PIPEDA (Personal Information Protection and Electronic Documents Act, Kanada)

PIPEDA (Personal Information Protection and Electronic Documents Act, dalam bahasa Prancis: Loi sur la protection des renseignements personnels et les documents électroniques) adalah undang-undang federal Kanada tentang perlindungan informasi pribadi di sektor swasta (L.C. 2000, ch. 5). Undang-undang ini mengatur pengumpulan, penggunaan, dan pengungkapan informasi pribadi dalam kegiatan perdagangan interprovinsial dan internasional. Merupakan setara Kanada dari RGPD Eropa, meskipun kurang ketat pada beberapa poin (persetujuan implisit kadang diizinkan, sanksi keuangan lebih rendah).

10 Prinsip PIPEDA (dari Canadian Standards Association CAN/CSA-Q830) :
1. Akuntabilitas — menunjuk tanggung jawab atas perlindungan informasi pribadi.
2. Penentuan Tujuan — mengumumkan tujuan pengumpulan dengan jelas.
3. Persetujuan — mengumpulkan persetujuan yang terinformasi.
4. Pembatasan Pengumpulan — mengumpulkan hanya yang diperlukan.
5. Pembatasan Penggunaan — menggunakan hanya untuk tujuan yang diumumkan.
6. Akurasi — menjaga data tetap terkini.
7. Tindakan Keamanan — perlindungan teknis dan organisasi yang sesuai.
8. Transparansi — kebijakan privasi yang dipublikasikan.
9. Akses ke Informasi Pribadi — hak akses dan perbaikan.
10. Kemampuan untuk Mengajukan Keluhan — kepada Komisioner Privasi Kanada.

PIPEDA dan tanda tangan elektronik : tanda tangan elektronik melibatkan pemrosesan data pribadi (nama, alamat email, nomor telepon, IP, metadata sesi, jejak audit). PIPEDA mengharuskan :
• persetujuan terinformasi dari penandatangan sebelum pengumpulan ;
• penyimpanan aman (enkripsi saat istirahat, akses terbatas) ;
• jangka waktu penyimpanan yang proporsional dengan tujuan (10 tahun untuk kontrak komersial umumnya diterima) ;
• hak akses, perbaikan, dan penghapusan atas permintaan penandatangan ;
• notifikasi wajib dalam hal pelanggaran yang menimbulkan risiko nyata kerugian serius (sejak 2018).

Hukum 25 Quebec : provinsi Quebec memiliki undang-undang sendiri (Hukum 25 / Loi modernisant les dispositions sur la protection des renseignements personnels, berlaku 2022-2024) yang mengesampingkan PIPEDA untuk kegiatan intra-Quebec. Hukum 25 lebih ketat daripada PIPEDA — sejalan dengan RGPD Eropa pada sebagian besar poin: persetujuan eksplisit wajib, penunjukan tanggung jawab atas perlindungan informasi pribadi, penilaian dampak (EFVP), sanksi hingga 4% dari omset global.

PIPEDA vs RGPD : Komisi Eropa mengakui PIPEDA sebagai menawarkan tingkat perlindungan "memadai" menurut pasal 45 RGPD (keputusan 2002/2/CE dikonfirmasi 2024). Oleh karena itu, transfer data pribadi dari UE ke Kanada diizinkan tanpa formalitas tambahan. Untuk organisasi Kanada beroperasi di UE, RGPD tetap berlaku pada data penduduk Eropa (ekstrateritorialitas, pasal 3).

Implementasi Certyneo : kepatuhan PIPEDA + Hukum 25 + RGPD dijamin oleh arsitektur perlindungan data kami — hosting berdaulat UE (IONOS Jerman), enkripsi TLS 1.3 dalam transit + AES-256 saat istirahat, logging akses, hak penghapusan lengkap dalam 30 hari, subpemroses yang sesuai. Transfer ke Kanada (jarang — hanya akun yang dihost sesuai permintaan di Kanada) diatur oleh klausul kontrak standar RGPD-PIPEDA.