Verlangt Quebec Law 25 eine ausdrückliche Einwilligung für Tracking?

Für besonders schützenswerte personenbezogene Informationen sowie viele Profiling-, Tracking- und Standortnutzungen muss die Einwilligung ausdrücklich und klar getrennt von anderen Ersuchen erfolgen.

Wer setzt Quebec Law 25 durch?

Die Commission d'accès à l'information du Québec, bekannt als CAI, setzt das Gesetz durch und kann erhebliche Sanktionen verhängen.

Québec, Kanada

Quebec Law 25 - Compliance mit ConsentX

Gesetz über den Schutz personenbezogener Informationen

Quebec Law 25, formell das Gesetz zur Modernisierung gesetzlicher Bestimmungen zum Schutz personenbezogener Informationen, hat den Datenschutzrahmen Quebecs erheblich gestärkt. Das Gesetz führte wichtige Pflichten für Organisationen ein, die personenbezogene Informationen in Québec erheben, verwenden, offenlegen oder auf andere Weise bearbeiten. Zu den Anforderungen zählen mehr Transparenz, strengere Einwilligungsstandards, Datenschutz-Folgenabschätzungen, das Management von Datenpannen, Rechte der Betroffenen und besondere Garantien für personenbezogene Informationen, die aus Québec übermittelt werden. Die wesentlichen Bestimmungen von Law 25 traten schrittweise zwischen 2022 und 2024 in Kraft, wobei viele der bedeutendsten Anforderungen im September 2023 wirksam wurden.

Region

Québec, Kanada

Status

In Kraft

Gruppe

Nordamerika

Wer die Vorgaben einhalten muss

Law 25 gilt für Organisationen, die personenbezogene Informationen in Québec bearbeiten. Der Rahmen für den Privatsektor gilt für Personen, die ein Unternehmen betreiben, während für öffentliche Stellen Québecs gesonderte Bestimmungen gelten. Das Gesetz kann daher Unternehmen betreffen, die personenbezogene Informationen von Personen in Québec erheben oder bearbeiten, abhängig von ihren Tätigkeiten und dem anwendbaren Rechtsrahmen.

Sanktionen

Law 25 führte erhebliche verwaltungs- und strafrechtliche Sanktionen bei Verstößen ein. Für Organisationen des Privatsektors können verwaltungsrechtliche Geldbußen in den vom Gesetz erfassten Fällen bis zu 10 Millionen kanadische Dollar oder 2 % des weltweiten Umsatzes des vorangegangenen Geschäftsjahres erreichen, je nachdem, welcher Betrag höher ist. Bestimmte strafrechtliche Sanktionen können je nach Verstoß und Umständen noch höher ausfallen.

Wichtigste Pflichten

Eine für den Datenschutz verantwortliche Person benennen und deren Kontaktdaten verfügbar machen
Datenschutzrichtlinien und -praktiken in klarer und einfacher Sprache festlegen und veröffentlichen
Die Zwecke der Erhebung festlegen, bevor personenbezogene Informationen erhoben werden
Nur Informationen erheben, die für die festgelegten Zwecke erforderlich sind
Betroffenen klare Informationen darüber geben, wie ihre personenbezogenen Informationen erhoben und verwendet werden
Eine Einwilligung einholen, die klar, freiwillig, informiert und spezifisch ist, sofern eine Einwilligung erforderlich ist
Für besonders schützenswerte personenbezogene Informationen eine ausdrückliche Einwilligung einholen, sofern erforderlich
Zusätzliche Transparenz schaffen, wenn Technologie eingesetzt wird, um eine Person zu identifizieren, zu lokalisieren oder zu profilieren
Datenschutz-Folgenabschätzungen (PIAs) für einschlägige Projekte mit personenbezogenen Informationen durchführen
Eine PIA durchführen, bevor personenbezogene Informationen aus Québec übermittelt werden
Ein Register über Vertraulichkeitsvorfälle führen
Betroffene und die CAI benachrichtigen, wenn ein Vertraulichkeitsvorfall das Risiko eines schwerwiegenden Schadens birgt, sofern erforderlich
Angemessene Sicherheitsmassnahmen entsprechend der Sensibilität der personenbezogenen Informationen umsetzen
Rechte der Betroffenen respektieren, einschliesslich Auskunft, Berichtigung und weiterer anwendbarer Datenschutzrechte
Praktiken zur Aufbewahrung und Vernichtung personenbezogener Informationen festlegen
Angemessene Garantien anwenden, wenn Dienstleister eingesetzt oder Informationen aus Québec übermittelt werden
Zusätzliche Anforderungen zu Profiling und automatisierter Entscheidungsfindung beachten

Diese Pflichten spiegeln sich in Québecs Datenschutzgesetzgebung für den Privatsektor und in den Leitlinien der CAI zu Law 25 wider.

