A Lei 25 do Quebec, oficialmente a Lei para modernizar as disposições legislativas em matéria de proteção de informações pessoais, transformou o panorama da privacidade da província. Adotada em setembro de 2021 e implementada em três fases (setembro de 2022, setembro de 2023 e setembro de 2024), reforçou significativamente as obrigações das empresas que recolhem informações pessoais de residentes do Quebec. Mais rigorosa do que a PIPEDA federal em muitos aspetos, a Lei 25 alinha o Quebec com os mais altos padrões internacionais em proteção de dados. Para as empresas portuguesas habituadas ao RGPD, a Lei 25 apresenta paralelos interessantes e diferenças-chave com o quadro europeu. Este guia cobre as obrigações essenciais que toda empresa a operar no Quebec deve compreender.
Âmbito de aplicação
A Lei 25 altera dois estatutos existentes: a Lei sobre a proteção de informações pessoais no setor privado e a Lei de acesso a documentos de organismos públicos. Aplica-se a qualquer empresa que recolha, detenha, utilize ou divulgue informações pessoais de residentes do Quebec, esteja ou não estabelecida no Quebec.
Alcance extraterritorial. Uma empresa sediada em Toronto, Nova Iorque, Lisboa ou Paris que oferece produtos ou serviços a consumidores do Quebec ou recolha os seus dados está sujeita à Lei 25. Este alcance extraterritorial alinha estreitamente a lei do Quebec com o RGPD europeu. Para as empresas portuguesas, isto significa que se tiverem clientes no Quebec, devem cumprir a Lei 25 além do RGPD.
Interação com o PIPEDA. Para atividades comerciais intraprovinciais no Quebec, a Lei 25 substitui o PIPEDA (a lei federal de privacidade do Canadá). No entanto, o PIPEDA continua a aplicar-se a atividades interprovinciais e internacionais. As empresas que operam tanto no Quebec como noutras províncias devem cumprir ambos os quadros regulatórios.
Responsável de privacidade obrigatório
Desde setembro de 2022, toda empresa sujeita à Lei 25 deve designar uma pessoa responsável pela proteção de informações pessoais (PRPI). Por defeito, esta responsabilidade recai sobre a pessoa com a maior autoridade na organização (diretor-geral, presidente).
Delegação. A função pode ser delegada por escrito a um colaborador ou a um terceiro. A identidade e os dados de contacto do PRPI devem ser publicados no sítio web da empresa.
Função. O PRPI supervisiona a conformidade da organização, aprova as práticas de proteção de informações pessoais, serve como ponto de contacto para queixas e pedidos de acesso e assegura o cumprimento das obrigações legais. Este papel é comparável ao do EPD (Encarregado da Proteção de Dados) no RGPD europeu. Em Portugal, a CNPD supervisiona o cumprimento da obrigação de designar um EPD.
Requisitos reforçados de consentimento
A Lei 25 reforçou significativamente os requisitos de consentimento em comparação com o regime anterior.
Consentimento manifesto, livre e informado. O consentimento deve ser prestado para finalidades específicas e solicitado separadamente para cada finalidade. Os formulários que agrupam múltiplas finalidades numa única caixa de seleção já não são conformes.
Consentimento separado para cada finalidade. Se recolhe informações para processar uma encomenda E para enviar newsletters de marketing, deve obter dois consentimentos separados. O consentimento para a transação não constitui consentimento para marketing.
Consentimento para menores. Para crianças com menos de 14 anos, o consentimento deve ser prestado pela pessoa com autoridade parental. Para os de 14 a 17 anos, o próprio consentimento do menor é suficiente, mas deve cumprir os requisitos de clareza e especificidade.
Proibição do consentimento como condição de serviço. Não pode recusar um serviço ou impor condições discriminatórias a uma pessoa que recuse consentir na recolha de informações não necessárias para a prestação do serviço.
Política de privacidade e transparência
A Lei 25 impõe requisitos precisos para as políticas de privacidade.
Conteúdo obrigatório. A sua política deve incluir:
- Dados de contacto da pessoa responsável pela proteção de informações pessoais
- Tipos de informações pessoais recolhidas
- Finalidades da recolha
- Meios de recolha
- Direitos dos titulares dos dados e como exercê-los
- Informações sobre transferências de informações pessoais para fora do Quebec
- Políticas e práticas de conservação e destruição
Acessibilidade. A política deve ser redigida em linguagem clara e simples e publicada no sítio web da empresa. A Commission d’acces a l’information du Quebec (CAI) enfatizou que políticas excessivamente longas escritas em jargão jurídico não satisfazem o requisito de clareza.
Aviso no momento da recolha. Além da política geral, deve fornecer um aviso específico no momento da recolha indicando as finalidades previstas, os meios utilizados, os direitos da pessoa e, quando aplicável, as transferências para fora do Quebec.
Avaliações de impacto sobre a privacidade (AIP)
Desde setembro de 2023, uma avaliação de impacto sobre a privacidade (AIP) é obrigatória antes de:
- Qualquer projeto de aquisição, desenvolvimento ou reformulação de um sistema de informação que envolva informações pessoais
- Qualquer divulgação de informações pessoais para fora do Quebec
A AIP deve analisar os riscos para a privacidade e propor medidas de mitigação. Não precisa de ser publicada, mas deve estar documentada e disponível para a CAI a pedido.
