Empresas en Quebec
Cualquier empresa que opera en Quebec cumple la ley, de cualquier tamaño.
Guía · Ley de Quebec
Ley 25 de Quebec: privacidad más estricta para quienes tienen anuncios
La Ley 25 modernizó la protección de datos en Quebec y trajo reglas propias para las tecnologías que identifican, localizan o crean perfiles de personas, como las cookies de anuncios. Esta guía muestra qué cambió en cada fase, qué pide la ley a un sitio y cuánto cuesta equivocarse.
- ✓Basado en la ley de Québec y en los documentos de la Commission d'accès à l'information
- ✓Ejemplos prácticos para cookies y anuncios
- ✓Lectura del sitio sin modificar nada
3fases de entrada en vigor, de 2022 a 2024
10 midólares canadienses, tope de la sanción administrativa para empresas
2%de la facturación mundial, cuando ese valor sea mayor que 10 millones
2023año en que entró en vigor la mayor parte de las obligaciones
Qué es
La ley que reformó la privacidad en Quebec
La Ley 25 es el nombre popular de la ley de Quebec que modernizó las reglas de protección de la información personal. Se adoptó en septiembre de 2021 y modificó varias leyes, entre ellas la Ley sobre la protección de la información personal en el sector privado, que se aplica a las empresas.
Quebec es una de las provincias canadienses con ley propia para el sector privado. Por eso, para los visitantes y clientes de Quebec, la Ley 25 suele ser la regla principal, y no la PIPEDA federal.
Quien fiscaliza es la Commission d'accès à l'information (CAI). Con la Ley 25, la CAI ganó más poderes, incluido el de aplicar sanciones administrativas en dinero.
La ley se parece más al GDPR europeo que la PIPEDA. Pide consentimiento claro, transparencia, evaluación de riesgos y una persona responsable de la protección de datos dentro de la empresa.
Lista de verificación
Lo que debes cumplir
Lo que pide la ley del sector privado de Quebec a un sitio con anuncios que recibe visitantes de la provincia.
Avisa del rastreo y deja que la persona lo active
Antes de recopilar datos con una tecnología que identifica, localiza o crea perfiles, informa que usas esa tecnología y qué medios existen para activar esas funciones. Con etiquetas de Google, el Consent Mode puede empezar denegado solo para Quebec.
EjemploUsamos cookies que crean un perfil de tus intereses para anuncios. Solo funcionan si las activas.
gtag('consent', 'default', { 'ad_storage': 'denied', 'ad_user_data': 'denied', 'ad_personalization': 'denied', 'wait_for_update': 500, 'region': ['CA-QC'] });Consentimiento de calidad
El consentimiento tiene que ser manifiesto, libre, informado y dado para finalidades específicas. Pídelo en términos simples y claros, separado de otra información.
EjemploAnuncios personalizados: Activar o No activar. Medición de audiencia: Activar o No activar.
Sí expreso para datos sensibles
Cuando la información es sensible, como salud o finanzas, el consentimiento tiene que darse de forma expresa.
Política de confidencialidad en el sitio
Quien recopila datos por medios tecnológicos debe publicar una política de confidencialidad en términos simples y claros. Google también exige que diga que terceros, como Google, usan cookies para mostrar anuncios.
Título y contacto del responsable publicados
El título y el contacto de la persona responsable de la protección de la información personal deben publicarse, por ejemplo en el sitio.
EjemploResponsable de la protección de la información personal: Directora general. Contacto: privacidad@tusitio.com
Menores de 14 años
No se puede recopilar información de un menor de 14 años sin el consentimiento de quien tiene la autoridad parental, salvo cuando la recopilación es claramente en beneficio del menor.
Responde en un máximo de 30 días
Las solicitudes de acceso o de corrección deben responderse por escrito en un máximo de 30 días. Sin respuesta en ese plazo, la solicitud se considera rechazada.
Incidentes con riesgo serio
Si un incidente de confidencialidad presenta un riesgo de daño serio, la empresa debe avisar a la CAI con diligencia.
