借助 ConsentX 实现魁北克第 25 号法律合规

谁必须遵守

第 25 号法律适用于在魁北克处理个人信息的组织。私营部门框架适用于经营企业的人员，而魁北克的公共机构则适用单独的条款。因此，视其活动和适用的法律框架而定，该法可能影响收集或处理魁北克境内个人信息的企业。

处罚

第 25 号法律针对违规行为引入了重大的行政和刑事制裁。对于私营部门组织，在法律涵盖的情形下，行政罚款最高可达 1000 万加元或上一财政年度全球营业额的 2%，以较高者为准。根据违规行为和具体情形，某些刑事处罚的金额还可能更高。

主要义务

• 指定隐私负责人并公开其联系方式
• 以清晰简明的语言制定并发布隐私政策与实践
• 在收集个人信息之前确定收集目的
• 仅收集为已确定目的所必需的信息
• 向个人清晰说明其个人信息如何被收集和使用
• 在需要同意时，取得清晰、自由、知情且具体的同意
• 在法律要求时，就敏感个人信息取得明示同意
• 当使用技术识别、定位个人或对其进行画像时，提供额外的透明度
• 对涉及个人信息的适用项目开展隐私影响评估（PIA）
• 在将个人信息传输至魁北克境外之前开展 PIA
• 保存保密事件登记册
• 当保密事件存在造成严重损害的风险时，在法律要求的情况下通知受影响个人和 CAI
• 根据个人信息的敏感程度实施适当的安全措施
• 尊重个人权利，包括访问、更正及其他适用的隐私权利
• 建立个人信息的保存与销毁实践
• 在使用服务提供商或将信息传输出魁北克时采取适当的保障措施
• 遵守有关画像分析和自动化决策的附加要求

这些义务体现在魁北克的私营部门隐私立法以及 CAI 关于第 25 号法律的指引之中。