Einwilligungsanforderungen nach Law 25

Law 25 legt besondere Standards für eine wirksame Einwilligung fest.

Die Einwilligung muss in der Regel sein:

Klar
Freiwillig
Informiert
Spezifisch

Wird die Einwilligung schriftlich eingeholt, muss das Ersuchen getrennt von den übrigen Informationen dargestellt werden, die der Person bereitgestellt werden. Für besonders schützenswerte personenbezogene Informationen muss die Einwilligung ausdrücklich sein, sofern das Gesetz dies verlangt.

Für Organisationen, die Websites und digitale Dienste betreiben, machen diese Anforderungen klare Datenschutzhinweise, zweckspezifische Auswahlmöglichkeiten und angemessene Einwilligungsnachweise zu wichtigen Bestandteilen eines Datenschutz-Compliance-Programms.

Datenschutz-Folgenabschätzungen

Law 25 verpflichtet Organisationen, die ein Unternehmen betreiben, eine Datenschutz-Folgenabschätzung (PIA) für Projekte durchzuführen, die den Erwerb, die Entwicklung oder die Überarbeitung eines Informationssystems oder eines Systems zur elektronischen Diensterbringung betreffen und mit der Erhebung, Verwendung, Übermittlung, Aufbewahrung oder Vernichtung personenbezogener Informationen verbunden sind.

Die Abschätzung muss im Verhältnis zu Faktoren wie der Sensibilität der Informationen, den Bearbeitungszwecken, der Menge und Verbreitung der Informationen sowie dem Medium stehen, auf dem sie gespeichert sind.

Eine PIA ist auch erforderlich, bevor personenbezogene Informationen aus Québec übermittelt werden. Die Abschätzung muss die Sensibilität der Informationen, die Verwendungszwecke, die anwendbaren Schutzmassnahmen und den Rechtsrahmen im Bestimmungsland berücksichtigen.

So unterstützt ConsentX

Geoabhängiges Einwilligungsmanagement für ein Québec-spezifisches Datenschutzerlebnis

Anpassbare Einwilligungsbanner mit klaren, zweckspezifischen Auswahlmöglichkeiten

Verwaltung der Datenschutzpräferenzen, mit der Nutzerinnen und Nutzer ihre Entscheidungen steuern können

Einwilligungs- und Präferenzbelege als Nachweis der Nutzerentscheidungen

Mit ConsentX Law-25-bereit werden

Machen Sie das Datenschutzerlebnis Ihrer Website über Québec und andere Rechtsordnungen hinweg einfacher verwaltbar.

Kostenlos starten Demo buchen

Diese Seite ist eine allgemein verständliche Zusammenfassung zu Informationszwecken und stellt keine Rechtsberatung dar. Klären Sie Ihre konkreten Pflichten mit qualifizierten Datenschutzjuristinnen und -juristen in Québec.

So erfüllen Sie Law 25 mit ConsentX

1
Scannen Sie Ihre Website
Führen Sie einen kostenlosen Scan durch, um Cookies, Tracker und andere auf Ihrer Website aktive Technologien zu ermitteln. Verstehen Sie, welche Daten erhoben werden und welche Drittanbieter sie erhalten können.
2
Zeigen Sie ein geoabhängiges Datenschutzerlebnis
Setzen Sie das ConsentX-Banner ein, um Besucherinnen und Besuchern ein Datenschutzerlebnis zu bieten, das auf ihre Region und die geltenden Anforderungen zugeschnitten ist.
3
Steuern Sie Tracker und Skripte
Nutzen Sie die vorherige Skriptblockierung, damit ausgewählte nicht essenzielle Tracking-Technologien nicht geladen werden, bevor die massgebliche Nutzerentscheidung oder Datenschutzkontrolle vorliegt.
4
Halten Sie Nutzerentscheidungen fest
Speichern Sie Einwilligungs- und Präferenzereignisse in manipulationssicheren Belegen und geben Sie Ihrem Team so einen prüfbaren Nachweis über Nutzerentscheidungen und Datenschutzinteraktionen.
5
Verwalten Sie Datenschutzanfragen
Nutzen Sie den Anfrage-Workflow von ConsentX, um Auskunfts- und Berichtigungsanfragen zu organisieren, Fristen zu verfolgen und eine zentrale Aufzeichnung der Bearbeitung zu führen.