En la práctica
Lo correcto y lo incorrecto
✕IncorrectoTodo viene activado y la persona tiene que buscar dónde desactivarlo. ✓CorrectoLos anuncios personalizados empiezan desactivados y la persona elige activarlos. ✕IncorrectoLas etiquetas crean perfiles antes de que la persona vea cualquier aviso. ✓CorrectoPara Quebec, las etiquetas de anuncios personalizados esperan la elección del visitante. ✕IncorrectoLa política es larga, vaga y no dice quién responde por los datos. ✓CorrectoLa política de confidencialidad es simple, clara y trae el contacto del responsable.
Herramientas oficiales
CMPs certificadas y enlaces oficiales
Google no exige una CMP certificada ni tiene un mensaje propio para Quebec, así que la configuración queda a cargo del editor y estos son los enlaces oficiales de referencia.
- Ley sobre la protección de la información personal en el sector privado (LégisQuébec)Texto oficial de la ley, con los artículos sobre consentimiento, rastreo y política de confidencialidad.www.legisquebec.gouv.qc.ca/fr/document/lc/P-39.1
- Entrada en vigor de las nuevas reglas de la Ley 25 (Gobierno de Quebec)Anuncio oficial de las reglas que empezaron a valer en septiembre de 2023.www.quebec.ca/nouvelles/actualites/details/entree-en-vigueur-des-nouvelles-dispositions-de-la-loi-25-50723
- Tipos de mensaje de Privacidad y mensajes (Google)Muestra que la herramienta de Google tiene mensajes para Europa y para estados de EE. UU., pero no para Quebec.support.google.com/adsense/answer/10923959
- Configurar el Consent Mode (Google para desarrolladores)Muestra cómo dejar el consentimiento denegado por defecto solo en una región, como Quebec.developers.google.com/tag-platform/security/guides/consent
- Contenido obligatorio en la política de privacidad (Google AdSense)Lista lo que tu política tiene que decir sobre las cookies de Google y de los socios de anuncios.support.google.com/adsense/answer/1348695
A quién se aplica
Cuándo la Ley 25 alcanza a tu sitio
La ley se fija en las empresas que recopilan, guardan, usan o comunican información personal de personas en Quebec.
Empresas de fuera con público en Quebec
Los sitios de otras provincias o de otros países que hacen negocios con residentes de Quebec pueden quedar alcanzados. Ese análisis es jurídico.
Información personal
Cualquier información sobre una persona física que permita identificarla, directa o indirectamente, como los identificadores usados para anuncios.
Tecnologías de rastreo
Las herramientas que identifican, localizan o crean perfiles de personas tienen reglas propias, que alcanzan directamente a las cookies y etiquetas de publicidad.
Cronología
Las tres fases de la Ley 25
La entrada en vigor fue escalonada en tres años, a partir del 22 de septiembre de 2022.
- Septiembre de 2021
Ley adoptada
La Asamblea Nacional de Quebec aprueba la ley que moderniza la protección de la información personal.
- 22 de septiembre de 2022
Primera fase
Empiezan a regir la figura del responsable de la protección de la información personal y las reglas sobre incidentes de confidencialidad.
- 22 de septiembre de 2023
Segunda fase, la mayor
Entran en vigor la mayor parte de las obligaciones: consentimiento, política de confidencialidad, tecnologías de rastreo, evaluaciones de impacto y los nuevos poderes de la CAI, incluidas las sanciones administrativas.
- 22 de septiembre de 2024
Tercera fase
Pasa a regir el derecho a la portabilidad, que permite a la persona recibir sus datos en un formato tecnológico estructurado y de uso común.
Cookies y rastreo
Tecnologías que identifican, localizan o crean perfiles
El artículo 8.1 de la ley del sector privado dice que, antes de recopilar información con una tecnología capaz de identificar, localizar o crear el perfil de una persona, la empresa debe informar que usa esa tecnología y qué medios existen para activar esas funciones.
Perfil, para la ley, es usar información personal para evaluar características de la persona, como su situación económica, su salud, sus preferencias o sus intereses. Es exactamente lo que hacen las cookies de publicidad personalizada.
La ley habla de medios para activar esas funciones. La lectura más común es que empiezan desactivadas y solo funcionan cuando la persona elige activarlas. Por eso, para los visitantes de Quebec, el modelo más seguro es parecido al europeo: anuncios personalizados solo después de un sí.
