réglementation sur la protection des données au Chili (Loi 21.719)

Les organisations doivent traiter les données personnelles sur la base d'une base légale valide, en veillant à ce que les individus comprennent clairement comment leurs informations seront collectées, utilisées et partagées. La transparence nécessite également de fournir des notices accessibles, d'éviter les dark patterns et d'informer les personnes de leurs droits. Le traitement doit toujours être conforme aux attentes des utilisateurs et au cadre juridique chilien.

Les données ne peuvent être collectées qu'à des fins spécifiques, explicites et légitimes qui sont communiquées à l'individu au moment de la collecte. Toute utilisation secondaire doit être compatible avec l'objectif initial, et les organisations ne peuvent pas réutiliser les données personnelles pour des activités non liées sans justification appropriée ou sans consentement renouvelé.

Les responsables du traitement doivent s'assurer qu'ils ne collectent que les données personnelles strictement nécessaires pour atteindre l'objectif déclaré. Cela signifie qu'il faut éviter les points de données excessifs, limiter les champs facultatifs et revoir régulièrement la nécessité de chaque catégorie d'informations. La minimisation réduit les risques de conformité et renforce la privacy-by-design.

Les organisations doivent prendre des mesures raisonnables pour que les données personnelles restent exactes, complètes et à jour. Cela inclut la vérification des informations au point de collecte, la possibilité pour les utilisateurs de demander des corrections facilement et la mise en place de processus internes pour empêcher l'utilisation d'informations obsolètes ou incorrectes dans la prise de décisions.

Les données personnelles ne peuvent être conservées que le temps nécessaire pour atteindre l'objectif légitime pour lequel elles ont été collectées. Une fois cet objectif atteint, les données doivent être supprimées, rendues anonymes ou archivées de manière sécurisée. Un calendrier de conservation clair aide les organisations à respecter ce principe et à se conformer à leurs obligations légales.

Les responsables du traitement sont tenus de mettre en œuvre des mesures techniques et organisationnelles robustes pour protéger les données personnelles contre tout accès non autorisé, toute modification, toute perte ou toute utilisation abusive. Cela inclut le chiffrement, les contrôles d'accès, les politiques internes, la formation du personnel et les plans de réponse aux incidents qui garantissent la confidentialité tout au long du cycle de vie des données.

Les organisations doivent être en mesure de démontrer leur pleine conformité à la Loi 21.719 à tout moment. La responsabilité comprend la documentation des activités de traitement, la mise en place d'analyses d'impact relatives à la protection des données (AIPD) pour les opérations à haut risque, la tenue à jour des pistes d'audit, la conception de programmes de gouvernance internes et la garantie que les équipes internes et les sous-traitants externes respectent les obligations de confidentialité.