Conformité à la loi chilienne sur la protection des données personnelles (LPPD)

Qu’est-ce que la LPPD ?

LPPD est le nom couramment donné à la nouvelle loi chilienne sur la protection des données personnelles, la loi n° 21.719, qui encadre la protection et le traitement des données personnelles et crée l’Agence de protection des données personnelles. Elle a été publiée au Journal officiel le 13 décembre 2024. Plutôt que de remplacer la loi chilienne de 1999 sur la vie privée, la loi n° 19.628, elle en réécrit l’essentiel et rapproche nettement les règles chiliennes du RGPD de l’UE.

Ses principales règles sont les suivantes :

• Les données personnelles peuvent être traitées avec le consentement de la personne concernée ou sur une autre base légale prévue par la loi, comme l’exécution d’un contrat, le respect d’une obligation légale ou un intérêt légitime.
• Le consentement doit être libre, spécifique, univoque et éclairé, et donné par une déclaration ou un acte positif clair.
• Les personnes disposent de droits d’accès, de rectification, d’effacement, d’opposition, de portabilité et de blocage du traitement, ainsi que de droits relatifs aux décisions automatisées, y compris le profilage.
• Les entreprises doivent informer les personnes de la manière dont leurs données sont traitées, assurer la sécurité de ces données et signaler les failles de sécurité.
• Les transferts internationaux de données personnelles ne sont autorisés qu’aux conditions prévues par la loi, par exemple vers des pays offrant une protection adéquate ou moyennant des garanties appropriées.
• Une nouvelle autorité de contrôle indépendante, l’Agence de protection des données personnelles (Agencia de Protección de Datos Personales), veille à l’application de la loi et peut prononcer des sanctions.

Que se passe-t-il si je ne respecte pas la LPPD ?

La LPPD classe les infractions en légères, graves ou très graves, avec des amendes fixées en UTM (unidad tributaria mensual), une unité monétaire chilienne indexée sur l’inflation :

• Infractions légères : un avertissement écrit ou une amende pouvant atteindre 5 000 UTM.
• Infractions graves : des amendes pouvant atteindre 10 000 UTM.
• Infractions très graves : des amendes pouvant atteindre 20 000 UTM.
• Récidive : pour les entreprises qui ne sont pas de petites entreprises et qui commettent à nouveau une infraction grave ou très grave, les amendes peuvent atteindre respectivement 2 % ou 4 % du chiffre d’affaires annuel.
• Infractions non corrigées : si les mesures ordonnées par l’Agence ne sont pas prises dans un délai de 60 jours, l’amende est majorée de 50 %.
• Registre public : les sanctions sont inscrites dans un Registre national public des sanctions et de la conformité tenu par l’Agence.

Pendant la première année d’application de la loi, l’Agence peut adresser aux petites entreprises un avertissement écrit au lieu d’une amende.

Se conformer à la LPPD

Si votre boutique en ligne vend à des clients au Chili, la LPPD peut s’appliquer aux données personnelles que vous collectez auprès d’eux, y compris les données collectées au moyen de cookies et d’outils de suivi qui observent le comportement des visiteurs sur votre boutique.

Pour les cookies et le suivi, les points essentiels sont les suivants :

• Consentement : pour les cookies d’analyse, de publicité et les autres cookies non essentiels, demandez le consentement avant leur dépôt. Le consentement doit résulter d’un acte positif clair : des cases pré-cochées ou la simple poursuite de la navigation ne suffisent pas, et les visiteurs doivent pouvoir le retirer à tout moment.
• Information : indiquez aux visiteurs quelles données vous collectez, à quelles fins, qui les reçoit et comment ils peuvent exercer leurs droits, y compris le détail des outils tiers qui déposent des cookies sur votre boutique.
• Transferts transfrontaliers : de nombreux outils d’analyse et de marketing traitent des données hors du Chili. Vérifiez que chaque prestataire offre une base de transfert reconnue par la loi.
• Demandes des personnes concernées : soyez prêt à répondre aux demandes d’accès, de rectification, d’effacement, d’opposition et de portabilité.

Pour vous préparer, pensez à utiliser une plateforme de gestion du consentement (CMP) comme Pandectes GDPR Compliance. Elle affiche une bannière de cookies qui bloque les cookies non essentiels jusqu’au consentement du visiteur, scanne votre boutique pour détecter et classer automatiquement les cookies, et génère une déclaration de cookies pour votre page de politique. Elle conserve des registres de consentement comme preuve du choix de chaque visiteur, vous aide à traiter les demandes des personnes concernées et utilise la géolocalisation pour afficher des paramètres de bannière propres à chaque région aux visiteurs de différents pays. Pandectes GDPR Compliance est conçue spécialement pour les boutiques Shopify.

Les lignes directrices de l’Agence et la date d’entrée en vigueur de la loi peuvent encore évoluer : faites vérifier votre configuration par un conseiller juridique si nécessaire.