Existe además el artículo 9.1, que exige el nivel más alto de confidencialidad por defecto en productos y servicios tecnológicos con parámetros de privacidad. El propio artículo excluye de este punto los parámetros de cookies, que siguen cubiertos por las reglas de transparencia y de consentimiento.
Consentimiento
Cómo debe ser el consentimiento en la Ley 25
La ley exige un consentimiento de calidad, solicitado para cada finalidad y en términos sencillos.
Manifiesto
La voluntad de la persona debe quedar clara. El silencio o la inacción no bastan.
Libre e informado
La persona elige sin presión y entiende lo que está aceptando.
Para finalidades específicas
La solicitud se hace para cada finalidad, separada de otras informaciones, en un lenguaje sencillo y claro.
Expreso para datos sensibles
La información sensible, como la salud o los datos financieros, requiere consentimiento expreso.
Obligaciones del sitio
Qué debe tener la empresa en su lugar
Además del banner, la Ley 25 pide estructura y documentos.
Responsable de la protección de datos
Por defecto, es la persona con la más alta autoridad en la empresa. La función puede delegarse por escrito, y el cargo y el contacto deben publicarse en el sitio.
Política de confidencialidad
Quien recopila datos por medios tecnológicos debe publicar en el sitio una política de confidencialidad en términos sencillos y claros.
Evaluación de impacto
Los proyectos de sistemas que involucran información personal, y las transferencias de datos fuera de Quebec, exigen una evaluación de los factores relativos a la vida privada.
Incidentes de confidencialidad
Los incidentes que presenten riesgo de daño grave deben comunicarse a la CAI y a las personas afectadas, y todos deben quedar registrados.
Reglas de gobernanza
La empresa adopta reglas internas sobre conservación y destrucción de datos, funciones y responsabilidades, y tratamiento de reclamaciones.
Conservación y destrucción
Cuando termina la finalidad, los datos se destruyen o se anonimizan conforme a la ley.
Derechos
Qué puede pedir la persona
La Ley 25 amplió los derechos de quienes tienen sus datos tratados por empresas.
Acceso y rectificación
Ver los datos guardados y pedir la corrección de lo que esté mal.
Retirar el consentimiento
Cambiar de opinión en cualquier momento sobre usos que dependen del consentimiento.
Desindexación
Pedir que una información deje de difundirse o que un enlace con el nombre de la persona deje de llevar a ella, bajo ciertas condiciones.
Portabilidad
Desde el 22 de septiembre de 2024, recibir los datos en un formato estructurado y de uso común.
Supervisión y sanciones
La CAI puede aplicar multas altas
Desde la segunda fase, la CAI puede aplicar sanciones administrativas pecuniarias. Para las empresas, el valor máximo es de 10 millones de dólares canadienses o el 2% de la facturación mundial del ejercicio anterior, lo que sea mayor. Para las personas físicas, el tope es de 50 mil dólares.
En mayo de 2023, la CAI publicó un marco general con los criterios que usa para decidir cuándo aplicar la sanción y de cuánto, y cuándo preferir la vía penal. Los casos más graves pueden seguir ese camino, con multas propias.
La ley también da a las personas más fuerza para buscar reparación en los tribunales. Para un sitio con anuncios, el riesgo práctico viene de tres lados: reclamaciones de visitantes, investigación de la CAI y efecto en la reputación.
AdSense y Ad Manager
Qué cambia en los anuncios de Google
Google no exige una CMP certificada ni el mensaje del TCF para Canadá. La política de consentimiento de usuarios de la UE se aplica solo al EEE, el Reino Unido y Suiza. Es decir, la configuración para Quebec es responsabilidad del editor.
En la práctica, muchos editores usan la CMP para mostrar a Quebec un mensaje con una elección clara antes de los anuncios personalizados. Para quien rechaza, el sitio puede solicitar anuncios no personalizados en las etiquetas de Google, conservando parte de los ingresos.
Las políticas de Google para editores siguen vigentes: la política de privacidad debe explicar que terceros guardan y leen cookies para mostrar anuncios, y el contenido dirigido a niños no puede recibir anuncios basados en intereses.
