Chile steht vor einer der bedeutendsten Regulierungsänderungen seiner digitalen Wirtschaft. Das Gesetz Nr. 21.719 — am 13. Dezember 2024 im Diario Oficial veröffentlicht — tritt am 1. Dezember 2026 in Kraft. Formal ändert es das alte Datenschutzgesetz Nr. 19.628, ersetzt dessen Bestimmungen in der Praxis aber fast vollständig: Unternehmen, die personenbezogene Daten von Personen in Chile verarbeiten, haben es mit einem im Kern neuen Gesetz zu tun.
Das Gesetz folgt bewusst dem europäischen Modell. Wie ein Bericht der Bibliothek des chilenischen Nationalkongresses (Serie Informes Nr. 12-25, von Víctor Soto Martínez) festhält, orientieren sich Einwilligungsstandard, Rechtekatalog, Pflichten der Verantwortlichen und Sanktionssystem eng an der europäischen Datenschutz-Grundverordnung (DSGVO).
Eine neue Aufsichtsbehörde mit echten Befugnissen
Das Gesetz schafft die Agencia de Protección de Datos Personales, eine dezentrale öffentliche Behörde unter Leitung eines dreiköpfigen Rates, dessen Mitglieder vom Präsidenten mit Zustimmung des Senats für sechs Jahre ohne Möglichkeit der Wiederernennung berufen werden. Die Agentur erlässt verbindliche Anweisungen, überwacht die Einhaltung des Gesetzes, entscheidet über Beschwerden Betroffener, verhängt Sanktionen und führt ein öffentliches nationales Register für Sanktionen und Compliance.
Neue Rechte, strengere Einwilligung
Betroffene erhalten durchsetzbare Rechte auf Auskunft, Berichtigung, Löschung, Widerspruch, vorübergehende Sperrung der Verarbeitung und Datenübertragbarkeit. Die Einwilligung wird zur allgemeinen Rechtsgrundlage der Verarbeitung und muss freiwillig, informiert, spezifisch und eindeutig sein und vorab erteilt werden — und sie ist jederzeit widerrufbar. Eine abschließende Liste von Ausnahmen (gesetzliche Pflichten, Vertragserfüllung und ähnliche Gründe) erlaubt eine Verarbeitung ohne Einwilligung; die Beweislast für die Rechtmäßigkeit trägt jedoch der Verantwortliche.
Verantwortliche übernehmen zudem Pflichten nach DSGVO-Vorbild: Veröffentlichung von Transparenzinformationen, angemessene Sicherheitsmaßnahmen, Meldung von Datenpannen an die Agentur, Folgenabschätzungen bei risikoreichen Verarbeitungen sowie die Option, einen Datenschutzbeauftragten zu benennen und ein Compliance-Programm bei der Agentur zertifizieren zu lassen.
Bußgelder bis zu 4 % des Jahresumsatzes
Verstöße werden als leicht, schwer oder sehr schwer eingestuft, mit Geldbußen von bis zu 5.000, 10.000 bzw. 20.000 UTM (Chiles monatliche Steuereinheit — das obere Ende dieser Skala liegt deutlich über einer Million US-Dollar). Bei großen Unternehmen können schwere und sehr schwere Verstöße stattdessen mit bis zu 2 % bzw. 4 % des Jahresumsatzes geahndet werden. Im Wiederholungsfall kann sich die Geldbuße verdreifachen; wer angeordnete Abhilfemaßnahmen nicht binnen 60 Tagen umsetzt, zahlt einen Zuschlag von 50 %.
Wichtig: Das Gesetz gilt extraterritorial. Es erfasst auch Organisationen mit Sitz außerhalb Chiles, deren Datenverarbeitung darauf gerichtet ist, Personen im Land Waren oder Dienstleistungen anzubieten.
Warum das für KI-Projekte zählt
Parallel diskutiert Chile einen KI-Gesetzentwurf (Boletín Nr. 16.821-19) nach dem Vorbild des europäischen AI Act; die Einhaltung des künftigen Gesetzes wird voraussichtlich dieselbe neue Agentur überwachen. Saubere Daten-Governance wird damit zur Eintrittskarte für KI- und Automatisierungsvorhaben mit Bezug zum chilenischen Markt.
Wenn Ihre Workflows, Ihr CRM oder Ihre KI-Systeme personenbezogene Daten von Personen in Chile verarbeiten, schließt sich das Übergangsfenster: Dezember 2026 ist nicht mehr weit. Datenflüsse, Rechtsgrundlagen und Sicherheitsmaßnahmen jetzt zu erfassen ist deutlich günstiger, als sie unter Fristdruck einer Aufsichtsbehörde nachzurüsten.