PIPEDA (Personal Information Protection and Electronic Documents Act, Kanada)

PIPEDA (Personal Information Protection and Electronic Documents Act, po slovensky: Zákon o ochrane osobných údajov a elektronických dokumentov) je kanadský federálny zákon na ochranu osobných údajov v súkromnom sektore (S.C. 2000, kap. 5). Upravuje zhromažďovanie, použitie a zverejňovanie osobných údajov v medziprovincálnych a medzinárodných obchodných činnostiach. Je kanadským ekvivalentom európskeho GDPR, hoci je na niektorých miestach menej prísny (niekedy je pripustený konkludentný súhlas, finančné sankcie sú nižšie).

10 princípov PIPEDA (pochádzajúce z Canadian Standards Association CAN/CSA-Q830) :
1. Zodpovednosť — určiť zodpovedného za ochranu osobných údajov.
2. Určenie účelov — jasne oznámiť účel zberu.
3. Súhlas — získať informovaný súhlas.
4. Obmedzenie zberu — zbierať iba nevyhnutné údaje.
5. Obmedzenie použitia — používať iba na uvedené účely.
6. Presnosť — udržiavať údaje aktuálne.
7. Bezpečnostné opatrenia — primeraná technická a organizačná ochrana.
8. Transparentnosť — verejná politika ochrany osobných údajov.
9. Prístup k osobným údajom — právo na prístup a opravu.
10. Možnosť podať sťažnosť — u Komisára pre ochranu osobných údajov Kanady.

PIPEDA a elektronický podpis : elektronický podpis zahŕňa spracovanie osobných údajov (meno, e-mailová adresa, telefónne číslo, IP, metadáta relácie, audit trail). PIPEDA vyžaduje :
• informovaný súhlas signatára pred zberom ;
• bezpečné uchovávanie (šifrovanie v pokoji, obmedzený prístup) ;
• dobu uchovania úmernú účelu (10 rokov pre obchodné zmluvy je všeobecne akceptované) ;
• právo na prístup, opravu a vymazanie na požiadavku signatára ;
• povinné oznámenie v prípade porušenia predstavujúceho skutočné riziko vážnej ujmy (od 2018).

Zákon 25 Québecu : provincia Québec má svoju vlastnú právnu úpravu (Zákon 25 / Zákon o modernizácii ustanovení na ochranu osobných údajov, účinný 2022-2024), ktorá má prednosť pred PIPEDA pre činnosti v rámci Québecu. Zákon 25 je prísnejší než PIPEDA — na väčšine bodov v súlade s európskym GDPR : povinný výslovný súhlas, určenie zodpovedného za ochranu osobných údajov, posúdenia vplyvov (DPIA), sankcie až do 4 % celosvetového obratu.

PIPEDA vs GDPR : Európska komisia uznáva PIPEDA za poskytujúcu adekvátnu úroveň ochrany v zmysle článku 45 GDPR (rozhodnutie 2002/2/ES potvrdené 2024). Prenosy osobných údajov z EÚ do Kanady sú preto povolené bez ďalších formalít. Pre kanadské organizácie pôsobiace v EÚ zostáva GDPR použiteľný na údaje rezidentov EÚ (extrateritoriálnosť, článok 3).

Implementácia Certyneo : zhoda s PIPEDA + Zákon 25 + GDPR zabezpečená našou architektúrou ochrany údajov — suverénne hostovanie v EÚ (IONOS Nemecko), šifrovanie TLS 1.3 pri prenose + AES-256 v pokoji, protokolovanie prístupov, právo na úplné vymazanie do 30 dní, sprostredkovatelia v súlade. Prenosy do Kanady (zriedkavé — iba účty hostované na požiadavku v Kanade) sú regulované štandardnými zmluvnými dohodnutými GDPR-PIPEDA klauzulami.