Actividad comercial en Canadá
Las empresas privadas que recopilan, usan o divulgan información personal en actividades comerciales en todo el país siguen la PIPEDA.
Guía · Ley federal de Canadá
PIPEDA: la ley de privacidad de Canadá para sitios con anuncios
La PIPEDA es la ley federal que regula cómo las empresas privadas usan los datos personales en Canadá. Para los anuncios basados en el comportamiento, el Comisionado de Privacidad acepta el modelo de opt-out, pero solo con condiciones claras. Esta guía explica cuándo se aplica la ley, qué es el consentimiento significativo y cómo configurar el sitio.
- ✓Basado en las orientaciones oficiales del Comisionado de Privacidad de Canadá
- ✓Ejemplos prácticos para publicidad en línea
- ✓Lectura del sitio sin modificar nada
10principios de información justa en la base de la ley
3provincias con ley propia considerada similar: Alberta, Columbia Británica y Québec
2años de conservación obligatoria de los registros de filtraciones
2026año en que el proyecto C-36, que reforma la ley, llegó a la Cámara de los Comunes
Qué es
La ley federal que se ocupa de los datos en el sector privado
La PIPEDA (Personal Information Protection and Electronic Documents Act, o Ley de Protección de la Información Personal y los Documentos Electrónicos) es la ley federal canadiense de privacidad para el sector privado. Rige para las organizaciones que recopilan, usan o divulgan información personal durante actividades comerciales.
Información personal, para la ley, es cualquier información sobre una persona identificable. En un sitio, eso incluye los datos de formularios y también los identificadores usados para seguir la navegación y elegir anuncios.
La ley es fiscalizada por el Comisionado de Privacidad de Canadá (Office of the Privacy Commissioner, u OPC). Es quien publica las orientaciones sobre consentimiento y publicidad conductual que los editores usan como referencia.
Lista de verificación
Lo que debes cumplir
Lo que piden la PIPEDA y las orientaciones del Comisionado de Privacidad a un sitio con anuncios que recibe visitantes de Canadá.
Designa a un responsable
La empresa tiene que nombrar a alguien responsable de cumplir los principios de la ley. Publica un contacto para dudas y solicitudes.
EjemploResponsable de privacidad: María García. Contacto: privacidad@tusitio.com
Explica los anuncios de forma evidente
La OPC pide que la persona entienda con claridad qué se recopila, con quién se comparte, para qué y cuáles son los riesgos. Google también exige que la política diga que terceros, como Google, usan cookies para mostrar anuncios.
EjemploUsamos cookies nuestras y de socios, como Google, para mostrar anuncios según tus intereses. Puedes rechazarlas en cualquier momento.
Opt-out fácil, inmediato y duradero
El opt-out en anuncios solo se acepta si es fácil, de preferencia antes de la recopilación, y si vale al instante y en las próximas visitas. Los datos deben destruirse o desidentificarse lo antes posible.
EjemploEnlace fijo en el pie de página: Opciones de anuncios
Sí expreso para datos sensibles
Salud, finanzas, origen étnico, opiniones políticas, datos genéticos y biométricos, vida sexual y religión piden consentimiento expreso. Pide también un sí explícito para usos fuera de lo que la persona esperaría.
Nada de rastreo que no se pueda rechazar
Si la persona no puede rechazar la técnica, la OPC dice que no debe usarse para anuncios. Los ejemplos citados son las cookies zombi, las supercookies y la huella digital del dispositivo.
Protege a los niños
Para quien no puede dar un consentimiento significativo, pídelo a los padres o tutores, y la OPC considera que esto vale por regla general para menores de 13 años. Como buena práctica, evita rastrear a niños y a los sitios dirigidos a ellos.
Acceso y retiro del consentimiento
La persona puede saber qué datos tiene el sitio, verlos y cuestionarlos. También puede retirar el consentimiento, y la recopilación y el uso deben detenerse.
Comunica y registra las filtraciones
Una filtración con riesgo real de daño significativo debe comunicarse a la OPC y a las personas afectadas. Toda filtración tiene que quedar registrada por dos años.
En la práctica
Lo correcto y lo incorrecto
✕IncorrectoEl rastreo solo se explica en medio de la política de privacidad. ✓CorrectoUn aviso visible en la primera visita explica los anuncios y menciona a los socios. ✕IncorrectoNo hay enlace de opt-out, o desaparece en la próxima visita. ✓CorrectoUn enlace fijo en el pie de página desactiva los anuncios personalizados al instante y recuerda la elección. ✕IncorrectoEl sitio usa el interés en salud para anuncios sin preguntar nada. ✓CorrectoEl sitio pide un sí expreso antes de usar datos de salud o de finanzas para anuncios.
