Abrir workspace

Guia · Lei federal do Canadá

PIPEDA: a lei de privacidade do Canadá para sites com anúncios

A PIPEDA é a lei federal que regula como empresas privadas usam dados pessoais no Canadá. Para anúncios baseados em comportamento, o Comissário de Privacidade aceita o modelo de opt-out, mas só com condições claras. Este guia explica quando a lei se aplica, o que é consentimento significativo e como configurar o site.

Auditar meu site agoraLer o guia
  • ✓Baseado nas orientações oficiais do Comissário de Privacidade do Canadá
  • ✓Exemplos práticos para publicidade online
  • ✓Leitura do site sem alterar nada
10princípios de informação justa na base da lei
3províncias com lei própria considerada semelhante: Alberta, Colúmbia Britânica e Québec
2anos de guarda obrigatória dos registros de vazamentos
2026ano em que o projeto C-36, que reforma a lei, chegou à Câmara dos Comuns

O que é

A lei federal que cuida dos dados no setor privado

A PIPEDA (Personal Information Protection and Electronic Documents Act, ou Lei de Proteção de Informações Pessoais e Documentos Eletrônicos) é a lei federal canadense de privacidade para o setor privado. Ela vale para organizações que coletam, usam ou divulgam informações pessoais durante atividades comerciais.

Informação pessoal, para a lei, é qualquer informação sobre uma pessoa identificável. Em um site, isso inclui dados de formulários e também identificadores usados para acompanhar a navegação e escolher anúncios.

A lei é fiscalizada pelo Comissário de Privacidade do Canadá (Office of the Privacy Commissioner, ou OPC). É ele quem publica as orientações sobre consentimento e publicidade comportamental que os editores usam como referência.

Checklist

O que você precisa cumprir

O que a PIPEDA e as orientações do Comissário de Privacidade pedem de um site com anúncios que recebe visitantes do Canadá.

  1. Indique um responsável

    A empresa precisa nomear alguém responsável por cumprir os princípios da lei. Publique um contato para dúvidas e pedidos.

    Exemplo

    Responsável pela privacidade: João Souza. Contato: privacidade@seusite.com

  2. Explique os anúncios de forma evidente

    O OPC pede que a pessoa entenda de forma clara o que é coletado, com quem é compartilhado, para quê e quais os riscos. O Google também exige que a política diga que terceiros, como o Google, usam cookies para mostrar anúncios.

    Exemplo

    Usamos cookies nossos e de parceiros, como o Google, para mostrar anúncios com base nos seus interesses. Você pode recusar a qualquer momento.

  3. Opt-out fácil, imediato e duradouro

    O opt-out em anúncios só é aceito se for fácil, de preferência antes da coleta, e se valer na hora e nas próximas visitas. Os dados devem ser destruídos ou desidentificados assim que possível.

    Exemplo

    Link fixo no rodapé: Escolhas de anúncios

  4. Sim expresso para dados sensíveis

    Saúde, finanças, origem étnica, opiniões políticas, dados genéticos e biométricos, vida sexual e religião pedem consentimento expresso. Peça também um sim explícito para usos fora do que a pessoa esperaria.

  5. Nada de rastreamento que não se pode recusar

    Se a pessoa não consegue recusar a técnica, o OPC diz que ela não deve ser usada para anúncios. Os exemplos citados são cookies zumbis, supercookies e impressão digital do aparelho.

  6. Proteja as crianças

    Para quem não consegue dar consentimento significativo, peça aos pais ou responsáveis, e o OPC considera que isso vale em regra para menores de 13 anos. Como boa prática, evite rastrear crianças e sites voltados a elas.

  7. Acesso e retirada do consentimento

    A pessoa pode saber quais dados o site tem, ver e contestar esses dados. Ela também pode retirar o consentimento, e a coleta e o uso devem parar.

  8. Comunique e registre vazamentos

    Vazamento com risco real de dano significativo deve ser comunicado ao OPC e às pessoas afetadas. Todo vazamento precisa ficar registrado por dois anos.

Na prática

Certo e errado

Ferramentas oficiais

CMPs certificadas e links oficiais

O Google não exige CMP certificada nem tem mensagem própria para o Canadá, então os links abaixo mostram o que o Google pede de todo editor e o que o regulador espera.

A quem se aplica

Quando a PIPEDA alcança o seu site

O Canadá tem leis federais e provinciais. Entender qual vale evita configurar o site errado.

Atividade comercial no Canadá

Empresas privadas que coletam, usam ou divulgam informações pessoais em atividades comerciais em todo o país seguem a PIPEDA.

Províncias com lei própria

Alberta, Colúmbia Britânica e Québec têm leis do setor privado consideradas semelhantes. Dentro dessas províncias, essas leis costumam valer no lugar da PIPEDA.

Dados que cruzam fronteiras

Quando os dados passam de uma província para outra ou saem do país, a PIPEDA continua valendo, inclusive nessas três províncias.

