich. Detaillierte Informationen zu den DSB-Anforderungen finden Sie in unserem Artikel über DSB-Pflichten in Chile.
Die Agencia de Protección de Datos Personales
Die vielleicht bedeutendste Neuerung des Gesetzes 21.719 ist die Schaffung der Agencia de Protección de Datos Personales, Chiles erster unabhängiger Datenschutzbehörde. Diese autonome Einrichtung ist befugt, Beschwerden zu untersuchen, Prüfungen durchzuführen, verbindliche Entscheidungen zu treffen und Verwaltungsstrafen bei Nichtkonformität zu verhängen.
Die Agencia hat die Befugnis, Auslegungsleitlinien herauszugeben, Verhaltenskodizes zu genehmigen und Compliance-Mechanismen zu zertifizieren. Sie wird auch eine zentrale Rolle in der internationalen Zusammenarbeit im Bereich Datenschutz spielen und die Integration Chiles in die globale Datenschutzlandschaft erleichtern.
Sanktionen und Durchsetzung
Das Gesetz 21.719 führt einen robusten Sanktionsrahmen ein, der einen dramatischen Abschied vom bisherigen Regime darstellt. Die Agencia kann Bußgelder von bis zu 10.000 UTM (Unidades Tributarias Mensuales) für schwere Verstöße verhängen, was für nicht konforme Organisationen eine erhebliche finanzielle Belastung bedeutet. Wiederholte Verstöße und erschwerende Umstände können zu noch höheren Strafen führen.
Der Sanktionsrahmen berücksichtigt Faktoren wie die Art und Schwere des Verstoßes, die Anzahl der betroffenen Personen, den Grad der Zusammenarbeit mit der Aufsichtsbehörde und ob die Organisation proaktive Maßnahmen zur Schadensminderung ergriffen hat. Organisationen, die robuste Compliance-Programme und schnelle Abhilfemaßnahmen nachweisen, können von reduzierten Strafen profitieren.
Übergangszeitplan
Das Gesetz sieht eine stufenweise Umsetzungsphase vor, um Unternehmen und der Regierung Zeit zur Vorbereitung auf die vollständige Einhaltung zu geben. Zu den wichtigsten Meilensteinen gehören die Einrichtung der Agencia und die Entwicklung ergänzender Verordnungen. Organisationen sollten diese Übergangszeit strategisch nutzen, um Lückenanalysen durchzuführen, notwendige Änderungen umzusetzen und ihr Personal zu schulen.
Es ist wichtig zu beachten, dass bestimmte Bestimmungen des Gesetzes zu unterschiedlichen Zeitpunkten während der Übergangsphase in Kraft treten. Unternehmen sollten mit Rechtsberatern zusammenarbeiten, um die für ihren Betrieb geltenden spezifischen Fristen zu verstehen und ihre Compliance-Bemühungen entsprechend zu priorisieren.
Auswirkungen auf Grenzüberschreitende Datenübermittlungen
Das neue Gesetz legt spezifische Regeln für die Übermittlung personenbezogener Daten außerhalb Chiles fest und schließt damit eine bedeutende Lücke im bisherigen Rahmen. Übermittlungen sind an Länder erlaubt, die ein angemessenes Datenschutzniveau bieten, wie von der Agencia festgestellt, oder über genehmigte Übermittlungsmechanismen wie Standardvertragsklauseln und verbindliche interne Datenschutzvorschriften. Eine detaillierte Analyse finden Sie in unserem Artikel über grenzüberschreitende Datenübermittlungen aus Chile.
Praktische Schritte für Unternehmen
Die Vorbereitung auf die Einhaltung des Gesetzes 21.719 erfordert einen systematischen Ansatz. Die folgenden Schritte bieten einen praktischen Fahrplan für Organisationen.
- Dateninventur durchführen: Identifizieren Sie alle personenbezogenen Daten, die Ihre Organisation erhebt, verarbeitet und speichert, einschließlich des Speicherorts und der Zugriffsberechtigten
- Datenschutzhinweise überprüfen und aktualisieren: Stellen Sie sicher, dass Ihre Datenschutzrichtlinien Ihre Datenverarbeitungstätigkeiten korrekt beschreiben und den verschärften Transparenzanforderungen entsprechen
- Rechtsgrundlagen bewerten: Dokumentieren Sie die Rechtsgrundlage für jede Verarbeitungstätigkeit und implementieren Sie Prozesse zur Einholung und Verwaltung von Einwilligungen, wo zutreffend
- Verfahren für Betroffenenanfragen einrichten: Erstellen Sie Workflows zur Bearbeitung von Auskunfts-, Berichtigungs-, Löschungs-, Übertragbarkeits- und Widerspruchsanfragen innerhalb der erforderlichen Fristen
- Reaktionspläne für Datenschutzverletzungen entwickeln: Erstellen und testen Sie Verfahren zur Reaktion auf Vorfälle, um die rechtzeitige Erkennung und Meldung von Datenschutzverletzungen zu gewährleisten
- Einen DSB ernennen, falls erforderlich: Stellen Sie fest, ob Ihre Organisation einen DSB benötigt, und stellen Sie einen ein oder beauftragen Sie einen externen DSB-Dienst
- Personal schulen: Führen Sie umfassende Datenschutz-Sensibilisierungsschulungen für alle Mitarbeiter durch, die personenbezogene Daten verarbeiten
- Grenzüberschreitende Übermittlungen überprüfen: Bewerten Sie Ihre internationalen Datenübermittlungsvereinbarungen und implementieren Sie angemessene Schutzmaßnahmen
Ausblick
Das Gesetz 21.719 markiert einen transformativen Moment für den Datenschutz in Chile. Es positioniert das Land als regionalen Vorreiter in der Datenschutzregulierung und signalisiert ein klares Engagement für den Schutz der personenbezogenen Daten chilenischer Bürger. Organisationen, die jetzt in die Compliance investieren, werden nicht nur regulatorische Strafen vermeiden, sondern auch Vertrauen bei Kunden und Partnern in einem zunehmend datenschutzbewussten Markt aufbauen.
Eine strukturierte Compliance-Plattform wie die ResGuard Compliance Map kann Organisationen dabei helfen, die Komplexitäten des Gesetzes 21.719 zu bewältigen, Compliance-Workflows zu automatisieren und eine fortlaufende Überwachung ihrer Datenschutzlage aufrechtzuerhalten. Proaktive Vorbereitung ist der Schlüssel, um regulatorische Veränderungen in einen Wettbewerbsvorteil zu verwandeln.