A Lei 25 do Quebec exige consentimento expresso para rastreamento?

Para informações pessoais sensíveis e muitos usos de definição de perfis, rastreamento e localização, o consentimento deve ser expresso e claramente separado de outros pedidos.

Quem fiscaliza a Lei 25 do Quebec?

A Commission d'accès à l'information du Québec, conhecida como CAI, fiscaliza a lei e pode impor penalidades significativas.

Quebec, Canadá

Conformidade com a Lei 25 do Quebec usando o ConsentX

Lei relativa à proteção de informações pessoais

A Lei 25 do Quebec, formalmente a Lei que moderniza disposições legislativas relativas à proteção de informações pessoais, fortaleceu significativamente o marco de privacidade do Quebec. A lei introduziu obrigações importantes para organizações que coletam, usam, comunicam ou de outro modo tratam informações pessoais no Quebec. Seus requisitos incluem maior transparência, padrões de consentimento mais rigorosos, avaliações de impacto à privacidade, gestão de incidentes de confidencialidade, direitos individuais e salvaguardas específicas para informações pessoais transferidas para fora do Quebec. As principais disposições da Lei 25 entraram em vigor progressivamente entre 2022 e 2024, com muitos dos requisitos mais relevantes produzindo efeitos em setembro de 2023.

Região

Quebec, Canadá

Situação

Em vigor

Grupo

América do Norte

Quem deve cumprir

A Lei 25 se aplica a organizações que tratam informações pessoais no Quebec. O marco do setor privado se aplica a pessoas que exploram uma empresa, enquanto disposições separadas se aplicam aos órgãos públicos do Quebec. A lei pode, portanto, afetar empresas que coletam ou tratam informações pessoais de pessoas no Quebec, dependendo de suas atividades e do marco jurídico aplicável.

Penalidades

A Lei 25 introduziu sanções administrativas e penais significativas em caso de descumprimento. Para organizações do setor privado, as sanções administrativas pecuniárias podem chegar a 10 milhões de dólares canadenses ou 2% do faturamento mundial do exercício anterior, o que for maior, nas circunstâncias previstas na legislação. Determinadas sanções penais também podem alcançar valores mais altos, conforme a violação e as circunstâncias.

Principais obrigações

Designar uma pessoa responsável pela privacidade e disponibilizar seus dados de contato
Estabelecer e publicar políticas e práticas de privacidade em linguagem clara e simples
Determinar as finalidades da coleta antes de coletar informações pessoais
Coletar apenas as informações necessárias para as finalidades identificadas
Fornecer às pessoas informações claras sobre como suas informações pessoais são coletadas e usadas
Obter consentimento claro, livre, informado e específico quando o consentimento for exigido
Obter consentimento expresso para informações pessoais sensíveis quando exigido
Oferecer transparência adicional quando a tecnologia for usada para identificar, localizar ou traçar o perfil de uma pessoa
Realizar Avaliações de Impacto à Privacidade (AIP) para projetos aplicáveis que envolvam informações pessoais
Realizar uma AIP antes de comunicar informações pessoais para fora do Quebec
Manter um registro de incidentes de confidencialidade
Notificar as pessoas afetadas e a CAI quando um incidente de confidencialidade apresentar risco de dano sério, quando exigido
Implementar medidas de segurança adequadas conforme a sensibilidade das informações pessoais
Respeitar os direitos individuais, incluindo acesso, correção e outros direitos de privacidade aplicáveis
Estabelecer práticas de retenção e destruição de informações pessoais
Aplicar salvaguardas adequadas ao usar prestadores de serviços ou transferir informações para fora do Quebec
Respeitar requisitos adicionais sobre definição de perfis e decisões automatizadas

Essas obrigações estão refletidas na legislação de privacidade do setor privado do Quebec e nas orientações da CAI sobre a Lei 25.

Requisitos de consentimento na Lei 25

A Lei 25 estabelece padrões específicos para um consentimento válido.

Em geral, o consentimento deve ser:

Claro
Livre
Informado
Específico

Quando o consentimento é solicitado por escrito, o pedido deve ser apresentado separadamente das demais informações fornecidas à pessoa. Para informações pessoais sensíveis, o consentimento deve ser expresso quando a lei assim exigir.

Para organizações que administram sites e serviços digitais, esses requisitos tornam avisos de privacidade claros, escolhas específicas por finalidade e registros de consentimento adequados componentes importantes de um programa de conformidade em privacidade.

Avaliações de Impacto à Privacidade

A Lei 25 exige que organizações que exploram uma empresa realizem uma Avaliação de Impacto à Privacidade (AIP) para projetos de aquisição, desenvolvimento ou reformulação de um sistema de informação ou de prestação eletrônica de serviços que envolva a coleta, o uso, a comunicação, a retenção ou a destruição de informações pessoais.

A avaliação deve ser proporcional a fatores como a sensibilidade das informações, as finalidades do tratamento, a quantidade e a distribuição das informações e o meio em que são armazenadas.

Uma AIP também é exigida antes de as informações pessoais serem comunicadas para fora do Quebec. A avaliação deve considerar a sensibilidade das informações, as finalidades de uso, as medidas de proteção aplicáveis e o marco jurídico da jurisdição de destino.

Como o ConsentX ajuda

Gestão de consentimento sensível à localização para oferecer uma experiência de privacidade específica do Quebec

Banners de consentimento personalizáveis com escolhas claras e específicas por finalidade

Gestão de preferências de privacidade que permite aos usuários administrar suas escolhas

Recibos de consentimento e preferências para manter evidência das escolhas dos usuários

Prepare-se para a Lei 25 com o ConsentX

Torne a experiência de privacidade do seu site mais fácil de gerenciar no Quebec e em outras jurisdições.

Comece gratuitamente Agendar demonstração

Esta página é um resumo em linguagem simples para fins informativos gerais e não constitui aconselhamento jurídico. Confirme suas obrigações específicas com assessoria jurídica quebequense qualificada em proteção de informações pessoais.

Como cumprir a Lei 25 usando o ConsentX

1
Escaneie seu site
Execute uma varredura gratuita para identificar cookies, rastreadores e outras tecnologias em operação no seu site. Entenda quais dados são coletados e quais terceiros podem recebê-los.
2
Ofereça uma experiência de privacidade sensível à localização
Implemente o banner do ConsentX para oferecer aos visitantes uma experiência de privacidade adaptada à sua região e aos requisitos aplicáveis.
3
Controle rastreadores e scripts
Use o bloqueio prévio de scripts para ajudar a impedir que tecnologias de rastreamento não essenciais selecionadas sejam carregadas antes de a escolha do usuário ou o controle de privacidade aplicável ser oferecido.
4
Registre as escolhas dos usuários
Armazene eventos de consentimento e preferências em recibos invioláveis, dando à sua equipe um registro auditável das escolhas dos usuários e das interações de privacidade.
5
Gerencie as solicitações de privacidade
Use o fluxo de trabalho do ConsentX para organizar solicitações de acesso e correção, acompanhar prazos e manter um registro central do tratamento dos pedidos.