Empresas reguladas pelo governo federal

Bancos, companhias aéreas, telecomunicações e emissoras seguem sempre a PIPEDA, inclusive para dados de funcionários.

Princípios

Os 10 princípios da lei, resumidos para um site

O anexo 1 da PIPEDA traz 10 princípios de informação justa. Agrupados, eles cabem em seis ideias práticas.

Responsabilidade

A empresa é responsável pelos dados que controla e deve indicar alguém para cuidar da conformidade.

Finalidades e consentimento

Diga para que os dados serão usados antes ou no momento da coleta, e obtenha o consentimento adequado.

Limitar coleta, uso e guarda

Colete só o necessário, use só para o que foi informado e não guarde por mais tempo do que precisa.

Exatidão e segurança

Mantenha os dados corretos e protegidos contra acesso indevido.

Transparência

Torne as suas práticas fáceis de encontrar e de entender, como numa política de privacidade clara.

Acesso e contestação

A pessoa pode ver os dados dela, pedir correção e reclamar de como a empresa cumpre a lei.

Consentimento

Consentimento significativo: expresso ou implícito

A PIPEDA exige consentimento significativo. Isso quer dizer que a pessoa precisa entender o que está aceitando: quais dados, para quê, com quem são compartilhados e quais riscos existem.

A lei aceita dois tipos de consentimento. O expresso é um sim ativo, como marcar uma caixa. O implícito, ou opt-out, é aceito quando a informação é pouco sensível e o uso é razoavelmente esperado, desde que a pessoa tenha uma forma fácil de recusar.

Quanto mais sensível o dado, mais forte o consentimento. O OPC espera consentimento expresso para dados de saúde e financeiros, origem étnica e racial, opiniões políticas, dados genéticos e biométricos, vida sexual, orientação sexual e crenças religiosas.

A publicidade comportamental também não pode ser condição para usar a internet ou o site. Ou seja, o visitante que recusa o rastreamento continua com acesso ao conteúdo.

Publicidade comportamental

As condições do OPC para o opt-out em anúncios

As orientações sobre privacidade e publicidade comportamental online, atualizadas em dezembro de 2015, aceitam o opt-out só quando todas estas condições são cumpridas.

Finalidade à vista

O rastreamento para anúncios precisa ser explicado de forma evidente, e não escondido na política de privacidade. Banners e avisos em camadas ajudam.

Aviso no momento certo

A pessoa é informada antes ou no momento da coleta, inclusive sobre quem são os parceiros envolvidos.

Opt-out fácil

Recusar precisa ser simples, de preferência antes de a coleta começar.

Efeito imediato e duradouro

O opt-out vale na hora e continua valendo nas próximas visitas.

Só dados não sensíveis

A coleta fica limitada a informações não sensíveis, sempre que possível.

Descarte rápido

Os dados são destruídos ou desidentificados assim que possível.

Obrigações do site

O que um site com anúncios precisa ter para o Canadá

  1. Indique um responsávelDefina quem cuida da privacidade e publique um contato para dúvidas e pedidos.
  2. Explique os anúncios em linguagem simplesNa política de privacidade e num aviso visível, conte que o site usa cookies e parceiros para anúncios baseados em interesses, e quem são esses parceiros.
  3. Ofereça um opt-out que funcioneUm link fixo, como Escolhas de privacidade ou Preferências de anúncios, que desliga o rastreamento na hora e lembra da escolha.
  4. Não rastreie criançasO OPC recomenda evitar o rastreamento de crianças e de sites voltados a elas, porque o consentimento significativo é difícil nesse caso.
  5. Atenda aos pedidos de acessoA pessoa pode pedir para ver os dados e corrigi-los. Tenha um caminho claro para isso.
  6. Registre e comunique vazamentosVazamentos com risco real de dano significativo devem ser comunicados ao OPC e às pessoas afetadas. Todos os vazamentos precisam ficar registrados por dois anos.

Fiscalização

Como o Comissário age

O OPC recebe reclamações, investiga, publica conclusões e faz recomendações. Na PIPEDA, o caminho para obrigar uma empresa a cumprir a lei passa pelo Tribunal Federal, que pode dar ordens e conceder indenizações.

Algumas condutas são crime. Descumprir de propósito as regras de comunicação e registro de vazamentos pode levar a multas. E uma investigação pública do OPC, mesmo sem multa, costuma ter efeito forte na reputação de um site.

Em 15 de junho de 2026, o governo apresentou na Câmara dos Comuns o projeto C-36, que cria a Lei de Proteção da Privacidade e dos Dados do Consumidor e altera a PIPEDA. Até o começo de novembro de 2026, o projeto estava em segunda leitura e não tinha sido aprovado. Enquanto isso, a PIPEDA continua valendo como está.

Linha do tempo

Datas que importam para quem tem visitantes canadenses

Da orientação sobre anúncios ao projeto de reforma.

