Abrir workspace

Guia · Lei do Québec

Lei 25 do Québec: privacidade mais rígida para quem tem anúncios

A Lei 25 modernizou a proteção de dados no Québec e trouxe regras próprias para tecnologias que identificam, localizam ou criam perfis de pessoas, como cookies de anúncios. Este guia mostra o que mudou em cada fase, o que a lei pede de um site e quanto custa errar.

Auditar meu site agoraLer o guia
  • ✓Baseado na lei do Québec e nos documentos da Commission d'accès à l'information
  • ✓Exemplos práticos para cookies e anúncios
  • ✓Leitura do site sem alterar nada
3fases de entrada em vigor, de 2022 a 2024
10 midólares canadenses, teto da sanção administrativa para empresas
2%do faturamento mundial, quando esse valor for maior que 10 milhões
2023ano em que a maior parte das obrigações passou a valer

O que é

A lei que reformou a privacidade no Québec

A Lei 25 é o nome popular da lei do Québec que modernizou as regras de proteção de informações pessoais. Ela foi adotada em setembro de 2021 e alterou várias leis, entre elas a Lei sobre a proteção das informações pessoais no setor privado, que vale para as empresas.

O Québec é uma das províncias canadenses com lei própria para o setor privado. Por isso, para visitantes e clientes do Québec, a Lei 25 costuma ser a regra principal, e não a PIPEDA federal.

Quem fiscaliza é a Commission d'accès à l'information (CAI). Com a Lei 25, a CAI ganhou mais poderes, inclusive o de aplicar sanções administrativas em dinheiro.

A lei é mais próxima do GDPR europeu do que a PIPEDA. Ela pede consentimento claro, transparência, avaliação de riscos e uma pessoa responsável pela proteção de dados dentro da empresa.

Checklist

O que você precisa cumprir

O que a lei do setor privado do Québec pede de um site com anúncios que recebe visitantes da província.

  1. Avise sobre o rastreamento e deixe a pessoa ativar

    Antes de coletar dados com tecnologia que identifica, localiza ou cria perfis, informe que usa essa tecnologia e quais meios existem para ativar essas funções. Com tags do Google, o Consent Mode pode começar negado só para o Québec.

    Exemplo

    Usamos cookies que criam um perfil dos seus interesses para anúncios. Eles só funcionam se você ativar.

    gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'wait_for_update': 500,
  'region': ['CA-QC']
});

  2. Consentimento de qualidade

    O consentimento precisa ser manifesto, livre, esclarecido e dado para finalidades específicas. Peça em termos simples e claros, separado de outras informações.

    Exemplo

    Anúncios personalizados: Ativar ou Não ativar. Medição de audiência: Ativar ou Não ativar.

  3. Sim expresso para dados sensíveis

    Quando a informação é sensível, como saúde ou finanças, o consentimento precisa ser dado de forma expressa.

  4. Política de confidencialidade no site

    Quem coleta dados por meio tecnológico deve publicar uma política de confidencialidade em termos simples e claros. O Google também exige que ela diga que terceiros, como o Google, usam cookies para mostrar anúncios.

  5. Título e contato do responsável publicados

    O título e o contato da pessoa responsável pela proteção das informações pessoais devem ser publicados, por exemplo no site.

    Exemplo

    Responsável pela proteção das informações pessoais: Diretora-geral. Contato: privacidade@seusite.com

  6. Menores de 14 anos

    Informações de um menor de 14 anos não podem ser coletadas dele sem o consentimento de quem tem a autoridade parental, salvo quando a coleta é claramente em benefício dele.

  7. Responda em até 30 dias

    Pedidos de acesso ou de correção devem ser respondidos por escrito em até 30 dias. Sem resposta nesse prazo, o pedido é considerado recusado.

  8. Incidentes com risco sério

    Se um incidente de confidencialidade apresenta risco de dano sério, a empresa deve avisar a CAI com diligência.

Na prática

Certo e errado

Ferramentas oficiais

CMPs certificadas e links oficiais

O Google não exige CMP certificada nem tem mensagem própria para o Québec, então a configuração fica com o editor e estes são os links oficiais de referência.

A quem se aplica

Quando a Lei 25 alcança o seu site

A lei olha para empresas que coletam, guardam, usam ou comunicam informações pessoais de pessoas no Québec.

Empresas no Québec

Qualquer empresa que opera no Québec segue a lei, de qualquer tamanho.

Empresas de fora com público no Québec

Sites de outras províncias ou de outros países que fazem negócio com moradores do Québec podem ser alcançados. Essa análise é jurídica.