En la práctica
Qué se puede y qué no para visitantes de Quebec
Ejemplos de configuraciones que aparecen en sitios con anuncios.
Sí se puede
- Mostrar un mensaje de consentimiento solo a los visitantes de Quebec
- Dejar desactivadas las funciones de perfilado hasta que la persona las active
- Mostrar anuncios no personalizados a quien no aceptó
- Publicar el cargo y el contacto del responsable de la protección de datos
- Tener una política de confidencialidad en francés claro y sencillo
- Un enlace fijo para cambiar las elecciones en cualquier momento
No se puede
- Activar cookies de perfilado antes de cualquier elección
- Aviso que solo dice que el sitio usa cookies, sin opción de activarlas o no
- Juntar todas las finalidades en un único sí
- Política de confidencialidad escondida o solo en otro idioma
- Usar datos de salud para anuncios sin consentimiento expreso
- Tratar a Quebec con la misma configuración que el resto de Canadá sin evaluar la ley
En ConsentMode
Qué revisa la auditoría para visitantes de Quebec
- Abre el sitio como un visitante de Quebec y muestra en una captura si hay un mensaje de consentimiento y qué opciones ofrece.
- Comprueba si las cookies y las etiquetas de anuncios personalizados se cargan antes de la elección.
- Identifica la CMP y compara el mensaje de Quebec con el del resto de Canadá y el de Europa.
- Lee la política de confidencialidad y señala si faltan el responsable, las tecnologías de rastreo y los socios.
- Entrega un plan de corrección en orden de prioridad, sin sustituir el análisis jurídico.
Preguntas frecuentes sobre la Ley 25
¿Necesito un banner de cookies para Quebec?
La ley pide que la persona esté informada y tenga medios para activar las funciones de identificación, localización y perfilado. En la práctica, la forma más sencilla de cumplirlo es un mensaje de consentimiento con las funciones de perfilado desactivadas por defecto.
¿Las cookies de análisis también entran?
Depende de lo que hagan. Si identifican o crean un perfil de la persona, entran en el artículo 8.1. Las mediciones agregadas y sin perfil tienen menor riesgo. Conviene evaluar cada herramienta con el área jurídica.
¿Cuál es la multa máxima?
La sanción administrativa de la CAI para empresas llega a 10 millones de dólares canadienses o al 2% de la facturación mundial del año anterior, lo que sea mayor. La vía penal tiene multas propias.
¿Puedo usar la misma configuración del GDPR?
Suele cubrir buena parte de la Ley 25, porque también pide un sí antes del rastreo. Pero el mensaje del TCF europeo no se exige en Quebec, y la política de confidencialidad debe citar la ley y al responsable local.
¿ConsentMode sustituye la evaluación de impacto?
No. La auditoría muestra lo que hace el sitio para un visitante de Quebec, con capturas y un plan de corrección. La evaluación de impacto y el análisis jurídico siguen a cargo de tu equipo.
Biblioteca
Fuentes oficiales
Esta guía se escribió a partir de estas páginas oficiales. Léelas directo en la fuente:
- Ley sobre la protección de la información personal en el sector privado (LégisQuébec)www.legisquebec.gouv.qc.ca/fr/document/lc/P-39.1
- Entrada en vigor de las nuevas disposiciones de la Ley 25 (Gobierno de Quebec)www.quebec.ca/nouvelles/actualites/details/entree-en-vigueur-des-nouvelles-dispositions-de-la-loi-25-50723
- Marco general de las sanciones administrativas pecuniarias (CAI)www.cai.gouv.qc.ca/uploads/Actualit%C3%A9s/2023-05-23_DOC-1.pdf
- Política de consentimiento de usuarios de la UE (Google)www.google.com/about/company/user-consent-policy
- Google AdSense: tipos de mensaje disponibles en Privacidad y mensajessupport.google.com/adsense/answer/10923959
- Google para desarrolladores: configurar el Consent Modedevelopers.google.com/tag-platform/security/guides/consent
Mira tu sitio como lo ve un visitante de Quebec
La auditoría revisa el mensaje, las cookies, la CMP y la política de confidencialidad, y muestra qué corregir.