Voldoen aan de Chileense wet op de bescherming van persoonsgegevens (LPPD)

Wat is de LPPD?

LPPD is een gangbare naam voor de nieuwe Chileense wet op de bescherming van persoonsgegevens, wet nr. 21.719, die de bescherming en verwerking van persoonsgegevens regelt en het Agentschap voor de Bescherming van Persoonsgegevens opricht. De wet werd op 13 december 2024 gepubliceerd in het Staatsblad. In plaats van de Chileense privacywet uit 1999, wet nr. 19.628, te vervangen, herschrijft ze het grootste deel ervan, waardoor de Chileense regels veel dichter bij de AVG van de EU komen.

De belangrijkste regels zijn:

• Persoonsgegevens mogen worden verwerkt met toestemming van de betrokkene of op een andere rechtsgrond uit de wet, zoals de uitvoering van een overeenkomst, een wettelijke verplichting of een gerechtvaardigd belang.
• Toestemming moet vrij, specifiek, ondubbelzinnig en geïnformeerd zijn, en gegeven worden via een verklaring of een duidelijke actieve handeling.
• Mensen hebben recht op inzage, rectificatie, wissing, bezwaar, overdraagbaarheid en blokkering van de verwerking, en rechten met betrekking tot geautomatiseerde besluiten, waaronder profilering.
• Bedrijven moeten mensen vertellen hoe hun gegevens worden verwerkt, die gegevens beveiligen en beveiligingsincidenten melden.
• Internationale doorgifte van persoonsgegevens is alleen toegestaan onder de voorwaarden uit de wet, zoals doorgifte naar landen met een passend beschermingsniveau of met passende waarborgen.
• Een nieuwe onafhankelijke toezichthouder, het Agentschap voor de Bescherming van Persoonsgegevens (Agencia de Protección de Datos Personales), houdt toezicht op de wet en kan sancties opleggen.

Wat gebeurt er als ik me niet aan de LPPD houd?

De LPPD deelt overtredingen in als licht, ernstig of zeer ernstig, met boetes in UTM (unidad tributaria mensual), een Chileense rekeneenheid die aan de inflatie is gekoppeld:

• Lichte overtredingen: een schriftelijke waarschuwing of een boete tot 5.000 UTM.
• Ernstige overtredingen: boetes tot 10.000 UTM.
• Zeer ernstige overtredingen: boetes tot 20.000 UTM.
• Herhaalde overtredingen: voor bedrijven die geen kleine onderneming zijn en een ernstige of zeer ernstige overtreding herhalen, kunnen de boetes oplopen tot respectievelijk 2% of 4% van de jaaromzet.
• Niet-herstelde overtredingen: worden de door het Agentschap opgelegde maatregelen niet binnen 60 dagen genomen, dan wordt de boete met 50% verhoogd.
• Openbaar register: sancties worden opgenomen in een openbaar Nationaal Register van Sancties en Naleving dat het Agentschap bijhoudt.

In het eerste jaar dat de wet van kracht is, kan het Agentschap kleinere bedrijven een schriftelijke waarschuwing geven in plaats van een boete.

Aan de LPPD voldoen

Verkoopt je onlinewinkel aan klanten in Chili, dan kan de LPPD gelden voor de persoonsgegevens die je van hen verzamelt, ook gegevens die worden verzameld via cookies en trackingtools die volgen hoe bezoekers zich in je webwinkel gedragen.

Voor cookies en tracking zijn dit de belangrijkste punten:

• Toestemming: vraag voor analytische, advertentie- en andere niet-essentiële cookies toestemming voordat ze worden geplaatst. Toestemming moet blijken uit een duidelijke actieve handeling, dus vooraf aangevinkte vakjes of gewoon doorklikken volstaan niet, en bezoekers moeten hun toestemming op elk moment kunnen intrekken.
• Informatie: vertel bezoekers welke gegevens je verzamelt, voor welke doeleinden, wie ze ontvangt en hoe ze hun rechten kunnen uitoefenen, inclusief informatie over de tools van derden die cookies in je winkel plaatsen.
• Doorgifte naar het buitenland: veel analyse- en marketingtools verwerken gegevens buiten Chili. Controleer of elke aanbieder een grondslag voor de doorgifte biedt die de wet erkent.
• Verzoeken van betrokkenen: zorg dat je verzoeken om inzage, rectificatie, wissing, bezwaar en overdraagbaarheid kunt beantwoorden.

Ter voorbereiding kun je een Consent Management Platform (CMP) gebruiken zoals Pandectes GDPR Compliance. Het toont een cookiebanner die niet-essentiële cookies blokkeert tot de bezoeker toestemming geeft, scant je winkel om cookies automatisch te detecteren en in te delen, en maakt een cookieverklaring voor je beleidspagina. Het houdt toestemmingslogs bij als bewijs van de keuze van elke bezoeker, helpt je verzoeken van betrokkenen af te handelen en gebruikt geolocatie om bezoekers uit verschillende landen bannerinstellingen per regio te tonen. Pandectes GDPR Compliance is speciaal gemaakt voor Shopify-winkels.

De richtlijnen van het Agentschap en de ingangsdatum van de wet kunnen nog veranderen, dus laat je instellingen waar nodig door een jurist controleren.