Informação pessoal

Qualquer informação sobre uma pessoa física que permita identificá-la, direta ou indiretamente, como identificadores usados para anúncios.

Tecnologias de rastreamento

Ferramentas que identificam, localizam ou criam perfis de pessoas têm regras próprias, que atingem diretamente cookies e tags de publicidade.

Linha do tempo

As três fases da Lei 25

A entrada em vigor foi escalonada em três anos, a partir de 22 de setembro de 2022.

  1. Setembro de 2021

    Lei adotada

    A Assembleia Nacional do Québec aprova a lei que moderniza a proteção de informações pessoais.

  2. 22 de setembro de 2022

    Primeira fase

    Começam a valer a figura do responsável pela proteção das informações pessoais e as regras sobre incidentes de confidencialidade.

  3. 22 de setembro de 2023

    Segunda fase, a maior

    Entram em vigor a maior parte das obrigações: consentimento, política de confidencialidade, tecnologias de rastreamento, avaliações de impacto e os novos poderes da CAI, incluindo as sanções administrativas.

  4. 22 de setembro de 2024

    Terceira fase

    Passa a valer o direito à portabilidade, que permite à pessoa receber os seus dados em formato tecnológico estruturado e de uso comum.

Cookies e rastreamento

Tecnologias que identificam, localizam ou criam perfis

O artigo 8.1 da lei do setor privado diz que, antes de coletar informações com uma tecnologia capaz de identificar, localizar ou criar o perfil de uma pessoa, a empresa precisa informar que usa essa tecnologia e quais meios existem para ativar essas funções.

Perfil, para a lei, é usar informações pessoais para avaliar características da pessoa, como situação econômica, saúde, preferências ou interesses. É exatamente o que fazem os cookies de publicidade personalizada.

A lei fala em meios para ativar essas funções. A leitura mais comum é que elas começam desligadas e só passam a funcionar quando a pessoa escolhe ativá-las. Por isso, para visitantes do Québec, o modelo mais seguro é parecido com o europeu: anúncios personalizados só depois de um sim.

Existe ainda o artigo 9.1, que exige o nível mais alto de confidencialidade por padrão em produtos e serviços tecnológicos com parâmetros de privacidade. O próprio artigo exclui desse ponto os parâmetros de cookies, que continuam cobertos pelas regras de transparência e de consentimento.

Consentimento

Como deve ser o consentimento na Lei 25

A lei exige um consentimento de qualidade, pedido para cada finalidade e em termos simples.

Manifesto

A vontade da pessoa precisa ficar clara. Silêncio ou inação não bastam.

Livre e esclarecido

A pessoa escolhe sem pressão e entende o que está aceitando.

Para finalidades específicas

O pedido é feito para cada finalidade, separado de outras informações, em linguagem simples e clara.

Expresso para dados sensíveis

Informações sensíveis, como saúde ou dados financeiros, pedem consentimento expresso.

Obrigações do site

O que a empresa precisa ter no lugar

Além do banner, a Lei 25 pede estrutura e documentos.

Responsável pela proteção de dados

Por padrão, é a pessoa com a mais alta autoridade na empresa. A função pode ser delegada por escrito, e o cargo e o contato devem ser publicados no site.

Política de confidencialidade

Quem coleta dados por meio tecnológico deve publicar no site uma política de confidencialidade em termos simples e claros.

Avaliação de impacto

Projetos de sistemas que envolvem informações pessoais, e transferências de dados para fora do Québec, exigem uma avaliação dos fatores relativos à vida privada.

Incidentes de confidencialidade

Incidentes que apresentem risco de dano sério devem ser comunicados à CAI e às pessoas afetadas, e todos devem ficar registrados.

Regras de governança

A empresa adota regras internas sobre guarda e destruição de dados, papéis e responsabilidades, e tratamento de reclamações.

Guarda e destruição

Quando a finalidade acaba, os dados são destruídos ou anonimizados conforme a lei.

Direitos

O que a pessoa pode pedir

A Lei 25 ampliou os direitos de quem tem dados tratados por empresas.

Acesso e retificação

Ver os dados guardados e pedir a correção do que estiver errado.

Retirar o consentimento

Mudar de ideia a qualquer momento sobre usos que dependem de consentimento.

Desindexação

Pedir que uma informação deixe de ser difundida ou que um link com o nome da pessoa deixe de levar a ela, em certas condições.

Portabilidade

Desde 22 de setembro de 2024, receber os dados em formato estruturado e de uso comum.

