PIPEDA (Lei sobre a proteção de informações pessoais e documentos eletrônicos, Canadá)
Definição
Os 10 princípios do PIPEDA (derivados da Canadian Standards Association CAN/CSA-Q830) :
1. Responsabilidade — designar um responsável pela proteção de dados pessoais.
2. Determinação das finalidades — anunciar claramente a finalidade da coleta.
3. Consentimento — obter consentimento informado.
4. Limitação da coleta — coletar apenas o necessário.
5. Limitação do uso — usar apenas para as finalidades anunciadas.
6. Exatidão — manter os dados atualizados.
7. Medidas de segurança — proteção técnica e organizacional adequada.
8. Transparência — política de privacidade pública.
9. Acesso aos dados pessoais — direito de acesso e retificação.
10. Possibilidade de apresentar reclamação — ao Comissariado de Proteção da Vida Privada do Canadá.
PIPEDA e assinatura eletrônica : a assinatura eletrônica envolve o processamento de dados pessoais (nome, endereço de e-mail, número de telefone, IP, metadados de sessão, registro de auditoria). O PIPEDA exige :
• consentimento informado do signatário antes da coleta ;
• conservação segura (criptografia em repouso, acesso restrito) ;
• duração de conservação proporcional à finalidade (10 anos para contratos comerciais é geralmente aceito) ;
• direito de acesso, retificação e exclusão mediante solicitação do signatário ;
• notificação obrigatória em caso de violação apresentando risco real de dano grave (desde 2018).
Lei 25 do Québec : a província do Québec dispõe de sua própria lei (Lei 25 / Lei que moderniza as disposições sobre a proteção de dados pessoais, em vigor 2022-2024) que prevalece sobre o PIPEDA para atividades intra-quebequenses. A Lei 25 é mais rigorosa que o PIPEDA — alinhada ao RGPD europeu na maioria dos pontos : consentimento explícito obrigatório, designação de responsável pela proteção de dados pessoais, avaliações de impacto (AIPD), sanções até 4% do faturamento global.
PIPEDA vs RGPD : a Comissão Europeia reconhece o PIPEDA como oferecendo um nível de proteção « adequado » no sentido do artigo 45 do RGPD (decisão 2002/2/CE confirmada 2024). As transferências de dados pessoais da UE para o Canadá são, portanto, autorizadas sem formalidades adicionais. Para organizações canadenses operando na UE, o RGPD permanece aplicável aos dados de residentes europeus (extraterritorialidade, artigo 3).
Implementação Certyneo : conformidade PIPEDA + Lei 25 + RGPD assegurada por nossa arquitetura de proteção de dados — hospedagem soberana UE (IONOS Alemanha), criptografia TLS 1.3 em trânsito + AES-256 em repouso, registro de acessos, direito ao apagamento completo em 30 dias, subcontratados conformes. As transferências para o Canadá (raras — apenas contas hospedadas sob demanda no Canadá) são encadradas pelas cláusulas contratuais-tipo RGPD-PIPEDA.
Perguntas frequentes
O que é o PIPEDA ?
O PIPEDA (Lei sobre a proteção de renseignements pessoais e documentos eletrônicos) é a lei federal canadense sobre privacidade que encadra a forma como as organizações do setor privado coletam, usam e comunicam dados pessoais no contexto de atividades comerciais. Sua segunda parte reconhece também aos documentos e assinaturas eletrônicas o mesmo valor jurídico que o papel.
Quem deve estar em conformidade com o PIPEDA ?
O PIPEDA se aplica a organizações do setor privado que processam dados pessoais no contexto de atividades comerciais em todo o Canadá, bem como a todas as empresas sob regulação federal. Québec, Colômbia Britânica e Alberta possuem leis essencialmente similares que se aplicam no lugar para atividades intra-provinciais.
A PIPEDA reconhece assinaturas eletrônicas?
Sim. A PIPEDA confere aos documentos e assinaturas eletrônicas o mesmo efeito jurídico que seus equivalentes em papel, e define uma « assinatura eletrônica segura » para usos que exigem um nível de garantia mais elevado.
Como a PIPEDA se compara ao RGPD?
Ambas protegem dados pessoais e conferem aos indivíduos direitos de consentimento e acesso, mas a PIPEDA se baseia em princípios e permanece globalmente menos prescritiva que o RGPD, com sanções máximas mais baixas. As organizações que atendem tanto ao Canadá quanto à UE geralmente se alinham à norma mais rigorosa, o RGPD, para cobrir ambos.
O que acontece em caso de não conformidade com a PIPEDA?
O Comissariado de Proteção de Privacidade do Canadá analisa as reclamações e pode levar o caso à Corte Federal. O não cumprimento das obrigações de notificação de violações está sujeito a multas de até 100.000 CAD por infração, além de danos à reputação e possíveis indenizações ordenadas por um tribunal.
Guias associados
Termos relacionados
Pronto para poner em prática estes conceitos?
Certyneo lhe permite criar sobres de assinatura conformes eIDAS em poucos cliques, sem instalação.