Personal Information Protection and Electronic Documents Act (PIPEDA) to kanadyjska federalna ustawa o prywatnosci regulujaca gromadzenie, wykorzystywanie i ujawnianie danych osobowych w ramach dzialalnosci handlowej. Obowiazujaca od 2000 roku, PIPEDA ma zastosowanie do organizacji sektora prywatnego prowadzacych dzialalnosc handlowa w Kanadzie, z wyjatkiem prowincji, ktore przyjely zasadniczo podobne ustawodawstwo (Quebec, Alberta i Kolumbia Brytyjska dla dzialalnosci wewnatrzprowincyjnej). W miare jak Office of the Privacy Commissioner of Canada (OPC) wzmacnia egzekwowanie prawa, a krajobraz legislacyjny ewoluuje, zrozumienie obowiazkow wynikajacych z PIPEDA jest niezbedne dla kazdej firmy dzialalajacej na rynku kanadyjskim. Dla polskich firm podlegajacych RODO, znajomosc PIPEDA jest szczegolnie istotna w przypadku prowadzenia dzialalnosci lub planowania ekspansji na rynek kanadyjski.
10 zasad uczciwego postepowania z informacjami
PIPEDA opiera sie na dziesieciu zasadach uczciwego postepowania z informacjami okreslonych w Zalaczniku 1 ustawy. Zasady te stanowia fundament wszelkich dzialan w zakresie zgodności.
1. Odpowiedzialnosc. Twoja organizacja jest odpowiedzialna za dane osobowe, ktore posiada. Musisz wyznaczyc osobe lub zespol odpowiedzialny za zgodność z PIPEDA. Odpowiedzialnosc ta rozciaga sie na informacje przekazywane podmiotom trzecim do przetwarzania.
2. Okreslenie celow. Cele, dla ktorych gromadzone sa dane osobowe, muszą być okreslone przed lub w momencie ich gromadzenia. Nie mozna gromadzic danych spekulacyjnie: kazde gromadzenie musi miec udokumentowany, konkretny cel.
3. Zgoda. Gromadzenie, wykorzystywanie lub ujawnianie danych osobowych wymaga wiedzy i zgody osoby, z wyjatkiem szczegolnych okolicznosci okreslonych przez prawo. Zgoda musi być swiadoma, poinformowana i odpowiednia do wrazliwosci informacji. W przypadku danych wrazliwych (dane zdrowotne, dane finansowe, dane biometryczne) wymagana jest zgoda wyrazna.
4. Ograniczenie gromadzenia. Gromadzenie danych osobowych musi być ograniczone do tego, co jest niezbedne dla okreslonych celow. Gromadzenie nadmiernych danych w stosunku do rzeczywistych potrzeb narusza te zasade.
5. Ograniczenie wykorzystania, ujawniania i przechowywania. Dane osobowe mogą być wykorzystywane lub ujawniane wylacznie w celach, dla ktorych zostaly zgromadzone, chyba ze uzyskano dodatkowa zgode lub zastosowanie ma obowiązek prawny. Dane nalezy przechowywac tylko tak dlugo, jak to konieczne, a nastepnie bezpiecznie zniszczyc.
6. Dokladnosc. Dane osobowe muszą być tak dokladne, kompletne i aktualne, jak to konieczne dla celow, w jakich sa wykorzystywane. Wykorzystywanie niedokladnych danych do podejmowania decyzji dotyczących osoby narusza te zasade.
7. Zabezpieczenia. Musisz chronic dane osobowe za pomoca zabezpieczen proporcjonalnych do ich wrazliwosci: szyfrowanie, kontrole dostępu, rejestrowanie, kopie zapasowe i udokumentowane polityki bezpieczenstwa.
8. Otwartasc. Twoje polityki i praktyki dotyczące zarzadzania danymi osobowymi muszą być latwo dostepne i zrozumiale. Twoja polityka prywatnosci jest glownym instrumentem tej przejrzystosci.
9. Dostep indywidualny. Na zadanie musisz poinformowac kazda osobe o istnieniu dotyczących jej danych osobowych, sposobie ich wykorzystywania oraz o tym, komu zostaly ujawnione. Musisz rowniez zapewnic dostep i umozliwic korekte bledow.
10. Kwestionowanie zgodności. Kazda osoba musi miec mozliwosc zakwestionowania zgodności organizacji z tymi dziesiecioma zasadami poprzez kontakt z inspektorem ochrony prywatnosci organizacji.