Direitos individuais
A Lei 25 confere aos indivíduos vários direitos fundamentais:
Direito de acesso. Qualquer pessoa pode solicitar acesso às informações pessoais que detém sobre ela. Deve responder no prazo de 30 dias.
Direito de retificação. Os indivíduos podem solicitar a correção de informações inexatas ou incompletas.
Direito à desindexação (direito ao esquecimento). Quando a difusão de informações pessoais contravém a lei ou uma ordem judicial, o indivíduo pode exigir a cessação da difusão, a desindexação por um motor de busca ou a remoção do link que fornece acesso às informações.
Direito à portabilidade. Desde setembro de 2024, os indivíduos podem solicitar a comunicação das suas informações pessoais num formato tecnológico estruturado e de uso comum, ou a sua transferência para outra organização.
Direito de revogar o consentimento. Qualquer pessoa pode revogar o consentimento a qualquer momento. A revogação produz efeitos para o futuro sem afetar a legalidade do tratamento anterior.
Notificação obrigatória de violações
A Lei 25 exige a notificação obrigatória de incidentes de confidencialidade (acesso não autorizado, utilização ou divulgação de informações pessoais, ou perda de informações pessoais).
A CAI. Deve reportar qualquer incidente que apresente um risco de dano grave para os indivíduos afetados à Commission d’acces a l’information du Quebec.
Aos indivíduos afetados. A notificação deve ser rápida e incluir uma descrição do incidente, as informações envolvidas, os passos que o indivíduo pode tomar para se proteger e os dados de contacto de alguém na sua organização.
Registo de incidentes. Deve manter um registo de todos os incidentes de confidencialidade, mesmo aqueles que não apresentem um risco de dano grave. Este registo deve ser conservado durante pelo menos cinco anos.
Sanções e aplicação
A Lei 25 introduziu significativas sanções pecuniárias administrativas (SPA) e sanções penais:
Sanções pecuniárias administrativas. A CAI pode impor SPA até 10 milhões de CAD ou 2% do volume de negócios mundial do exercício fiscal anterior, consoante o que for maior. Estas sanções são impostas diretamente pela CAI sem passar pelos tribunais.
Sanções penais. As infrações penais podem resultar em coimas de 15.000 a 25 milhões de CAD ou 4% do volume de negócios mundial. Estes montantes alinham a Lei 25 com a escala sancionatória do RGPD europeu. Para as empresas portuguesas, estas cifras são comparáveis às sanções que a CNPD pode impor.
Ação privada. Os indivíduos podem intentar ações civis por danos resultantes de uma violação da Lei 25. O tribunal pode atribuir danos punitivos de pelo menos 1.000 CAD quando a infração seja intencional ou resulte de culpa grave.
Transferências para fora do Quebec
A Lei 25 regula rigorosamente as transferências de informações pessoais para fora do Quebec. Antes de qualquer transferência, deve:
- Realizar uma avaliação de impacto sobre a privacidade
- Assegurar que a jurisdição de destino oferece proteção adequadamente equivalente
- Celebrar um acordo contratual que reja a transferência
- Publicar informações sobre a transferência na sua política de privacidade
Esta abordagem é comparável ao mecanismo das Cláusulas Contratuais Tipo (CCT) no RGPD. As empresas portuguesas que já gerem transferências internacionais ao abrigo do RGPD encontrarão estes requisitos familiares.
Quatro abordagens para a conformidade com a Lei 25
Contratar um advogado especializado
Custo: 5.000 a 15.000 CAD para um programa de conformidade abrangente. Prazo: 4 a 8 semanas.
Para empresas com fluxos de dados complexos ou transferências internacionais, um advogado de privacidade do Quebec continua a ser a opção mais completa.
Usar uma ferramenta de IA genérica
Custo aparente: 0 $. Custo real: as lacunas específicas da Lei 25 que não cobrirá.
As ferramentas de IA genéricas desconhecem os requisitos específicos da Lei 25 (PRPI, AIP, portabilidade, desindexação) e produzem políticas que podem satisfazer o PIPEDA mas não a lei do Quebec.
Copiar um modelo gratuito
Custo: 0 $. Risco: alto.
Os modelos gratuitos são geralmente redigidos para o PIPEDA ou o RGPD, não para a Lei 25. Omitem os requisitos específicos do Quebec.
Usar um gerador especializado de documentos legais
Custo: 19,90 € a 49,90 € (≈ 29 a 73 CAD). Prazo: menos de 10 minutos.
Um gerador especializado que integre os requisitos da Lei 25 produz políticas de privacidade adaptadas ao quadro do Quebec, incluindo as menções obrigatórias do PRPI, os direitos de portabilidade e as disposições de desindexação.
Conclusão
Verifique a sua conformidade com a Lei 25 através do nosso scanner de conformidade gratuito que abrange as regulamentações canadianas.
A Lei 25 colocou o Quebec na vanguarda da proteção de informações pessoais na América do Norte. Com sanções que atingem 25 milhões de CAD ou 4% do volume de negócios global, as consequências da não conformidade são potencialmente devastadoras. Designar um PRPI, atualizar a sua política de privacidade, realizar AIP e estabelecer procedimentos de notificação de incidentes já não são opcionais — são obrigações legais. Cada dia sem conformidade é um dia de exposição desnecessária ao risco regulatório.
