PIPEDA (Закон про захист персональної інформації та електронних документів, Канада)
Визначення
10 принципів PIPEDA (на основі Canadian Standards Association CAN/CSA-Q830) :
1. Відповідальність — призначити осіб, відповідальних за захист персональної інформації.
2. Визначення цілей — чітко повідомити про мету збору.
3. Згода — отримати поінформовану згоду.
4. Обмеження збору — збирати тільки необхідне.
5. Обмеження використання — використовувати тільки для заявлених цілей.
6. Точність — підтримувати дані в актуальному стані.
7. Заходи безпеки — належна технічна та організаційна захисту.
8. Прозорість — публічна політика конфіденційності.
9. Доступ до персональної інформації — право на доступ та виправлення.
10. Можливість подати скаргу — до Комісара з захисту приватного життя Канади.
PIPEDA та електронний підпис : електронний підпис передбачає обробку персональних даних (ім'я, адреса електронної пошти, номер телефону, IP, метадані сеансу, журнал аудиту). PIPEDA вимагає :
• поінформованої згоди підписувача перед збором ;
• безпечного збереження (шифрування при зберіганні, обмежений доступ) ;
• тривалості зберігання, пропорційної до мети (10 років для комерційних контрактів зазвичай прийнято) ;
• права на доступ, виправлення та видалення за запитом підписувача ;
• обов'язкового повідомлення у разі порушення, яке становить реальний ризик серйозної шкоди (з 2018 року).
Закон 25 Квебеку : провінція Квебек має свій власний закон (Закон 25 / Закон про модернізацію положень щодо захисту персональної інформації, набув чинності 2022-2024), який має пріоритет над PIPEDA для діяльності в межах Квебеку. Закон 25 суворіший за PIPEDA — узгоджений з європейським RGPD з більшості аспектів : обов'язкова явна згода, призначення осіб, відповідальних за захист персональної інформації, оцінки впливу (EFVP), санкції до 4 % світового обороту.
PIPEDA проти RGPD : Європейська комісія визнає PIPEDA такою, що забезпечує «адекватний» рівень захисту у сенсі статті 45 RGPD (рішення 2002/2/CE підтверджене 2024). Передачі персональних даних з ЄС до Канади тому дозволені без додаткових формальностей. Для канадських організацій, які працюють в ЄС, RGPD залишається застосовуваним до даних європейських жителів (екстериторіальність, стаття 3).
Впровадження Certyneo : сумісність PIPEDA + Закону 25 + RGPD забезпечена нашою архітектурою захисту даних — суверенний хостинг ЄС (IONOS Німеччина), шифрування TLS 1.3 при передачі + AES-256 при зберіганні, журналювання доступу, право на повне видалення протягом 30 днів, субпідрядники відповідають вимогам. Передачі до Канади (рідкісні — тільки облікові записи на запит, розташовані в Канаді) регулюються типовими договірними положеннями RGPD-PIPEDA.
Часто задаються питання
Що таке PIPEDA ?
PIPEDA (Закон про захист персональної інформації та електронних документів) — це канадський федеральний закон про приватність, який регулює те, як організації приватного сектора збирають, використовують та розкривають персональну інформацію в комерційній діяльності. Його друга частина також розповсюджує електронні документи та підписи з тією ж юридичною силою, що й папір.
Хто повинен дотримуватися PIPEDA ?
PIPEDA застосовується до організацій приватного сектора, які обробляють персональну інформацію в комерційній діяльності по всій Канаді, а також до всіх підприємств під федеральним регулюванням. Квебек, Британська Колумбія та Альберта мають по суті подібні закони, які застосовуються замість цього для діяльності в межах провінцій.
Чи визнає PIPEDA електронні підписи?
Так. PIPEDA надає електронним документам і підписам той самий юридичний статус, що й їхнім паперовим еквівалентам, і визначає «безпечний електронний підпис» для випадків, які вимагають вищого рівня гарантій.
Як PIPEDA порівнюється з RGPD?
Обидва закони захищають особисті дані та надають людям права на дозвіл і доступ, але PIPEDA заснована на принципах і загалом менш прескриптивна, ніж RGPD, з нижчими максимальними штрафами. Організації, які працюють як у Канаді, так і в ЄС, зазвичай дотримуються строгішого стандарту — RGPD — для охоплення обох.
Що відбувається у разі недотримання PIPEDA?
Комісаріат Канади з захисту приватного життя розглядає скарги і може звернутися до Федерального суду. Невиконання зобов'язань щодо повідомлення про порушення викладає на штрафи до 100 000 канадських доларів за порушення, а також порушення репутації та можливе відшкодування збитків, призначеного судом.
Пов'язані посібники
Пов'язані терміни
Готові застосувати ці концепції?
Certyneo дозволяє створювати конверти з підписами, відповідними eIDAS, за кілька кліків, без встановлення.