Toda organizacion canadiense del sector privado que recopile informacion personal en linea tiene una obligacion: publicar una politica de privacidad conforme a la Ley de Proteccion de la Informacion Personal y los Documentos Electronicos (PIPEDA). Pero, que es exactamente una “politica conforme”? Que menciones son obligatorias y cuales distinguen una plantilla generica de un documento que la Oficina del Comisionado de Privacidad de Canada (OPC) considerara suficiente en caso de queja? Esta guia detalla los requisitos precisos, propone una estructura de plantilla conforme e identifica las secciones que la mayoria de las plantillas gratuitas omiten.
Por que PIPEDA exige una politica de privacidad
El octavo principio del Anexo 1 de PIPEDA — la transparencia — exige que “las politicas y practicas de una organizacion relativas a la gestion de la informacion personal” sean “facilmente accesibles”. La politica de privacidad publicada en su sitio web es el instrumento principal de esta obligacion. No es un documento de marketing ni un descargo defensivo: es el compromiso publico y exigible de su organizacion ante las personas cuyos datos trata.
Una obligacion acumulativa. PIPEDA exige una politica en aplicacion del principio de transparencia, pero tambien en aplicacion del principio de identificacion de las finalidades (segundo principio): las finalidades de la recopilacion deben comunicarse antes o en el momento de la recopilacion. Sin una politica accesible, la recopilacion de datos a traves de su sitio es tecnicamente no conforme desde la primera visita.
Una obligacion exigible. Una vez publicada, su politica le compromete. Si declara que no comparte datos con terceros y una investigacion revela una transferencia a un proveedor de analiticas no mencionado, infringe a la vez su propio compromiso y el sexto principio (limitacion del uso, divulgacion y conservacion). Es precisamente por esto que una politica generica copiada de otro sitio es peligrosa: no refleja sus practicas reales.
Para el marco general de PIPEDA y su aplicacion, consulte nuestra guia completa para empresas canadienses.
Las 10 menciones obligatorias de su politica PIPEDA
El OPC ha publicado directrices detalladas sobre el contenido esperado en una politica de privacidad conforme. Estos son los elementos imprescindibles, organizados segun la logica de los diez principios del Anexo 1.
1. Identidad de la organizacion y datos del responsable de privacidad. Su politica debe nombrar a la entidad juridica que controla los datos y designar claramente a la persona responsable del cumplimiento de PIPEDA. Los datos de contacto deben permitir un contacto directo (correo electronico y direccion postal). Un simple buzon “contacto@…” sin nombre de responsable es insuficiente.
2. Tipos de informacion recopilada. Enumere de forma especifica las categorias de datos: nombre, direccion de correo electronico, direccion IP, datos de geolocalizacion, identificadores de dispositivo, historial de navegacion, datos de transaccion, contenidos enviados por el usuario. El nivel de detalle debe permitir a una persona ordinaria saber que le concierne.
3. Finalidades de la recopilacion. Para cada categoria, indique por que recopila los datos: ejecucion de un pedido, gestion de una cuenta, seguridad del sitio, medicion de audiencia, marketing, obligaciones legales. El segundo principio prohibe la recopilacion “por si acaso”: cada recopilacion debe tener una finalidad documentada.
4. Base del consentimiento. Precise que tipo de consentimiento obtiene (expreso o implicito) para cada categoria de finalidad y como puede retirarlo el usuario. Para la informacion sensible (salud, finanzas, biometria), el consentimiento expreso es obligatorio.
5. Destinatarios y terceros. Identifique las categorias de terceros con los que comparte informacion: proveedores de pago, alojamiento, servicios de analiticas, subencargados de marketing, socios comerciales. Precise la finalidad de cada transferencia. Si utiliza Google Analytics, Meta, Stripe o un proveedor de correo estadounidense, deben figurar.
6. Transferencias transfronterizas. Si los datos salen de Canada, su politica debe senalarlo explicitamente e identificar los paises de destino. El OPC ha precisado que se debe informar a los usuarios de que sus datos pueden estar sujetos a leyes extranjeras, incluidas las que permiten el acceso por parte de autoridades gubernamentales extranjeras.
7. Medidas de seguridad. Describa de manera no tecnica las medidas que protegen la informacion: cifrado en transito (HTTPS), cifrado en reposo, controles de acceso, supervision, copias de seguridad. El septimo principio exige medidas proporcionadas a la sensibilidad de los datos.
8. Plazos de conservacion. Indique cuanto tiempo conserva cada categoria de datos y segun que criterios (duracion de la relacion con el cliente + obligaciones legales fiscales y contables). Una formula vaga como “el tiempo necesario” no basta.
9. Derechos de las personas. Enuncie los derechos que la persona puede ejercer bajo PIPEDA: acceso a su informacion, correccion de inexactitudes, retirada del consentimiento, queja ante el responsable de privacidad y luego ante el OPC. Describa el procedimiento practico para ejercer cada derecho (formulario, correo dedicado, plazo de respuesta).
10. Procedimiento de brecha y de queja. Indique como la organizacion gestiona las brechas de seguridad y como el usuario puede presentar una queja. Esta seccion se trata con mas detalle a continuacion, ya que la mayoria de las plantillas la omiten.
Diferencias con una politica RGPD
Si tambien opera en Europa, es posible que ya tenga una politica RGPD. Puede simplemente republicarla para Canada? La respuesta corta es no. Para entender las diferencias, consulte nuestra comparativa PIPEDA vs RGPD.