Fiscalização e sanções

A CAI pode aplicar multas altas

Desde a segunda fase, a CAI pode aplicar sanções administrativas pecuniárias. Para empresas, o valor máximo é de 10 milhões de dólares canadenses ou 2% do faturamento mundial do exercício anterior, o que for maior. Para pessoas físicas, o teto é de 50 mil dólares.

Em maio de 2023, a CAI publicou um quadro geral com os critérios que usa para decidir quando aplicar a sanção e de quanto, e quando preferir a via penal. Casos mais graves podem seguir por esse caminho, com multas próprias.

A lei também dá às pessoas mais força para buscar reparação na Justiça. Para um site com anúncios, o risco prático vem de três lados: reclamações de visitantes, investigação da CAI e efeito na reputação.

AdSense e Ad Manager

O que muda nos anúncios do Google

O Google não exige CMP certificada nem a mensagem do TCF para o Canadá. A política de consentimento de usuários da UE vale só para o EEE, o Reino Unido e a Suíça. Ou seja, a configuração para o Québec é responsabilidade do editor.

Na prática, muitos editores usam a CMP para mostrar ao Québec uma mensagem com escolha clara antes dos anúncios personalizados. Para quem recusa, o site pode pedir anúncios não personalizados nas tags do Google, mantendo parte da receita.

As políticas para editores do Google continuam valendo: a política de privacidade precisa explicar que terceiros gravam e leem cookies para servir anúncios, e conteúdo voltado a crianças não pode receber anúncios baseados em interesses.

Na prática

O que pode e o que não pode para visitantes do Québec

Exemplos de configurações que aparecem em sites com anúncios.

Pode

  • Mostrar uma mensagem de consentimento só para visitantes do Québec
  • Deixar desligadas as funções de perfil até a pessoa ativar
  • Servir anúncios não personalizados para quem não aceitou
  • Publicar o cargo e o contato do responsável pela proteção de dados
  • Ter uma política de confidencialidade em francês claro e simples
  • Um link fixo para mudar as escolhas a qualquer momento

Não pode

  • Ativar cookies de perfil antes de qualquer escolha
  • Aviso que só diz que o site usa cookies, sem opção de ativar ou não
  • Juntar todas as finalidades num único sim
  • Política de confidencialidade escondida ou só em outro idioma
  • Usar dados de saúde para anúncios sem consentimento expresso
  • Tratar o Québec com a mesma configuração do resto do Canadá sem avaliar a lei

No ConsentMode

O que a auditoria confere para visitantes do Québec

  • Abre o site como um visitante do Québec e mostra em print se há mensagem de consentimento e quais opções ela oferece.
  • Confere se cookies e tags de anúncios personalizados carregam antes da escolha.
  • Identifica a CMP e compara a mensagem do Québec com a do resto do Canadá e a da Europa.
  • Lê a política de confidencialidade e aponta se faltam o responsável, as tecnologias de rastreamento e os parceiros.
  • Entrega um plano de correção em ordem de prioridade, sem substituir a análise jurídica.
Fazer uma auditoriaVer tudo o que é conferido

Perguntas frequentes sobre a Lei 25

Preciso de um banner de cookies para o Québec?

A lei pede que a pessoa seja informada e tenha meios para ativar as funções de identificação, localização e perfil. Na prática, a forma mais simples de cumprir isso é uma mensagem de consentimento com as funções de perfil desligadas por padrão.

Os cookies de análise também entram?

Depende do que eles fazem. Se identificam ou criam perfil da pessoa, entram no artigo 8.1. Medições agregadas e sem perfil têm risco menor. Vale avaliar cada ferramenta com o jurídico.

Qual é a multa máxima?

A sanção administrativa da CAI para empresas chega a 10 milhões de dólares canadenses ou 2% do faturamento mundial do ano anterior, o que for maior. A via penal tem multas próprias.

Posso usar a mesma configuração do GDPR?

Ela costuma atender boa parte da Lei 25, porque também pede um sim antes do rastreamento. Mas a mensagem do TCF europeu não é exigida no Québec, e a política de confidencialidade precisa citar a lei e o responsável local.

O ConsentMode substitui a avaliação de impacto?

Não. A auditoria mostra o que o site faz para um visitante do Québec, com prints e um plano de correção. A avaliação de impacto e a análise jurídica continuam com a sua equipe.

Biblioteca

Fontes oficiais

Este guia foi escrito a partir destas páginas oficiais. Leia direto na fonte:

Veja o seu site como um visitante do Québec vê

A auditoria confere mensagem, cookies, CMP e política de confidencialidade, e mostra o que corrigir.

Começar a auditoria