借助 ConsentX 实现智利第 21.719 号法律合规

数据处理原则

第 21.719 号法律确立了若干规范个人数据处理的核心原则。

其中包括：

• 合法性与公平性
• 目的限制
• 相称性
• 数据质量
• 透明度
• 安全
• 保密
• 问责

该法还确立了责任原则，据此处理个人数据的组织应对遵守适用的原则、义务和职责负责。

第 21.719 号法律下的同意要求

在智利的新框架下，同意是处理个人数据的法律依据之一。

当处理以同意为依据时，组织应确保同意的取得符合法律规定的要求，并确保个人掌握足够信息以理解所涉及的处理活动。

第 21.719 号法律还在特定情形下规定了其他合法依据，因此组织不应假定每项处理活动都需要取得同意。

对数字业务而言，这使得区分以同意为依据的处理活动与依据其他合法基础的处理活动变得尤为重要。

敏感个人数据

第 21.719 号法律为敏感个人数据提供了更强的保护。

其定义涵盖与健康、生物识别数据、族裔或种族出身、政治或工会归属、宗教或哲学信仰、性生活、性取向和性别认同等领域有关的信息。

因此，处理敏感信息的组织应采取额外的保障措施，并核实适用的合法依据和处理条件是否得到满足。

数据主体权利

第 21.719 号法律强化了个人就其个人数据可以行使的权利。

视具体情形，个人将享有的权利包括：

• 访问——获取有关其个人数据及其处理情况的信息
• 更正——纠正不准确或不完整的数据
• 删除——在适用情况下请求删除个人数据
• 反对——对特定处理活动提出异议
• 可携带——在适用情形下获取并传输个人数据
• 与自动化决策和画像分析相关的其他权利

该法在新的个人数据权利框架中明确承认了数据可携带权。

跨境数据传输

第 21.719 号法律就向其他国家传输个人数据确立了专门规则。

跨境传输个人数据的组织需要评估适用的合法依据和保障措施，并确保传输符合智利新框架所确立的要求。

这使得跨境数据传输治理成为使用全球云服务、分析、广告和技术供应商的组织合规工作的重要组成部分。

安全与数据泄露

处理个人数据的组织必须维持适当的安全标准，以保护信息免遭未经授权或非法的处理、丢失、泄露、意外损坏和销毁。

新框架还就个人数据安全事件设定了义务，并提供了更为有力的制度性执法架构。

个人数据保护局

第 21.719 号法律设立了个人数据保护局，这是一个自治的公法实体，负责监督智利个人数据保护框架的遵守情况。

该局将拥有与监督、执法以及保护个人对其个人数据所享权利相关的职权。