  1. Dezembro de 2015

    Orientações sobre publicidade comportamental

    O OPC atualiza as condições para aceitar o opt-out em anúncios baseados em interesses.

  2. Outubro de 2018

    Guia de vazamentos

    O OPC publica as orientações sobre comunicação e registro de vazamentos de dados.

  3. 22 de setembro de 2022

    Québec começa a Lei 25

    A província inicia a entrada em vigor da sua lei em três fases. Para visitantes do Québec, as regras são mais rígidas.

  4. 15 de junho de 2026

    Projeto C-36

    O projeto de reforma da privacidade federal é apresentado na Câmara dos Comuns.

AdSense e Ad Manager

O que muda nos anúncios do Google

A política de consentimento de usuários da UE do Google vale para o EEE, o Reino Unido e a Suíça. O Canadá não está nessa lista, então o Google não exige CMP certificada nem a mensagem do TCF para o tráfego canadense.

Mesmo assim, as políticas para editores do Google valem no mundo todo. A política de privacidade do site precisa dizer que terceiros podem gravar e ler cookies ou usar web beacons e endereços IP para servir anúncios. E o conteúdo voltado a crianças não pode receber anúncios baseados em interesses.

Para cumprir a PIPEDA, o editor costuma combinar três peças: um aviso visível sobre anúncios personalizados, um link de opt-out permanente e uma CMP ou configuração que pare de pedir anúncios personalizados para quem recusou. Para visitantes do Québec, a configuração precisa ser mais rígida por causa da Lei 25.

Na prática

O que pode e o que não pode para visitantes canadenses

Exemplos com base nas orientações do OPC sobre consentimento e publicidade.

Pode

  • Anúncios personalizados com opt-out, quando o aviso é claro e o dado não é sensível
  • Um aviso em camadas que explica os anúncios logo na primeira visita
  • Um link Escolhas de privacidade fixo no rodapé
  • Anúncios não personalizados para quem recusou
  • Configuração mais rígida só para visitantes do Québec
  • Política de privacidade que lista os parceiros de anúncios

Não pode

  • Explicar o rastreamento apenas no meio da política de privacidade
  • Opt-out que some na próxima visita ou não desliga nada
  • Usar dados de saúde ou finanças para anúncios sem consentimento expresso
  • Rastrear visitantes em páginas feitas para crianças
  • Bloquear o conteúdo de quem recusa o rastreamento
  • Achar que a configuração europeia resolve tudo no Canadá

No ConsentMode

O que a auditoria confere para visitantes do Canadá

  • Abre o site como um visitante canadense e mostra em print se existe aviso visível sobre anúncios personalizados.
  • Procura o link de opt-out, clica nele e confere se as tags de anúncios mudam de comportamento.
  • Identifica a CMP e mostra se a mensagem muda entre Québec, o resto do Canadá e a Europa.
  • Lê a política de privacidade e aponta se faltam parceiros, cookies, contato do responsável e forma de acesso aos dados.
  • Sinaliza conteúdo que parece voltado a crianças com anúncios personalizados.
Fazer uma auditoriaVer tudo o que é conferido

Perguntas frequentes sobre a PIPEDA

Preciso de banner de cookies para o Canadá?

A PIPEDA não exige um banner no formato europeu. Ela exige consentimento significativo. Para anúncios baseados em interesses, o OPC aceita opt-out se o aviso for evidente e o opt-out for fácil, imediato e duradouro. Um aviso em camadas costuma ser o jeito mais simples de cumprir isso.

Qual a diferença entre PIPEDA e Lei 25?

A PIPEDA é federal e vale em todo o país. A Lei 25 é do Québec e é mais rígida, com multas administrativas altas e regras próprias para tecnologias de rastreamento. Para visitantes do Québec, siga a Lei 25.

O OPC pode multar o meu site?

Na PIPEDA, o OPC investiga e recomenda, e os casos podem ir ao Tribunal Federal. Algumas condutas, como descumprir de propósito as regras de vazamentos, são crime e podem gerar multas. O projeto C-36, ainda em tramitação, propõe mudar esse modelo.

O Google exige CMP certificada para o Canadá?

Não. A exigência de CMP certificada com TCF vale para o EEE, o Reino Unido e a Suíça. Para o Canadá, valem as políticas gerais do Google e a lei canadense.

Meu site é brasileiro. A PIPEDA vale para mim?

Pode valer quando o site tem relação real com o público canadense, como conteúdo e anúncios voltados ao Canadá. Essa análise é jurídica. Na prática, oferecer aviso claro e opt-out para visitantes canadenses é uma configuração simples.

Biblioteca

Fontes oficiais

Este guia foi escrito a partir destas páginas oficiais. Leia direto na fonte:

Confira o que um visitante canadense vê no seu site

A auditoria testa aviso, opt-out, CMP e política de privacidade, e entrega um plano de correção.

Começar a auditoria