Herramientas oficiales
CMPs certificadas y enlaces oficiales
Google no exige una CMP certificada ni tiene un mensaje propio para Canadá, así que los enlaces de abajo muestran lo que Google pide a todo editor y lo que espera el regulador.
- Tipos de mensaje de Privacidad y mensajes (Google)Muestra que la herramienta de Google tiene mensajes para Europa y para estados de EE. UU., pero no para Canadá.support.google.com/adsense/answer/10923959
- Contenido obligatorio en la política de privacidad (Google AdSense)Lista lo que tu política tiene que decir sobre las cookies de Google y de los socios de anuncios.support.google.com/adsense/answer/1348695
- Directrices para obtener un consentimiento significativo (OPC)Lista lo que la empresa debe hacer para que el consentimiento sea válido.www.priv.gc.ca/en/privacy-topics/collecting-personal-information/consent/gl_omc_201805
- Privacidad y publicidad conductual en línea (OPC)Trae las condiciones para aceptar el opt-out en anuncios basados en intereses.priv.gc.ca/en/privacy-topics/advertising-and-marketing/behaviouraltargeted-advertising/gl_ba_1112
- Filtraciones de privacidad en tu empresa (OPC)Explica cuándo y cómo comunicar y registrar una filtración.www.priv.gc.ca/en/privacy-topics/business-privacy/breaches-and-safeguards/privacy-breaches-at-your-business/gd_pb_201810
A quién se aplica
Cuándo la PIPEDA alcanza a tu sitio
Canadá tiene leyes federales y provinciales. Entender cuál rige evita configurar mal el sitio.
Provincias con ley propia
Alberta, Columbia Británica y Québec tienen leyes del sector privado consideradas similares. Dentro de esas provincias, esas leyes suelen regir en lugar de la PIPEDA.
Datos que cruzan fronteras
Cuando los datos pasan de una provincia a otra o salen del país, la PIPEDA sigue rigiendo, incluso en esas tres provincias.
Empresas reguladas por el gobierno federal
Los bancos, las aerolíneas, las telecomunicaciones y las emisoras siguen siempre la PIPEDA, incluso para los datos de empleados.
Principios
Los 10 principios de la ley, resumidos para un sitio
El anexo 1 de la PIPEDA contiene 10 principios de información justa. Agrupados, caben en seis ideas prácticas.
Responsabilidad
La empresa es responsable de los datos que controla y debe designar a alguien que se ocupe del cumplimiento.
Finalidades y consentimiento
Indica para qué se usarán los datos antes o en el momento de la recopilación, y obtén el consentimiento adecuado.
Limitar la recopilación, el uso y la conservación
Recopila solo lo necesario, úsalo solo para lo que se informó y no lo conserves por más tiempo del necesario.
Exactitud y seguridad
Mantén los datos correctos y protegidos contra el acceso indebido.
Transparencia
Haz que tus prácticas sean fáciles de encontrar y de entender, como en una política de privacidad clara.
Acceso e impugnación
La persona puede ver sus datos, pedir su corrección y reclamar por cómo la empresa cumple la ley.
Consentimiento
Consentimiento significativo: expreso o implícito
La PIPEDA exige un consentimiento significativo. Esto significa que la persona debe entender qué está aceptando: qué datos, para qué, con quién se comparten y qué riesgos existen.
La ley acepta dos tipos de consentimiento. El expreso es un sí activo, como marcar una casilla. El implícito, u opt-out, se acepta cuando la información es poco sensible y el uso es razonablemente esperado, siempre que la persona tenga una forma fácil de rechazar.
Cuanto más sensible es el dato, más fuerte debe ser el consentimiento. El OPC espera un consentimiento expreso para los datos de salud y financieros, el origen étnico y racial, las opiniones políticas, los datos genéticos y biométricos, la vida sexual, la orientación sexual y las creencias religiosas.
La publicidad conductual tampoco puede ser una condición para usar internet o el sitio. Es decir, el visitante que rechaza el rastreo sigue teniendo acceso al contenido.
