La nouvelle loi chilienne Ley N°21.719 entrera en vigueur le 1 décembre 2026. Elle révise et refond largement l’ancienne Ley 19.628, institue une autorité indépendante de protection des données à caractère personnel et construit un cadre complet inspiré du RGPD de l’Union européenne. Elle régit directement l’ensemble du cycle de traitement des données personnelles (numéros de téléphone, journaux de communication, consentements des utilisateurs) par les fournisseurs de services A2P SMS et voix.
La loi pose huit principes fondamentaux du traitement des données et étend les droits des personnes concernées. Outre l’accès, la rectification, l’effacement et l’opposition, elle ajoute les droits à la portabilité des données et au gel temporaire des données. Elle définit plusieurs bases juridiques de traitement et impose des conditions strictes sur la validité du consentement, en interdisant les consentements implicites tels que les cases pré‑cochées. L’Agencia de Protección de Datos Personales est mise en place en tant qu’autorité indépendante, dotée du pouvoir d’édicter des règles, de mener des contrôles, de recevoir des réclamations et d’infliger des sanctions administratives ; un registre public national des sanctions et de la conformité est également créé.
Pour le secteur A2P, le texte renforce les obligations de sécurité des données, de déclaration des incidents de sécurité et d’encadrement des transferts transfrontaliers. Les infractions sont réparties en trois niveaux : mineures, graves et très graves. Les infractions très graves sont passibles d’une amende maximale de 20 000 UTM ou de 4 % du chiffre d’affaires annuel de l’entreprise, auxquelles s’ajoutent les mécanismes d’indemnisation civile. L’ancienne Ley 19.628 reste applicable durant la période de transition. À compter du 1 décembre 2026, la nouvelle loi devient le texte de référence. Les fournisseurs A2P doivent adapter leurs systèmes, leurs documents de recueil de consentement et leurs dispositifs de transferts transfrontaliers de données.
