PIPEDA (Personal Information Protection and Electronic Documents Act, Kanada)
Definition
PIPEDAS 10 principer (från Canadian Standards Association CAN/CSA-Q830) :
1. Ansvar — utse en ansvarig för skydd av personuppgifter.
2. Ändamålsbestämmelse — klart informera om insamlingens syfte.
3. Medgivande — inhämta informerat medgivande.
4. Insamlingsbegränsning — samla endast det nödvändiga.
5. Användningsbegränsning — använd endast för angivet syfte.
6. Riktighet — håll uppgifter uppdaterade.
7. Säkerhetsåtgärder — lämplig teknisk och organisatorisk skydd.
8. Transparens — offentlig integritetspolicy.
9. Tillgång till personuppgifter — rätt till åtkomst och rättelse.
10. Möjlighet att lämna klagomål — till Kanadas integritetskommissionär.
PIPEDA och elektronisk signatur : elektronisk signatur innebär behandling av personuppgifter (namn, e-postadress, telefonnummer, IP, sessionmetadata, revisionsspår). PIPEDA kräver :
• informerat medgivande från signerare före insamling ;
• säker lagring (kryptering i vila, begränsad åtkomst) ;
• lagringstid proportionell till syftet (10 år för handelsavtal är generellt accepterat) ;
• rätt till åtkomst, rättelse och radering på begäran från signerare ;
• obligatorisk anmälan vid överträdelse som utgör en verklig risk för allvarlig skada (sedan 2018).
Quebecs lag 25 : provinsen Quebec har sin egen lag (Lag 25 / Lag om modernisering av bestämmelser om skydd av personuppgifter, i kraft 2022-2024) som går före PIPEDA för verksamhet inom Quebec. Lag 25 är strängare än PIPEDA — i linje med EU:s GDPR på de flesta punkter: explicit medgivande obligatoriskt, utseende av ansvarig för skydd av personuppgifter, konsekvensbedömningar (DPIA), böter upp till 4 % av den globala omsättningen.
PIPEDA vs GDPR : Europeiska kommissionen erkänner PIPEDA som med "adekvat" skyddsnivå enligt artikel 45 i GDPR (beslut 2002/2/EG bekräftat 2024). Överföring av personuppgifter från EU till Kanada är således tillåten utan ytterligare åtgärder. För kanadensiska organisationer som verkar i EU förblir GDPR tillämpligt för uppgifter om EU-invånare (extraterritorialitet, artikel 3).
Certyneo-implementering : PIPEDA + Lag 25 + GDPR-efterlevnad säkerställd genom vår dataövervakaritektur — suverän EU-hosting (IONOS Tyskland), TLS 1.3-kryptering under överföring + AES-256 i vila, åtkomstloggning, rätt till fullständig radering inom 30 dagar, överensstämmande underentreprenörer. Överföringar till Kanada (sällsynta — endast konton på begäran som ligger i Kanada) regleras av GDPR-PIPEDA standardiserade avtalsklausuler.
Frågor som ofta ställs
Vad är PIPEDA?
PIPEDA (Lag om skydd av personuppgifter och elektroniska dokument) är Kanadas federala lag om integritet som reglerar hur organisationer i den privata sektorn samlar in, använder och lämnar ut personuppgifter i samband med affärsverksamhet. Dess andra del erkänner även elektroniska dokument och signaturer samma juridiska värde som papper.
Vem måste följa PIPEDA?
PIPEDA gäller för organisationer i den privata sektorn som behandlar personuppgifter i samband med affärsverksamhet i hela Kanada, samt för alla företag som omfattas av federal reglering. Quebec, Brittiska Kolumbien och Alberta har egna väsentligen motsvarande lagar som gäller istället för verksamhet inom provinsen.
Erkänner PIPEDA elektroniska signaturer?
Ja. PIPEDA ger elektroniska dokument och signaturer samma juridiska verkan som deras pappersekvivalenter och definierar en "säker elektronisk signatur" för användningar som kräver en högre garanti.
Hur jämförs PIPEDA med GDPR?
Båda skyddar personuppgifter och ger individer rätt till samtycke och åtkomst, men PIPEDA bygger på principer och är generellt mindre föreskrivande än GDPR, med lägre maximala straff. Organisationer som betjänar både Kanada och EU anpassar sig vanligtvis till den strängaste standarden, GDPR, för att täcka båda.
Vad händer vid bristande efterlevnad av PIPEDA?
Kanadas dataskyddsmyndighet hanterar klagomål och kan väcka talan vid Federal Court. Bristande efterlevnad av aviseringsskyldigheter vid dataintrång kan leda till böter på upp till 100 000 CAD per överträdelse, förutom ryktessmuts och eventuella skadereglering som domstolen fastställer.
Associerade guider
Relaterade termer
Redo att omsätta dessa begrepp i praktiken?
Certyneo låter dig skapa eIDAS-kompatibla signeringskuvert med några få klick, utan installation.