ConsentXで実現するチリLaw 21.719コンプライアンス

データ取扱いの原則

Law 21.719は、個人データの取扱いを規律する複数の基本原則を定めています。

これには次のものが含まれます。

• 適法性と公正性
• 目的の限定
• 比例性
• データの品質
• 透明性
• 安全性
• 秘密保持
• アカウンタビリティ

同法はまた責任の原則を定めており、個人データを取り扱う組織は、適用される原則、義務および責務を遵守する責任を負います。

Law 21.719における同意の要件

同意は、チリの新制度における個人データ取扱いの適法な根拠の一つです。

同意に依拠する場合、組織は法律が定める要件に従って同意を取得し、本人が当該取扱いを理解するのに十分な情報を有していることを確保すべきです。

Law 21.719は、特定の状況において他の適法な根拠も定めています。したがって組織は、すべての取扱活動に同意が必要だと考えるべきではありません。

デジタル事業者にとっては、同意に依拠する取扱活動と、他の適法な根拠に依拠する取扱活動とを区別することが重要になります。

機微な個人データ

Law 21.719は、機微な個人データにより強い保護を与えています。

その定義には、健康、生体データ、民族的または人種的出自、政治的もしくは労働組合への所属、宗教的または哲学的信条、性生活、性的指向、性自認といった分野に関する情報が含まれます。

したがって機微な情報を取り扱う組織は、追加の保護措置を適用し、適用される適法な根拠および取扱いの要件が満たされていることを確認すべきです。

データ主体の権利

Law 21.719は、個人が自らの個人データに関して有する権利を強化します。

状況に応じて、個人は次のような権利を有します。

• アクセス - 自らの個人データおよびその取扱いについて情報を得ること
• 訂正 - 不正確または不完全なデータを修正すること
• 削除 - 該当する場合に個人データの削除を求めること
• 異議 - 一定の取扱活動に異議を唱えること
• データポータビリティ - 該当する状況において個人データを取得し移転すること
• 自動化された意思決定およびプロファイリングに関する追加の権利

同法は、新たな個人データ権利の枠組みの中でデータポータビリティの権利を明示的に認めています。

国外へのデータ移転

Law 21.719は、個人データを他国へ移転する際の具体的な規則を定めています。

個人データを国外へ移転する組織は、適用される適法な根拠と保護措置を評価し、移転がチリの新制度の要件を満たすことを確保する必要があります。

これにより、グローバルなクラウド、分析、広告、技術の提供事業者を利用する組織にとって、国外データ移転のガバナンスがコンプライアンスの重要な要素となります。

セキュリティとデータ侵害

個人データを取り扱う組織は、権限のないまたは違法な取扱い、滅失、漏えい、偶発的な損壊および破壊から情報を保護するため、適切なセキュリティ水準を維持しなければなりません。

新制度はまた、個人データのセキュリティ侵害に関する義務を定め、より強固な制度的執行体制を設けています。

個人データ保護庁

Law 21.719は、チリの個人データ保護制度の遵守を監督する自律的な公法上の機関として、個人データ保護庁を創設します。

同庁は、監督、執行、および個人の個人データに関する権利の保護に関する権限を有することになります。