PIPEDA, CPPA y Cookie Consent en Canadá

PIPEDA: lo básico

Comencemos con una visión general de la PIPEDA, o Ley de Protección de Datos Personales y Documentos Electrónicos. Esta ley tiene como objetivo proteger la información personal de los residentes canadienses y garantizar que se mantenga privada y segura.

Según la PIPEDA, la información personal incluye datos de identificación como el nombre, la fecha de nacimiento, la dirección IP, las cookies y otros. Se aplica a cualquier organización que recoja, revele o utilice información personal para actividades comerciales.

A través de sus diez principios, rige toda la recogida, uso y divulgación de datos privados en Canadá:

Principios rectores

Estos son los diez principios rectores de la PIPEDA:

1. 1. Responsabilidad: La organización que recoge la información será responsable de su cumplimiento. Esta responsabilidad se sigue aplicando a los datos transferidos a otro proveedor para su tratamiento.
   2. Identificación de los objetivos: La empresa debe identificar la finalidad de la recogida de datos. Por tanto, la finalidad debe quedar clara en el momento de la recogida.
   3. Consentimiento: El individuo debe ser consciente de que la información se está recogiendo y para qué se va a utilizar. Del mismo modo, los individuos deben dar primero su consentimiento.
   4. Limitación de la recogida de datos: Sólo puede recogerse la información necesaria para lograr el propósito de la organización. El proceso de recopilación también deberá ser justo y legal.
   5. Limitar el uso, la divulgación y la conservación de los datos: Una empresa no puede utilizar los datos personales para ningún otro fin que no sea el que ha revelado. Deben obtener el consentimiento adicional que exige la ley para utilizar los datos en otros ámbitos, y sólo pueden conservar la información hasta que cumpla esa finalidad.
   6. Precisión: La organización debe asegurarse de que todos los datos personales son completos y precisos, según lo necesario para sus fines.
   7. Salvaguardias: Deben tomarse las medidas adecuadas para salvaguardar la información personal y sensible.
   8. Transparencia: La organización debe poner a disposición de los usuarios las políticas y prácticas que rigen la gestión de los datos personales. Estos deben poder revisar estas prácticas antes de dar su consentimiento para compartir información.
   9. Acceso individual:Un individuo debe recibir detalles sobre la existencia, el uso y la divulgación de los datos personales si lo solicita. También tendrá acceso a los datos para poder impugnar su exactitud e integridad, si es necesario.
   10. Impugnar el cumplimiento: Los individuos pueden impugnar el cumplimiento de los principios descritos anteriormente por parte de una organización. Debe haber un papel designado dentro de la organización para abordar estas preocupaciones.

Aquí puede encontrar el texto real de la PIPEDA.

Obligaciones según la PIPEDA

Entonces, ¿qué debe hacer exactamente una empresa para cumplir con la PIPEDA?

El aspecto más importante de esta legislación es el consentimiento. Las organizaciones deben obtener el consentimiento de todas las personas antes de recopilar, utilizar o revelar cualquier información personal. Del mismo modo, deben seguir proporcionando productos y servicios incluso si una persona se niega a dar su consentimiento, a menos que los datos sean esenciales para completar la transacción.

Su organización también debe desarrollar políticas de datos claras y comprensibles que puedan suministrarse a los usuarios y demostrar el cumplimiento de la PIPEDA.

Las leyes de privacidad de datos, como la PIPEDA y la CPPA, exigen el consentimiento del usuario antes de obtener y procesar datos personales.

Derechos de los consumidores

La PIPEDA otorga amplios derechos a los consumidores en materia de privacidad de datos. Pueden preguntar por qué se recogen o utilizan sus datos y obtener acceso a esos registros específicos.

Los individuos tienen derecho a saber quién es el responsable de proteger sus datos. También pueden esperar que la organización adopte unas medidas de seguridad mínimas para mantenerlos protegidos. Si creen que sus datos privados no se han tratado correctamente, pueden reclamar a la parte correspondiente de la empresa.

PIPEDA y el consentimiento de las cookies

Dado que la PIPEDA exige que se obtenga el consentimiento de los usuarios antes de recopilar y compartir su información personal, la ley también se aplica a las cookies. Aunque esta definición sigue evolucionando, lo cierto es que las organizaciones deben obtener un claro consentimiento antes de rastrear datos.

Cuando una organización pide el consentimiento, debe indicar si esos datos serán compartidos con otra organización o con un tercero. Asimismo, deben describir por qué se recopila la información y el propósito para el que se utilizará.

Para cumplir con esta legislación, los usuarios también deben tener acceso a las normas y reglamentos de privacidad que regirán la forma en que la organización gestiona sus datos.

¿Cómo se ve esto en la práctica?

En términos sencillos, los usuarios deben tener una clara oportunidad de decir sí o no a las cookies. Debe ofrecer a los usuarios la posibilidad de elegir inmediatamente antes de que utilicen el producto o servicio, y debe explicar los términos con claridad.

¿Qué es la CPPA?

En noviembre de 2020, el gobierno canadiense introdujo la CPPA – o la Consumer Privacy Protection Act. Esta legislación es muy similar al GDPR en Europa y tiene como objetivo mejorar las protecciones bajo la PIPEDA para proteger aún más a los residentes.

Aunque los principios rectores de la PIPEDA no cambiarán, establecerá nuevas normas sobre cómo las empresas pueden recoger, utilizar y divulgar información personal. Entrará en vigor a finales de 2021 y se aplicará a todas las organizaciones que accedan a la información de los ciudadanos canadienses con fines comerciales.

Otras mejoras de este nuevo reglamento permitirán a los individuos controlar la transferencia de información personal entre organizaciones. También tendrán derecho a solicitar la eliminación de estos datos si deciden retirar su consentimiento.

Incluso si los usuarios consienten en compartir sus datos, la CPPA exigirá a las empresas que eliminen identificadores específicos -como los nombres- de los datos que poseen.

En virtud de la CPPA, el consentimiento expreso para recoger cookies se considerará el requisito por defecto. Aunque esto no significa que el consentimiento implícito a través de una notificación no sea aceptable en determinadas circunstancias, requerirá que las empresas tomen medidas adicionales para cumplirlo.

Por ejemplo, el consentimiento implícito podría funcionar si el propietario del sitio web sólo utiliza las cookies para mejorar la experiencia del usuario o recopilar datos de uso para sí mismo. Por otro lado, si las cookies recogen datos para compartirlos con terceros para desarrollar anuncios dirigidos, es probable que necesiten un consentimiento expreso previo.