PIPEDA (Personal Information Protection and Electronic Documents Act, Kanada)

PIPEDA (Personal Information Protection and Electronic Documents Act, česky: Zákon o ochraně osobních údajů a elektronických dokumentů) je kanadský federální zákon na ochranu osobních údajů v soukromém sektoru (S.C. 2000, c. 5). Upravuje sběr, používání a zveřejňování osobních údajů v rámci obchodních činností mezi provinciemi a mezinárodně. Je kanadským ekvivalentem evropského GDPR, ačkoliv méně přísný v některých ohledech (v některých případech přijatý implicitní souhlas, nižší finanční sankce).

10 principů PIPEDA (vycházející z Canadian Standards Association CAN/CSA-Q830):
1. Odpovědnost — určit zodpovědnou osobu pro ochranu osobních údajů.
2. Určení účelů — jasně oznámit účel sběru.
3. Souhlas — získat vědomý souhlas.
4. Omezení sběru — sbírat pouze nezbytné údaje.
5. Omezení použití — používat pouze pro oznámené účely.
6. Přesnost — udržovat data aktuální.
7. Bezpečnostní opatření — vhodná technická a organizační ochrana.
8. Transparentnost — veřejná zásada ochrany soukromí.
9. Přístup k osobním údajům — právo na přístup a opravu.
10. Možnost podat stížnost — Komisariátu na ochranu soukromí Kanady.

PIPEDA a elektronický podpis: Elektronický podpis zahrnuje zpracování osobních údajů (jméno, e-mailová adresa, telefonní číslo, IP, metadata relace, audit trail). PIPEDA vyžaduje:
• vědomý souhlas podepisujícího před sběrem;
• bezpečné ukládání (šifrování v klidu, omezený přístup);
• dobu uchovávání úměrnou účelu (10 let pro obchodní smlouvy je obecně přijato);
• právo na přístup, opravu a vymazání na základě žádosti podepisujícího;
• povinné oznámení v případě porušení představujícího skutečné riziko závažné újmy (od roku 2018).

Zákon 25 Quebecu: provincie Québec má svůj vlastní zákon (Zákon 25 / Zákon o modernizaci ustanovení týkajících se ochrany osobních údajů, vstoupil v platnost 2022-2024), který má přednost před PIPEDA pro činnosti pouze v rámci Quebecu. Zákon 25 je přísnější než PIPEDA — v souladu s evropským GDPR v nejvíce ohledech: povinný explicitní souhlas, určení osoby odpovědné za ochranu osobních údajů, dopadové posouzení (EFVP), sankce až do 4 % celosvětového obratu.

PIPEDA vs GDPR: Evropská komise uznává PIPEDA za nabízející "adekvátní" úroveň ochrany ve smyslu článku 45 GDPR (rozhodnutí 2002/2/ES potvrzené 2024). Přenosy osobních údajů z EU do Kanady jsou tedy povoleny bez dalších formalit. Pro kanadské organizace působící v EU zůstává GDPR použitelný na údaje rezidentů evropských (extrateritorialita, článek 3).

Implementace Certyneo: Shoda s PIPEDA + Zákon 25 + GDPR zajištěna naší architekturou ochrany údajů — suverénní hostování EU (IONOS Německo), šifrování TLS 1.3 při přenosu + AES-256 v klidu, protokolování přístupu, právo na úplné vymazání během 30 dnů, subdodavatelé v souladu. Přenosy do Kanady (vzácné — pouze účty hostované na vyžádání v Kanadě) jsou řízeny standardními smluvními doložkami GDPR-PIPEDA.