PIPEDA (Personal Information Protection and Electronic Documents Act, Καναδάς)
Ορισμός
Οι 10 αρχές του PIPEDA (από τον Canadian Standards Association CAN/CSA-Q830) :
1. Ευθύνη — ορίστε έναν υπεύθυνο προστασίας προσωπικών πληροφοριών.
2. Καθορισμός σκοπών — δηλώστε ξεκάθαρα τον σκοπό της συλλογής.
3. Συγκατάθεση — συγκεντρώστε ενημερωμένη συγκατάθεση.
4. Περιορισμός συλλογής — συλλέξτε μόνο το απαραίτητο.
5. Περιορισμός χρήσης — χρησιμοποιήστε μόνο για τους δηλωμένους σκοπούς.
6. Ακρίβεια — κρατήστε τα δεδομένα ενημερωμένα.
7. Μέτρα ασφάλειας — κατάλληλη τεχνική και οργανωτική προστασία.
8. Διαφάνεια — δημόσια πολιτική απορρήτου.
9. Πρόσβαση στις προσωπικές πληροφορίες — δικαίωμα πρόσβασης και διόρθωσης.
10. Δυνατότητα καταγγελίας — στην Επιτροπεία Προστασίας Ιδιωτικής Ζωής του Καναδά.
PIPEDA και ηλεκτρονική υπογραφή : η ηλεκτρονική υπογραφή συνεπάγεται επεξεργασία προσωπικών δεδομένων (όνομα, διεύθυνση ηλεκτρονικού ταχυδρομείου, αριθμό τηλεφώνου, IP, μεταδεδομένα περιόδου, ίχνος ελέγχου). Το PIPEDA απαιτεί :
• ενημερωμένη συγκατάθεση του υπογράφοντα πριν από τη συλλογή ;
• ασφαλή αποθήκευση (κρυπτογράφηση σε ηρεμία, περιορισμένη πρόσβαση) ;
• διάρκεια διατήρησης ανάλογη με τον σκοπό (10 χρόνια για εμπορικά συμβόλαια είναι γενικά αποδεκτή) ;
• δικαίωμα πρόσβασης, διόρθωσης και διαγραφής κατόπιν αιτήματος του υπογράφοντα ;
• υποχρεωτική ειδοποίηση σε περίπτωση παραβίασης που παρουσιάζει πραγματικό κίνδυνο σοβαρής ζημίας (από το 2018).
Νόμος 25 του Κεμπέκ : η επαρχία του Κεμπέκ διαθέτει τον δικό της νόμο (Νόμος 25 / Νόμος εκσυγχρονισμού των διατάξεων περί προστασίας προσωπικών πληροφοριών, τέθηκε σε ισχύ 2022-2024) που υπερισχύει του PIPEDA για τις δραστηριότητες εντός Κεμπέκ. Ο Νόμος 25 είναι πιο αυστηρός από το PIPEDA — ευθυγραμμισμένος με το GDPR της Ευρώπης σε περισσότερα σημεία : υποχρεωτική ρητή συγκατάθεση, ορισμό υπευθύνου προστασίας προσωπικών πληροφοριών, αξιολογήσεις επιπτώσεων (EFVP), πρόστιμα έως 4% του παγκόσμιου κύκλου εργασιών.
PIPEDA vs GDPR : η Ευρωπαϊκή Επιτροπή αναγνωρίζει το PIPEDA ως προσφέρον επαρκές επίπεδο προστασίας κατά τη έννοια του άρθρου 45 του GDPR (απόφαση 2002/2/ΕΕ επιβεβαιωμένη 2024). Οι μεταφορές προσωπικών δεδομένων από την ΕΕ στον Καναδά είναι επομένως επιτρεπτές χωρίς πρόσθετα τυπικά έγγραφα. Για τους καναδικούς οργανισμούς που δραστηριοποιούνται στην ΕΕ, το GDPR παραμένει ισχύον για τα δεδομένα των κατοίκων της Ευρώπης (εξοχοτικότητα, άρθρο 3).
