PIPEDA (Personal Information Protection and Electronic Documents Act, Kanada)
Definicja
10 zasad PIPEDA (pochodzące z Canadian Standards Association CAN/CSA-Q830):
1. Odpowiedzialność — wyznaczyć odpowiedzialnego za ochronę danych osobowych.
2. Ustalenie celów — jasno ogłosić cel zbierania.
3. Zgoda — uzyskać świadomą zgodę.
4. Ograniczenie zbierania — zbierać tylko niezbędne dane.
5. Ograniczenie użytkowania — używać tylko do ogłoszonych celów.
6. Dokładność — utrzymywać dane aktualne.
7. Środki bezpieczeństwa — odpowiednia ochrona techniczna i organizacyjna.
8. Przejrzystość — publiczna polityka prywatności.
9. Dostęp do informacji osobistych — prawo dostępu i sprostowania.
10. Możliwość złożenia skargi — do Komisarza ds. Ochrony Prywatności Kanady.
PIPEDA i podpis elektroniczny: podpis elektroniczny wiąże się z przetwarzaniem danych osobowych (imię i nazwisko, adres e-mail, numer telefonu, IP, metadane sesji, ścieżka audytu). PIPEDA wymaga:
• świadomej zgody podpisującego przed zbieraniem;
• bezpiecznego przechowywania (szyfrowanie w stanie spoczynku, ograniczony dostęp);
• okresu przechowywania proporcjonalnego do celu (10 lat dla umów handlowych jest ogólnie akceptowane);
• prawa dostępu, sprostowania i usunięcia na żądanie podpisującego;
• obowiązkowego powiadomienia w przypadku naruszenia stanowiącego realne ryzyko poważnej krzywdy (od 2018 r.).
Ustawa 25 w Québecu: prowincja Québec ma własną ustawę (Ustawa 25 / Ustawa o modernizacji przepisów dotyczących ochrony danych osobowych, wchodząca w życie 2022-2024), która ma pierwszeństwo przed PIPEDA dla działalności wewnątrz québeckiej. Ustawa 25 jest bardziej rygorystyczna niż PIPEDA — wyrównana z europejskim RODO w większości aspektów: obowiązkowa wyraźna zgoda, wyznaczenie odpowiedzialnego za ochronę danych osobowych, oceny wpływu (DPIA), kary do 4% światowych przychodów.
PIPEDA vs RODO: Komisja Europejska uznaje PIPEDA za zapewniającą "adekwatny" poziom ochrony w rozumieniu artykułu 45 RODO (decyzja 2002/2/WE potwierdzona w 2024). Transfery danych osobowych z UE do Kanady są zatem dozwolone bez dodatkowych formalności. Dla organizacji kanadyjskich działających w UE RODO pozostaje stosowalne do danych rezydentów europejskich (eksterytorialność, artykuł 3).
Wdrażanie przez Certyneo: zgodność z PIPEDA + Ustawą 25 + RODO zapewniona przez naszą architekturę ochrony danych — suwereńny hosting w UE (IONOS Niemcy), szyfrowanie TLS 1.3 w tranzycie + AES-256 w stanie spoczynku, rejestrowanie dostępu, prawo do pełnego usunięcia w ciągu 30 dni, podwykonawcy zgodni. Transfery do Kanady (rzadkie — tylko konta hostowane na żądanie w Kanadzie) są regulowane przez standardowe klauzule umowne RODO-PIPEDA.
Często zadawane pytania
Czym jest PIPEDA?
PIPEDA (Ustawa o ochronie informacji osobistych i dokumentów elektronicznych) to kanadyjska ustawa federalna o prywatności, która reguluje sposób, w jaki organizacje sektora prywatnego zbierają, wykorzystują i ujawniają informacje osobiste w kontekście działalności handlowej. Jej druga część przyznaje również dokumentom i podpisom elektronicznym taką samą wartość prawną jak papier.
Kto musi być zgodny z PIPEDA?
PIPEDA ma zastosowanie do organizacji sektora prywatnego, które przetwarzają informacje osobiste w działalności handlowej na terenie całej Kanady, a także do wszystkich przedsiębiorstw podlegających regulacjom federalnym. Québec, Kolumbia Brytyjska i Alberta mają zasadniczo podobne ustawy, które mają zastosowanie na ich terenie dla działalności wewnątrz prowincji.
Czy PIPEDA признает podpisy elektroniczne?
Tak. PIPEDA przyznaje dokumentom i podpisom elektronicznym taką samą moc prawną jak ich odpowiednikom papierowym i definiuje "bezpieczny podpis elektroniczny" do zastosowań wymagających wyższego poziomu gwarancji.
Jak PIPEDA porównuje się do RODO?
Oba chronią dane osobowe i przyznają osobom prawa do zgody i dostępu, ale PIPEDA opiera się na zasadach i pozostaje ogólnie mniej nakazowa niż RODO, z niższymi maksymalnymi karami. Organizacje obsługujące zarówno Kanadę, jak i UE zwykle dostosowują się do bardziej rygorystycznego standardu, RODO, aby pokryć oba.
Co się dzieje w przypadku niezgodności z PIPEDA?
Komisarz Ochrony Prywatności Kanady rozpatruje skargi i może zwrócić się do Sądu Federalnego. Niezastosowanie się do obowiązków powiadomienia o naruszeniach wiąże się z grzywnami do 100 000 CAD za naruszenie, plus szkody reputacyjne i ewentualnych odszkodowań zarządzonych przez sąd.
Powiązane przewodniki
Powiązane terminy
Gotowi, aby zastosować te pojęcia w praktyce?
Certyneo pozwala tworzyć koperty podpisu zgodne z eIDAS w kilku kliknięciach, bez instalacji.