新《个人数据保护法》法定暂缓生效期还剩1年

Bofill Mir - 距第21.719号法律生效还有1年。该法对第19.628号法律作出重大修订，后者今后更名为《个人数据保护法》（“LPDP”）。

新的监管框架将深刻改变智利个人数据保护制度，使其与国际标准接轨，并大幅提高对个人数据处理者的要求。这意味着各组织需要重新审视其管理、保护和记录数据处理活动的方式。

LPDP将于2026年12月生效。为符合新的标准，处理个人数据的企业应审查并调整内部流程、合同、政策和安全措施，推动全面合规。

企业的 主要 义务 ：

• 识别自身在个人数据处理中的角色，以确定其是作为控制者或受托处理者行事，还是同时承担这两种角色。
• 确保每项个人数据处理活动均有合法有效的处理依据。
• 建立清晰、便捷的机制，使个人数据主体能够行使访问、更正、删除、反对、限制处理和数据可携权。
• 规范与受托人或受托处理者之间的关系，包括受个人数据主体委托处理个人数据的相关方。
• 采取技术和组织措施，落实隐私保护设计和默认保护，确保遵守LPDP规定的原则和义务。
• 在LPDP明确规定的情形下开展数据保护影响评估。
• 使国际数据传输符合LPDP规定的适用情形和要求。

监管与处罚
智利首次设立专门机构，负责监督个人数据保护法规的遵守情况，该机构名为 个人数据保护局 （“该局”）。

• 该局可对LPDP作出行政解释、监督其执行情况，并在发生违法行为时实施处罚。
• LPDP列出范围广泛的违法行为，并将其分为轻微、严重和特别严重三类。特别严重违法行为的罚款最高可达20.000 UTM（约USD 1,440,000）。
• 如在30个月内再次违法，该局可处以最高为原违法行为罚款金额3倍的罚款。
• 对于大型企业，严重或特别严重违法行为的再犯罚款可按以下两者中的较高者确定：（i）原罚款金额的3倍；或（ii）违法者上一日历年度收入的2%或4%，分别适用于严重或特别严重违法行为。

违法行为 预防模型
为预防违法行为，LPDP规定可自愿实施违法行为预防模型。该模型在向新设立的该局登记后，可作为减轻责任的因素。模型包括以下要素：

• 指定数据保护官（DPO）。
• 识别该实体处理的个人数据类型。
• 识别该实体的活动或流程。
• 制定具体的违法行为预防规程、规则和程序，并建立向内部及主管机关报告的机制。
• 设立内部行政处罚，并制定针对预防体系违规情形的举报程序。

法定暂缓生效期已过半，距离LPDP生效仅剩1年。各组织应详细审查自身合规水平，并根据新法要求调整数据处理流程。

bofillmir.cl