Требует ли Закон 25 Квебека явного согласия на отслеживание?

Для чувствительной персональной информации и многих случаев профилирования, отслеживания и определения местоположения согласие должно быть явным и чётко отделённым от других запросов.

Кто обеспечивает соблюдение Закона 25 Квебека?

Комиссия по доступу к информации Квебека (Commission d'accès à l'information du Québec), известная как CAI, обеспечивает соблюдение закона и может налагать значительные санкции.

Квебек, Канада

Соответствие Закону 25 Квебека с ConsentX

Закон о защите персональной информации

Закон 25 Квебека, официально — Закон о модернизации законодательных положений о защите персональной информации, существенно укрепил систему защиты приватности в Квебеке. Закон ввёл важные обязанности для организаций, которые собирают, используют, раскрывают или иным образом обрабатывают персональную информацию в Квебеке. Его требования включают большую прозрачность, более строгие стандарты согласия, оценки воздействия на приватность, управление инцидентами конфиденциальности, права граждан и особые гарантии для персональной информации, передаваемой за пределы Квебека. Основные положения Закона 25 вводились в действие постепенно с 2022 по 2024 год, причём многие из наиболее значимых требований вступили в силу в сентябре 2023 года.

Регион

Квебек, Канада

Статус

Действует

Группа

Северная Америка

На кого распространяются требования

Закон 25 применяется к организациям, которые обрабатывают персональную информацию в Квебеке. Режим для частного сектора распространяется на лиц, ведущих предпринимательскую деятельность, тогда как для государственных органов Квебека действуют отдельные положения. Поэтому закон может затрагивать компании, которые собирают или обрабатывают персональную информацию людей в Квебеке, в зависимости от их деятельности и применимой правовой базы.

Штрафы

Закон 25 ввёл значительные административные и уголовные санкции за несоблюдение. Для организаций частного сектора административные денежные санкции в предусмотренных законом случаях могут достигать 10 миллионов канадских долларов или 2 % мирового оборота за предыдущий финансовый год — в зависимости от того, что больше. Отдельные уголовные санкции также могут достигать более высоких сумм в зависимости от нарушения и обстоятельств.

Ключевые обязанности

Назначить ответственного за приватность и сделать его контактные данные доступными
Разработать и опубликовать политики и практики приватности на ясном и простом языке
Определить цели сбора до сбора персональной информации
Собирать только информацию, необходимую для заявленных целей
Предоставлять людям понятную информацию о том, как собирается и используется их персональная информация
Получать ясное, свободное, информированное и конкретное согласие там, где согласие требуется
Получать явное согласие на обработку чувствительной персональной информации, когда это требуется
Обеспечивать дополнительную прозрачность, когда технологии используются для идентификации, определения местонахождения или профилирования человека
Проводить оценки воздействия на приватность (PIA) для подпадающих под требования проектов с персональной информацией
Проводить PIA до передачи персональной информации за пределы Квебека
Вести реестр инцидентов конфиденциальности
Уведомлять затронутых лиц и CAI, когда инцидент конфиденциальности создаёт риск серьёзного вреда, если это требуется
Внедрять надлежащие меры безопасности с учётом чувствительности персональной информации
Соблюдать права граждан, включая доступ, исправление и иные применимые права в сфере приватности
Установить практики хранения и уничтожения персональной информации
Применять надлежащие гарантии при использовании поставщиков услуг или передаче информации за пределы Квебека
Соблюдать дополнительные требования в отношении профилирования и автоматизированного принятия решений

Эти обязанности отражены в законодательстве Квебека о приватности для частного сектора и в разъяснениях CAI по Закону 25.

Требования к согласию по Закону 25

Закон 25 устанавливает конкретные стандарты действительного согласия.

Как правило, согласие должно быть:

Ясным
Свободным
Информированным
Конкретным

Если согласие запрашивается в письменной форме, запрос должен быть представлен отдельно от прочей информации, предоставляемой человеку. Для чувствительной персональной информации согласие должно быть явным, когда этого требует закон.

Для организаций, управляющих сайтами и цифровыми сервисами, эти требования делают понятные уведомления о приватности, выбор по каждой цели и надлежащие записи согласия важными элементами программы соблюдения требований приватности.

Оценки воздействия на приватность

Закон 25 требует от организаций, ведущих предпринимательскую деятельность, проводить оценку воздействия на приватность (PIA) для проектов, связанных с приобретением, разработкой или переработкой информационной системы либо системы электронного предоставления услуг, если они предполагают сбор, использование, передачу, хранение или уничтожение персональной информации.

Оценка должна быть соразмерна таким факторам, как чувствительность информации, цели обработки, объём и распространение информации, а также носитель, на котором она хранится.

PIA также требуется до передачи персональной информации за пределы Квебека. Оценка должна учитывать чувствительность информации, цели использования, применимые меры защиты и правовую базу в юрисдикции назначения.

Чем помогает ConsentX

Геозависимое управление согласием для опыта конфиденциальности, характерного для Квебека

Настраиваемые баннеры согласия с понятным выбором по каждой цели

Управление настройками приватности, позволяющее пользователям управлять своим выбором

Квитанции согласия и настроек для сохранения доказательств выбора пользователей

Подготовьтесь к Закону 25 вместе с ConsentX

Сделайте управление опытом конфиденциальности вашего сайта проще в Квебеке и других юрисдикциях.

Начать бесплатно Записаться на демо

Эта страница представляет собой краткое изложение простым языком для общего информирования и не является юридической консультацией. Уточните свои конкретные обязанности у квалифицированных квебекских юристов по вопросам приватности.

Как соблюдать Закон 25 с помощью ConsentX

1
Просканируйте свой сайт
Запустите бесплатное сканирование, чтобы выявить файлы cookie, трекеры и другие технологии, работающие на вашем сайте. Разберитесь, какие данные собираются и какие третьи стороны могут их получать.
2
Покажите геозависимый опыт конфиденциальности
Разверните баннер ConsentX, чтобы предоставить посетителям опыт конфиденциальности, адаптированный под их регион и применимые требования.
3
Контролируйте трекеры и скрипты
Используйте предварительную блокировку скриптов, чтобы выбранные неосновные технологии отслеживания не загружались до того, как будет предоставлен соответствующий выбор пользователя или элемент управления конфиденциальностью.
4
Фиксируйте выбор пользователей
Сохраняйте события согласия и настроек в защищённых от подделки квитанциях, давая вашей команде пригодную для аудита запись выбора пользователей и взаимодействий по вопросам конфиденциальности.
5
Управляйте запросами о приватности
Используйте рабочий процесс ConsentX, чтобы упорядочивать запросы на доступ и исправление, отслеживать сроки и вести централизованную запись их обработки.