Kto musi przestrzegac PIPEDA
PIPEDA ma zastosowanie do kazdej organizacji sektora prywatnego, ktora gromadzi, wykorzystuje lub ujawnia dane osobowe w ramach dzialalnosci handlowej. W praktyce obejmuje to:
- Firmy dzialajace w prowincjach bez zasadniczo podobnego ustawodawstwa (wszystkie z wyjatkiem Quebec, Alberta i Kolumbia Brytyjska dla dzialalnosci wewnatrzprowincyjnej)
- Wszystkie firmy w zakresie dzialalnosci miedzyprowincyjnej i miedzynarodowej, nawet w prowincjach z wlasnymi przepisami
- Firmy regulowane na poziomie federalnym (banki, telekomunikacja, transport miedzyprowincyjny) w calej Kanadzie
Wyjatki: Quebec. Od wejscia w zycie Ustawy 25 (Ustawa o modernizacji przepisow legislacyjnych w zakresie ochrony danych osobowych) Quebec posiada wlasne kompleksowe ramy ochrony prywatnosci. Dla firm dzialajacych glownie w Quebec, Ustawa 25 zastepuje PIPEDA w zakresie dzialalnosci wewnatrzprowincyjnej.
Porownanie z polskimi ramami prawnymi
Dla polskich firm warto porownac PIPEDA z krajowymi ramami prawnymi. RODO, stosowane w Polsce wraz z Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych, jest znacznie bardziej preskryptywne niz PIPEDA. Podczas gdy UODO (Urzad Ochrony Danych Osobowych) może nakladac kary do 20 milionow euro lub 4% globalnego rocznego obrotu, bezposrednie sankcje w ramach PIPEDA ograniczaja sie do 100 000 CAD za naruszenia obowiązku zglaszania naruszen danych. Jednakze kanadyjski projekt ustawy C-27 ma na celu zmniejszenie tej roznicy, wprowadzajac sankcje do 10 milionow CAD lub 3% globalnych przychodow brutto.
Zgoda w ramach PIPEDA
Zgoda jest kamieniem wegielnym PIPEDA. OPC opublikowal szczegolowe wytyczne dotyczące tego, co stanowi wazna zgode:
Zgoda wyrazna a dorozumiana. Zgoda wyrazna (opt-in) jest wymagana w przypadku danych wrazliwych oraz zastosowan, ktore nie sa racjonalnie oczekiwane przez osobe. Zgoda dorozumiana może być akceptowalna w przypadku oczywistych, niewrazliwych zastosowan, takich jak uzycie adresu dostawy do dostarczenia zamowienia.
Kryteria waznosci. OPC wymaga, aby zgoda byla:
- Swiadoma: osoba musi rozumiec, na co wyrazaja zgode
- Dobrowolna: bez nadmiernej presji lub naduzywania warunkow
- Konkretna: zgoda obejmuje okreslone cele, a nie ogolne upowaznienie
- Odwolalna: osoba może wycofac zgode w dowolnym momencie
Wyjatki od zgody. PIPEDA przewiduje wyjatki, w ktorych zgoda nie jest wymagana: wykonanie wezwania sadowego lub nakazu, sytuacje zagrazajace zyciu, cele dziennikarskie, artystyczne lub literackie oraz okreslone gromadzenie danych przez strony trzecie w celu zbadania naruszen umow.
Obowiązki dotyczące polityki prywatnosci
W ramach PIPEDA polityka prywatnosci musi być dostepna, jasna i wyczerpujaca. Musi zawierac:
- Tozsamosc organizacji i dane kontaktowe inspektora ochrony prywatnosci
- Rodzaje gromadzonych danych osobowych
- Cele gromadzenia, wykorzystywania i ujawniania
- Strony trzecie, ktorym udostepniane sa informacje, i przyczyny
- Wdrozone zabezpieczenia
- Prawa indywidualne (dostep, korekta, skarga)
- Procedury wykonywania tych praw
- Okresy przechowywania danych osobowych
Obowiazkowe zglaszanie naruszen
Od listopada 2018 roku PIPEDA wymaga obowiazkowego zglaszania naruszen zabezpieczen (sekcje 10.1 do 10.3 ustawy). Gdy naruszenie stwarza realne ryzyko znaczacej szkody dla osob, musisz:
1. Powiadomic OPC. Raport musi opisywac charakter naruszenia, dotknietej informacje, liczbe zaangazowanych osob, podjete srodki i planowane srodki w celu zmniejszenia ryzyka szkody.