Publicidad conductual
Las condiciones del OPC para el opt-out en anuncios
Las orientaciones sobre privacidad y publicidad conductual en línea, actualizadas en diciembre de 2015, aceptan el opt-out solo cuando se cumplen todas estas condiciones.
Finalidad a la vista
El rastreo para anuncios debe explicarse de forma evidente, y no esconderse en la política de privacidad. Los banners y los avisos en capas ayudan.
Aviso en el momento justo
La persona es informada antes o en el momento de la recopilación, incluso sobre quiénes son los socios involucrados.
Opt-out fácil
Rechazar debe ser simple, de preferencia antes de que empiece la recopilación.
Efecto inmediato y duradero
El opt-out vale de inmediato y sigue valiendo en las próximas visitas.
Solo datos no sensibles
La recopilación se limita a información no sensible, siempre que sea posible.
Descarte rápido
Los datos se destruyen o se desidentifican lo antes posible.
Obligaciones del sitio
Lo que debe tener un sitio con anuncios para Canadá
- Designa a un responsableDefine quién se ocupa de la privacidad y publica un contacto para dudas y solicitudes.
- Explica los anuncios en lenguaje simpleEn la política de privacidad y en un aviso visible, cuenta que el sitio usa cookies y socios para anuncios basados en intereses, y quiénes son esos socios.
- Ofrece un opt-out que funcioneUn enlace fijo, como Opciones de privacidad o Preferencias de anuncios, que desactive el rastreo de inmediato y recuerde la elección.
- No rastrees a los niñosEl OPC recomienda evitar el rastreo de niños y de sitios dirigidos a ellos, porque el consentimiento significativo es difícil en ese caso.
- Atiende las solicitudes de accesoLa persona puede pedir ver sus datos y corregirlos. Ten una vía clara para eso.
- Registra y comunica las filtracionesLas filtraciones con riesgo real de daño significativo deben comunicarse al OPC y a las personas afectadas. Todas las filtraciones deben quedar registradas durante dos años.
Supervisión
Cómo actúa el Comisionado
El OPC recibe reclamaciones, investiga, publica conclusiones y hace recomendaciones. En la PIPEDA, el camino para obligar a una empresa a cumplir la ley pasa por el Tribunal Federal, que puede dar órdenes y conceder indemnizaciones.
Algunas conductas son delito. Incumplir a propósito las reglas de comunicación y registro de filtraciones puede llevar a multas. Y una investigación pública del OPC, incluso sin multa, suele tener un fuerte efecto en la reputación de un sitio.
El 15 de junio de 2026, el gobierno presentó en la Cámara de los Comunes el proyecto C-36, que crea la Ley de Protección de la Privacidad y de los Datos del Consumidor y modifica la PIPEDA. Hasta principios de noviembre de 2026, el proyecto estaba en segunda lectura y no había sido aprobado. Mientras tanto, la PIPEDA sigue rigiendo tal como está.
Cronología
Fechas que importan a quienes tienen visitantes canadienses
De la orientación sobre anuncios al proyecto de reforma.
- Diciembre de 2015
Orientaciones sobre publicidad conductual
El OPC actualiza las condiciones para aceptar el opt-out en anuncios basados en intereses.
- Octubre de 2018
Guía de filtraciones
El OPC publica las orientaciones sobre comunicación y registro de filtraciones de datos.
- 22 de septiembre de 2022
Québec comienza con la Ley 25
La provincia inicia la entrada en vigor de su ley en tres fases. Para los visitantes de Québec, las reglas son más estrictas.
- 15 de junio de 2026
Proyecto C-36
El proyecto de reforma de la privacidad federal se presenta en la Cámara de los Comunes.
AdSense y Ad Manager
Qué cambia en los anuncios de Google
La política de consentimiento de usuarios de la UE de Google rige para el EEE, el Reino Unido y Suiza. Canadá no está en esa lista, así que Google no exige una CMP certificada ni el mensaje del TCF para el tráfico canadiense.
Aun así, las políticas para editores de Google rigen en todo el mundo. La política de privacidad del sitio debe decir que terceros pueden guardar y leer cookies o usar web beacons y direcciones IP para servir anuncios. Y el contenido dirigido a niños no puede recibir anuncios basados en intereses.
Para cumplir la PIPEDA, el editor suele combinar tres piezas: un aviso visible sobre anuncios personalizados, un enlace de opt-out permanente y una CMP o configuración que deje de pedir anuncios personalizados para quien rechazó. Para los visitantes de Québec, la configuración debe ser más estricta por la Ley 25.