Vocabulario y referencias. PIPEDA utiliza “informacion personal” y no “datos de caracter personal”; “brecha de las medidas de seguridad” y no “violacion de datos”; “Oficina del Comisionado de Privacidad de Canada” y no “autoridad de control” o “AEPD”. Una politica que habla de “autoridad de control” sin nombrar al OPC es inadecuada para un publico canadiense.
Bases legales. El RGPD enumera seis bases legales (articulo 6): consentimiento, contrato, obligacion legal, interes vital, mision de interes publico, intereses legitimos. PIPEDA funciona casi exclusivamente sobre el consentimiento (con excepciones limitadas previstas en el articulo 7). Una politica que invoca el “interes legitimo” bajo PIPEDA es juridicamente infundada.
Derechos de las personas. El RGPD enumera ocho derechos explicitos (acceso, rectificacion, supresion, limitacion, portabilidad, oposicion, decisiones automatizadas, queja). PIPEDA reconoce tres derechos claros: acceso, correccion, queja. El “derecho al olvido” no existe formalmente bajo PIPEDA — aunque la jurisprudencia evoluciona. Una politica que promete derechos inexistentes podria crear una expectativa no exigible.
Notificacion de brechas. El RGPD impone 72 horas para notificar a la autoridad. PIPEDA exige una notificacion al OPC “lo antes posible” cuando la brecha presenta un riesgo real de perjuicio significativo, sin plazo cifrado. Las modalidades difieren lo suficiente como para justificar una redaccion dedicada.
La seccion de brechas: lo que las plantillas olvidan
Desde noviembre de 2018, los articulos 10.1 a 10.3 de PIPEDA imponen una obligacion de notificacion de las brechas de las medidas de seguridad. Esta obligacion tiene una consecuencia directa sobre su politica de privacidad: debe describir publicamente el procedimiento de brecha, porque los usuarios tienen derecho a saber como seran avisados si su informacion se ve comprometida.
Elementos a incluir en esta seccion:
- El compromiso de la organizacion de evaluar toda brecha segun el criterio del “riesgo real de perjuicio significativo” (RRPS)
- El canal de notificacion utilizado (correo directo, carta, notificacion en la cuenta de cliente)
- El plazo objetivo de notificacion tras la deteccion
- El compromiso de notificar al OPC en los casos en que se constate el RRPS
- El mantenimiento de un registro interno de todas las brechas, incluso las que no alcancen el umbral RRPS
- La posibilidad de que el usuario solicite la consulta de sus propias notificaciones historicas
Por que esta seccion es tan rara. Las plantillas genericas disponibles gratuitamente en linea fueron en su mayoria redactadas antes de 2018 o copiadas de plantillas europeas. Rara vez mencionan el RRPS, nunca el registro interno, y rara vez dan un canal de notificacion claro. Es un hueco de cumplimiento masivo y facilmente detectable por el OPC en caso de investigacion.
El incumplimiento de la obligacion de notificacion es sancionable con multas especificas de hasta 100.000 CAD — la unica sancion monetaria directamente cifrada en el PIPEDA actual.
Cuatro enfoques para redactar su politica
Abogado especializado en privacidad
Coste: 2.500 a 8.000 CAD. Plazo: 2 a 4 semanas.
Un abogado canadiense especializado audita sus flujos de datos reales, redacta una politica a medida y la actualiza ante cambios regulatorios. Es la opcion mas rigurosa, recomendada para empresas que tratan informacion sensible (salud, finanzas, datos de menores) o que operan en varias jurisdicciones canadienses (PIPEDA + Ley 25 + Alberta PIPA + B.C. PIPA).
Plantilla gratuita en linea
Coste: 0 CAD. Riesgo: alto.
Las plantillas gratuitas son genericas, a menudo redactadas bajo otro regimen juridico (RGPD, CCPA), y nunca adaptadas a su actividad especifica. Suelen omitir la seccion de brechas, no mencionan correctamente al OPC y crean una falsa sensacion de cumplimiento. En caso de queja, son insuficientes.
Herramienta de IA generica (ChatGPT y equivalentes)
Coste aparente: 0 CAD. Coste real: las lagunas que deja.
Un asistente de IA generalista produce un texto que parece una politica conforme, pero no puede auditar sus practicas reales, no conoce la version mas reciente de las directrices del OPC, y confunde frecuentemente PIPEDA con otros regimenes. El resultado pasa la prueba visual, no la prueba juridica.
Generador especializado en documentos legales
Coste: 14,90 a 49,90 CAD. Plazo: menos de 10 minutos.
Un generador especializado plantea preguntas concretas sobre su actividad, sus categorias de datos, sus subencargados y su jurisdiccion, y luego produce una politica que aborda los requisitos especificos de PIPEDA — incluida la seccion de brechas, los derechos canadienses y las referencias al OPC. El escaner de cumplimiento de WebLegal cubre los requisitos PIPEDA e identifica los huecos de su politica actual. Este enfoque ofrece el mejor equilibrio rigor-coste para la mayoria de las empresas canadienses en linea.
Conclusion
Una politica de privacidad conforme a PIPEDA no es un copiar y pegar de una plantilla europea ni un generador generico. Es un documento que refleja sus practicas reales, integra los diez principios del Anexo 1, nombra correctamente a las autoridades canadienses e incluye una seccion de brechas robusta. Con el proyecto de ley C-27 que elevara las sanciones a 10 millones de CAD o el 3 % del volumen de negocios mundial, la diferencia entre una politica “pasable” y una politica realmente conforme se convertira rapidamente en un riesgo financiero importante. Actue antes de que esa transicion sea obligatoria.