2. Powiadomic dotknietych osoby. Powiadomienie musi być bezposrednie (e-mail, list, rozmowa telefoniczna) i zawierac opis naruszenia, dotknietej informacje, kroki, ktore osoba może podjac w celu ochrony, oraz dane kontaktowe osoby w organizacji.
3. Powiadomic organizacje trzecie. Jesli inna organizacja może zmniejszyc ryzyko szkody (np. instytucja finansowa w przypadku wycieku danych bankowych), musisz ja rowniez powiadomic.
4. Prowadzic rejestry. Wszystkie naruszenia muszą być rejestrowane, nawet te, ktore nie stwarzaja realnego ryzyka znaczacej szkody. OPC może zazadac tego rejestru w dowolnym momencie.
Nieprzestrzeganie tych obowiazkow jest przestepstwem zagrozonym kara grzywny do 100 000 CAD.
Uprawnienia OPC i konsekwencje niezgodnosci
Office of the Privacy Commissioner bada skargi, przeprowadza audyty i publikuje ustalenia. Chociaz OPC nie ma bezposrednich uprawnien do nakladania kar w ramach PIPEDA (z wyjatkiem naruszen obowiązku zglaszania), może:
- Publikowac ustalenia wymieniajace niezgodne organizacje z nazwy
- Kierowac sprawy do Sadu Federalnego, ktory może nakazac zgodność i przyznac odszkodowanie
- Przeprowadzac audyty z inicjatywy Komisarza
- Publikowac wytyczne wplywajace na interpretacje prawa
Projekt ustawy C-27 (Digital Charter Implementation Act). Ten projekt, ktory ma zastapic PIPEDA przez Consumer Privacy Protection Act (CPPA), wprowadzilby administracyjne kary pieniezne do 10 milionow CAD lub 3% globalnych przychodow brutto. Chociaz projekt nie zostal jeszcze uchwalony, wskazuje kierunek, w jakim Kanada zmierza w zakresie egzekwowania ochrony prywatnosci.
Cztery podejscia do zgodności z PIPEDA
Zatrudnienie prawnika ds. prywatnosci
Koszt: 3000 do 10 000 CAD za kompleksowy program zgodności. Czas realizacji: 3 do 6 tygodni.
Prawnik ds. prywatnosci może przeprowadzic pelny audyt praktyk, opracowac polityke prywatnosci, ustanowic procedury obsługi wnioskow i przeszkoloc zespol. To podejscie jest zalecane dla firm przetwarzajacych duze ilosci wrazliwych danych osobowych.
Uzycie ogolnego narzedzia AI
Pozorny koszt: 0 $. Rzeczywisty koszt: luki w zgodności, ktore tworzy.
Ogolny chatbot może wygenerowac tekst przypominajacy polityke prywatnosci, ale nie może zbadac rzeczywistych przeplywow danych ani zapewnic, ze deklaracje obejmuja wszystkie dziesiec zasad PIPEDA. Roznica miedzy pozorem a rzeczywista zgodnoscia to dokladnie miejsce, w ktorym lezy ryzyko egzekwowania.
Skopiowanie darmowego szablonu
Koszt: 0 $. Ryzyko: wysokie.
Darmowe szablony sa ogolne, czesto nieaktualne i nigdy nie sa dostosowane do konkretnej dzialalnosci. Zwykle nie obejmuja obowiązku zglaszania naruszen ani specyficznych wymagan OPC.
Uzycie specjalistycznego generatora dokumentow prawnych
Koszt: 19,90 € do 49,90 € (≈ 29 do 73 CAD). Czas realizacji: ponizej 10 minut.
Specjalistyczny generator zadaje ukierunkowane pytania dotyczące firmy i tworzy polityke prywatnosci spelniajaca wymogi PIPEDA. Skaner zgodności WebLegal obejmuje wymogi PIPEDA. To podejscie oferuje najlepsza rownowage miedzy rygorystycznoscia zgodności a dostepnoscia dla wiekszosci firm internetowych.
Podsumowanie
PIPEDA naklada jasne i szczegolowe obowiązki na kanadyjskie firmy w zakresie ochrony danych osobowych. Dziesiec zasad uczciwego postepowania z informacjami, wymogi dotyczące zgody, obowiązki przejrzystosci i obowiązkowe zglaszanie naruszen tworza kompleksowe ramy, ktorych nie mozna ignorowac. W miare jak egzekwowanie prawa stopniowo sie wzmacnia, a kierunek legislacyjny zmierza ku surowszym karom, zgodność nie jest jedynie obowiazkiem prawnym — to koniecznosc operacyjna. Dzialaj teraz, aby chronic swoja firme i zaufanie klientow.
