ConsentX와 함께하는 퀘벡 법률 25 컴플라이언스

누가 준수해야 하나

법률 25는 퀘벡에서 개인정보를 처리하는 조직에 적용됩니다. 민간부문 체계는 사업을 영위하는 자에게 적용되며, 퀘벡의 공공기관에는 별도의 조항이 적용됩니다. 따라서 이 법은 활동 내용과 적용되는 법적 체계에 따라 퀘벡에 있는 개인의 개인정보를 수집하거나 처리하는 기업에 영향을 미칠 수 있습니다.

제재

법률 25는 위반에 대해 상당한 행정적·형사적 제재를 도입했습니다. 민간부문 조직의 경우, 법률이 정한 상황에서 행정 과징금은 직전 회계연도 전 세계 매출의 2% 또는 1천만 캐나다달러 중 더 큰 금액까지 부과될 수 있습니다. 특정 형사 처벌은 위반 내용과 정황에 따라 더 높은 금액에 이를 수도 있습니다.

주요 의무

• 프라이버시 책임자를 지정하고 그 연락처를 공개할 것
• 명확하고 쉬운 언어로 프라이버시 정책과 실무를 수립하고 공표할 것
• 개인정보를 수집하기 전에 수집 목적을 정할 것
• 정한 목적에 필요한 정보만 수집할 것
• 개인정보가 어떻게 수집되고 이용되는지에 대해 개인에게 명확한 정보를 제공할 것
• 동의가 필요한 경우 명확하고 자유로우며 충분한 정보에 근거한 구체적 동의를 받을 것
• 민감한 개인정보에 대해 요구되는 경우 명시적 동의를 받을 것
• 개인을 식별·위치확인하거나 프로파일링하기 위해 기술을 사용할 때 추가적인 투명성을 제공할 것
• 개인정보가 관련된 해당 프로젝트에 대해 프라이버시 영향평가(PIA)를 수행할 것
• 개인정보를 퀘벡 외부로 제공하기 전에 PIA를 수행할 것
• 기밀성 사고 등록부를 유지할 것
• 기밀성 사고가 중대한 피해 위험을 초래하는 경우, 요구되는 바에 따라 영향을 받는 개인과 CAI에 통지할 것
• 개인정보의 민감도에 따라 적절한 보안 조치를 시행할 것
• 열람, 정정 및 그 밖의 적용 가능한 프라이버시 권리를 포함한 개인의 권리를 존중할 것
• 개인정보의 보유 및 파기에 관한 실무를 수립할 것
• 서비스 제공자를 이용하거나 퀘벡 외부로 정보를 이전할 때 적절한 보호조치를 적용할 것
• 프로파일링 및 자동화된 의사결정에 관한 추가 요건을 준수할 것

이러한 의무는 퀘벡의 민간부문 프라이버시 법률과 법률 25에 관한 CAI의 지침에 반영되어 있습니다.