Εφαρμογή Certyneo : συμμόρφωση PIPEDA + Νόμος 25 + GDPR εξασφαλισμένη από την αρχιτεκτονική προστασίας δεδομένων μας — κυρίαρχη φιλοξενία ΕΕ (IONOS Γερμανία), κρυπτογράφηση TLS 1.3 κατά τη διαβίβαση + AES-256 σε ηρεμία, καταγραφή πρόσβασης, δικαίωμα πλήρους διαγραφής εντός 30 ημερών, συμβατοί υπο-επεξεργαστές. Οι μεταφορές στον Καναδά (σπάνιες — μόνο λογαριασμοί που φιλοξενούνται κατόπιν αιτήματος στον Καναδά) ρυθμίζονται από τις τυπικές ρήτρες συμβολαίου GDPR-PIPEDA.
Επικαιρότερα ερωτήματα
Τι είναι το PIPEDA;
Το PIPEDA (Νόμος περί προστασίας προσωπικών πληροφοριών και ηλεκτρονικών εγγράφων) είναι ο ομοσπονδιακός καναδικός νόμος περί ιδιωτικής ζωής που ρυθμίζει τον τρόπο με τον οποίο οι ιδιωτικοί τομείς οργανισμοί συλλέγουν, χρησιμοποιούν και επικοινωνούν προσωπικές πληροφορίες στο πλαίσιο εμπορικών δραστηριοτήτων. Το δεύτερο μέρος του αναγνωρίζει επίσης την ίδια νομική αξία σε ηλεκτρονικά έγγραφα και υπογραφές όπως το χαρτί.
Ποιος πρέπει να συμμορφωθεί με το PIPEDA;
Το PIPEDA ισχύει για τους ιδιωτικούς τομείς οργανισμούς που επεξεργάζονται προσωπικές πληροφορίες στο πλαίσιο εμπορικών δραστηριοτήτων σε όλο τον Καναδά, καθώς και για όλες τις επιχειρήσεις που υπόκεινται σε ομοσπονδιακή ρύθμιση. Το Κεμπέκ, η Βρετανική Κολομβία και το Αλμπέρτα διαθέτουν ουσιαστικά παρόμοιους νόμους που ισχύουν αντί του για δραστηριότητες εντός της επαρχίας.
Το PIPEDA αναγνωρίζει τις ηλεκτρονικές υπογραφές;
Ναι. Το PIPEDA παρέχει στα ηλεκτρονικά έγγραφα και υπογραφές την ίδια νομική ισχύ με τα έγγραφα και υπογραφές σε χαρτί και ορίζει μια «ασφαλή ηλεκτρονική υπογραφή» για χρήσεις που απαιτούν υψηλότερο επίπεδο εγγύησης.
Πώς συγκρίνεται το PIPEDA με το RGPD;
Και τα δύο προστατεύουν τα προσωπικά δεδομένα και παρέχουν στα άτομα δικαιώματα συναίνεσης και πρόσβασης, αλλά το PIPEDA βασίζεται σε αρχές και είναι γενικά λιγότερο υποχρεωτικό από το RGPD, με χαμηλότερα μέγιστα πρόστιμα. Οι οργανισμοί που εξυπηρετούν τόσο τον Καναδά όσο και την ΕΕ συνήθως ευθυγραμμίζονται με το πιο αυστηρό πρότυπο, το RGPD, για να καλύψουν και τα δύο.
Τι συμβαίνει σε περίπτωση μη συμμόρφωσης με το PIPEDA;
Το Γραφείο Επιτρόπου Προστασίας της Ιδιωτικής Ζωής του Καναδά διερευνά τις καταγγελίες και μπορεί να προσφύγει στο Ομοσπονδιακό Δικαστήριο. Η μη τήρηση υποχρεώσεων ειδοποίησης παραβιάσεων εκθέτει σε πρόστιμα που μπορούν να φτάσουν τα 100.000 CAD ανά παραβίαση, επιπλέον της ζημίας στη φήμη και πιθανών αποζημιώσεων που επιβάλλονται από ένα δικαστήριο.
Σχετικοί οδηγοί
Σχετικοί όροι
Έτοιμοι να εφαρμόσετε αυτές τις έννοιες;
Το Certyneo σάς επιτρέπει να δημιουργείτε φακέλους υπογραφής συμβατούς με eIDAS με μερικά κλικ, χωρίς εγκατάσταση.