En la práctica
Qué se puede y qué no se puede para visitantes canadienses
Ejemplos basados en las orientaciones del OPC sobre consentimiento y publicidad.
Sí se puede
- Anuncios personalizados con opt-out, cuando el aviso es claro y el dato no es sensible
- Un aviso en capas que explica los anuncios desde la primera visita
- Un enlace fijo Opciones de privacidad en el pie de página
- Anuncios no personalizados para quien rechazó
- Configuración más estricta solo para los visitantes de Québec
- Política de privacidad que enumera a los socios de anuncios
No se puede
- Explicar el rastreo solo en medio de la política de privacidad
- Opt-out que desaparece en la siguiente visita o no desactiva nada
- Usar datos de salud o finanzas para anuncios sin consentimiento expreso
- Rastrear visitantes en páginas hechas para niños
- Bloquear el contenido a quien rechaza el rastreo
- Creer que la configuración europea lo resuelve todo en Canadá
En ConsentMode
Qué revisa la auditoría para visitantes de Canadá
- Abre el sitio como un visitante canadiense y muestra en una captura si existe un aviso visible sobre anuncios personalizados.
- Busca el enlace de opt-out, hace clic en él y comprueba si las etiquetas de anuncios cambian de comportamiento.
- Identifica la CMP y muestra si el mensaje cambia entre Québec, el resto de Canadá y Europa.
- Lee la política de privacidad y señala si faltan socios, cookies, contacto del responsable y forma de acceso a los datos.
- Señala contenido que parece dirigido a niños con anuncios personalizados.
Preguntas frecuentes sobre la PIPEDA
¿Necesito un banner de cookies para Canadá?
La PIPEDA no exige un banner en el formato europeo. Exige un consentimiento significativo. Para los anuncios basados en intereses, el OPC acepta el opt-out si el aviso es evidente y el opt-out es fácil, inmediato y duradero. Un aviso en capas suele ser la forma más simple de cumplirlo.
¿Cuál es la diferencia entre la PIPEDA y la Ley 25?
La PIPEDA es federal y rige en todo el país. La Ley 25 es de Québec y es más estricta, con multas administrativas altas y reglas propias para las tecnologías de rastreo. Para los visitantes de Québec, sigue la Ley 25.
¿Puede el OPC multar a mi sitio?
En la PIPEDA, el OPC investiga y recomienda, y los casos pueden llegar al Tribunal Federal. Algunas conductas, como incumplir a propósito las reglas sobre filtraciones, son delito y pueden generar multas. El proyecto C-36, todavía en trámite, propone cambiar ese modelo.
¿Google exige una CMP certificada para Canadá?
No. La exigencia de una CMP certificada con TCF rige para el EEE, el Reino Unido y Suiza. Para Canadá, valen las políticas generales de Google y la ley canadiense.
Mi sitio es brasileño. ¿Me afecta la PIPEDA?
Puede afectarte cuando el sitio tiene una relación real con el público canadiense, como contenido y anuncios dirigidos a Canadá. Ese análisis es jurídico. En la práctica, ofrecer un aviso claro y un opt-out a los visitantes canadienses es una configuración simple.
Biblioteca
Fuentes oficiales
Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:
- La PIPEDA en resumen (Comisionado de Privacidad de Canadá)www.priv.gc.ca/en/privacy-topics/privacy-laws-in-canada/the-personal-information-protection-and-electronic-documents-act-pipeda/pipeda_brief
- Orientaciones sobre privacidad y publicidad conductual en línea (OPC)priv.gc.ca/en/privacy-topics/advertising-and-marketing/behaviouraltargeted-advertising/gl_ba_1112
- Qué hacer en caso de filtración (OPC)www.priv.gc.ca/en/privacy-topics/business-privacy/breaches-and-safeguards/privacy-breaches-at-your-business/gd_pb_201810
- Proyecto de ley C-36 (LEGISinfo, Parlamento de Canadá)www.parl.ca/legisinfo/en/bill/45-1/c-36
- Políticas para editores de Googlesupport.google.com/adsense/answer/10502938
- OPC: directrices para obtener un consentimiento significativowww.priv.gc.ca/en/privacy-topics/collecting-personal-information/consent/gl_omc_201805
Comprueba lo que ve un visitante canadiense en tu sitio
La auditoría prueba el aviso, el opt-out, la CMP y la política de privacidad, y entrega un plan de corrección.