PIPEDA (قانون حماية المعلومات الشخصية والمستندات الإلكترونية، كندا)

PIPEDA (قانون حماية المعلومات الشخصية والمستندات الإلكترونية بالإنجليزية: Personal Information Protection and Electronic Documents Act) هو القانون الاتحادي الكندي لحماية المعلومات الشخصية في القطاع الخاص (L.C. 2000, ch. 5). ينظم جمع واستخدام والكشف عن المعلومات الشخصية في الأنشطة التجارية بين المقاطعات والدولية. وهو معادل كندي للنظام GDPR الأوروبي، وإن كان أقل صرامة في بعض النقاط (الموافقة الضمنية قد تكون مقبولة أحياناً، والعقوبات المالية أقل).

المبادئ العشرة لـ PIPEDA (من جمعية معايير كندا CAN/CSA-Q830):
1. المساءلة — تعيين مسؤول حماية المعلومات الشخصية.
2. تحديد الأغراض — الإفصاح الواضح عن الغرض من الجمع.
3. الموافقة — الحصول على موافقة مستنيرة.
4. تحديد الجمع — جمع ما هو ضروري فقط.
5. تحديد الاستخدام — الاستخدام فقط للأغراض المعلنة.
6. الدقة — الحفاظ على البيانات محدثة.
7. تدابير الأمان — الحماية التقنية والتنظيمية المناسبة.
8. الشفافية — سياسة الخصوصية العامة.
9. الوصول إلى المعلومات الشخصية — حق الوصول والتصحيح.
10. إمكانية تقديم شكوى — إلى مفوضية الخصوصية بكندا.

PIPEDA والتوقيع الإلكتروني: التوقيع الإلكتروني ينطوي على معالجة المعلومات الشخصية (الاسم وعنوان البريد الإلكتروني ورقم الهاتف وعنوان IP وبيانات وصف الجلسة سجل التدقيق). يتطلب PIPEDA:
• موافقة مستنيرة من الموقّع قبل الجمع؛
• الحفاظ الآمن (التشفير في الحالة الثابتة، الوصول المقيد)؛
• مدة الاحتفاظ متناسبة مع الغرض (عادة ما يكون مقبولاً 10 سنوات للعقود التجارية)؛
• حق الوصول والتصحيح والحذف بناءً على طلب الموقّع؛
• الإخطار الإلزامي في حالة الانتهاك الذي يشكل خطراً حقيقياً لضرر جسيم (منذ 2018).

القانون 25 الكيبيكي: تتمتع مقاطعة كيبيك بقانونها الخاص (القانون 25 / قانون حداثة أحكام حماية المعلومات الشخصية، بدأ النفاذ 2022-2024) الذي يسود على PIPEDA للأنشطة داخل كيبيك. القانون 25 أكثر صرامة من PIPEDA — متوافق مع نظام GDPR الأوروبي في معظم النقاط: الموافقة الصريحة إلزامية، تعيين مسؤول حماية المعلومات الشخصية، تقييمات التأثير (EFVP)، عقوبات تصل إلى 4% من رقم الأعمال العالمي.

PIPEDA مقابل GDPR: تعترف المفوضية الأوروبية بأن PIPEDA يوفر مستوى حماية "كافياً" بموجب المادة 45 من GDPR (القرار 2002/2/CE المؤكد 2024). وبالتالي يُسمح بنقل البيانات الشخصية من الاتحاد الأوروبي إلى كندا دون إجراء إضافي. بالنسبة للمنظمات الكندية التي تعمل في الاتحاد الأوروبي، يظل GDPR ينطبق على بيانات المقيمين الأوروبيين (الاختصاص الإقليمي الخارجي، المادة 3).

التنفيذ في Certyneo: الامتثال لـ PIPEDA + القانون 25 + GDPR مضمون بواسطة معمارية حماية البيانات لدينا — الاستضافة السيادة الأوروبية (IONOS ألمانيا)، تشفير TLS 1.3 أثناء النقل + AES-256 في الحالة الثابتة، تسجيل الوصول، حق المحو الكامل في غضون 30 يوماً، المقاولون الفرعيون متوافقون. النقل إلى كندا (نادر — فقط الحسابات المستضافة حسب الطلب في كندا) مضبوط بواسطة البنود التعاقدية القياسية GDPR-PIPEDA.