ConsentXで実現するケベック州Law 25コンプライアンス

遵守が求められる対象

Law 25は、ケベック州で個人情報を取り扱う組織に適用されます。民間部門の枠組みは事業を営む者に適用され、ケベック州の公的機関には別の規定が適用されます。したがって同法は、活動内容と適用される法的枠組みに応じて、ケベック州の個人から個人情報を収集または取り扱う事業者に影響を及ぼし得ます。

制裁

Law 25は、違反に対する重大な行政上および刑事上の制裁を導入しました。民間部門の組織については、法律が定める状況において、行政上の金銭的制裁が前会計年度の全世界売上高の2%または1,000万カナダドルのいずれか高い方まで科されることがあります。また一定の刑事罰は、違反の内容や状況に応じてさらに高額になる場合があります。

主な義務

• プライバシー責任者を選任し、その連絡先を利用可能にする
• 明確で平易な言葉でプライバシー方針および実務を定め、公表する
• 個人情報を収集する前に収集の目的を特定する
• 特定した目的に必要な情報のみを収集する
• 個人情報がどのように収集・利用されるかについて、本人に明確な情報を提供する
• 同意が必要な場合、明確で自由意思に基づき、十分な情報を得たうえでの、特定的な同意を取得する
• 機微な個人情報について、必要とされる場合には明示的な同意を取得する
• 個人の識別、位置特定、プロファイリングに技術を用いる場合には追加の透明性を確保する
• 個人情報を伴う対象プロジェクトについてプライバシー影響評価(PIA)を実施する
• 個人情報をケベック州外へ提供する前にPIAを実施する
• 機密性インシデントの記録簿を維持する
• 機密性インシデントが重大な損害のおそれを生じる場合、必要に応じて影響を受ける本人およびCAIに通知する
• 個人情報の機微性に応じた適切な安全管理措置を実施する
• アクセス、訂正その他の適用される権利を含め、個人の権利を尊重する
• 個人情報の保存および廃棄に関する実務を確立する
• サービス提供者を利用する場合やケベック州外へ情報を移転する場合に適切な保護措置を適用する
• プロファイリングおよび自動化された意思決定に関する追加要件を遵守する

これらの義務は、ケベック州の民間部門向けプライバシー法およびLaw 25に関するCAIのガイダンスに反映されています。