गाइड · क्यूबेक का कानून

क्यूबेक का कानून 25: विज्ञापन वालों के लिए सख़्त प्राइवेसी

कानून 25 ने क्यूबेक में डेटा सुरक्षा को आधुनिक बनाया और ऐसी तकनीकों के लिए अपने नियम लाया जो लोगों की पहचान करती हैं, लोकेशन बताती हैं या प्रोफ़ाइल बनाती हैं, जैसे विज्ञापन की कुकी। यह गाइड बताती है कि हर चरण में क्या बदला, कानून साइट से क्या मांगता है और गलती कितनी महंगी है।

अभी मेरी साइट का ऑडिट करें गाइड पढ़ें

✓Québec के कानून और Commission d'accès à l'information के दस्तावेजों पर आधारित
✓कुकी और विज्ञापनों के व्यावहारिक उदाहरण
✓साइट की रीडिंग, बिना कुछ बदले

3लागू होने के चरण, 2022 से 2024 तक

10 मिलियनकनाडाई डॉलर, कंपनियों के लिए प्रशासनिक जुर्माने की ऊपरी सीमा

2%वैश्विक राजस्व का, जब यह राशि 10 मिलियन से बड़ी हो

2023वह साल जब ज़्यादातर दायित्व लागू हुए

यह क्या है

वह कानून जिसने क्यूबेक की प्राइवेसी को नया रूप दिया

कानून 25 क्यूबेक के उस कानून का प्रचलित नाम है जिसने व्यक्तिगत जानकारी की सुरक्षा के नियमों को आधुनिक बनाया। यह सितंबर 2021 में अपनाया गया और इसने कई कानून बदले, जिनमें निजी क्षेत्र में व्यक्तिगत जानकारी की सुरक्षा का कानून भी है, जो कंपनियों पर लागू होता है।

क्यूबेक कनाडा के उन प्रांतों में है जिनके निजी क्षेत्र के लिए अपने कानून हैं। इसलिए क्यूबेक के विज़िटर्स और ग्राहकों के लिए आमतौर पर कानून 25 मुख्य नियम होता है, संघीय PIPEDA नहीं।

कानून की निगरानी Commission d'accès à l'information (CAI) करता है। Lei 25 के साथ CAI को ज्यादा अधिकार मिले, जिनमें पैसे के रूप में प्रशासनिक सजा लगाने का अधिकार भी है।

यह कानून यूरोप के GDPR के PIPEDA से ज़्यादा करीब है। यह साफ़ सहमति, पारदर्शिता, जोखिम आकलन और कंपनी के अंदर डेटा सुरक्षा के लिए एक ज़िम्मेदार व्यक्ति मांगता है।

चेकलिस्ट

आपको क्या पूरा करना है

क्यूबेक का निजी क्षेत्र का कानून उस विज्ञापन वाली साइट से क्या माँगता है जिस पर प्रांत के विज़िटर आते हैं।

1
ट्रैकिंग के बारे में बताएँ और व्यक्ति को चालू करने दें
ऐसी तकनीक से डेटा इकट्ठा करने से पहले जो पहचान करती है, लोकेशन बताती है या प्रोफ़ाइल बनाती है, बताएँ कि यह तकनीक इस्तेमाल होती है और इन सुविधाओं को चालू करने के क्या तरीके हैं। Google टैग के साथ, Consent Mode को सिर्फ़ क्यूबेक के लिए अस्वीकृत से शुरू किया जा सकता है।
उदाहरण
हम ऐसी कुकीज़ का उपयोग करते हैं जो विज्ञापनों के लिए आपकी रुचियों की प्रोफ़ाइल बनाती हैं। वे तभी काम करती हैं जब आप उन्हें चालू करते हैं।
```
gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'wait_for_update': 500,
  'region': ['CA-QC']
});
```
गुणवत्तापूर्ण सहमति
सहमति स्पष्ट, स्वतंत्र, सूचित और विशिष्ट उद्देश्यों के लिए दी गई होनी चाहिए। इसे सरल और साफ़ शब्दों में, दूसरी जानकारी से अलग माँगें।
उदाहरण
वैयक्तिकृत विज्ञापन: चालू करें या चालू न करें। ऑडियंस मापन: चालू करें या चालू न करें।
संवेदनशील डेटा के लिए साफ़ हाँ
जब जानकारी संवेदनशील हो, जैसे स्वास्थ्य या वित्त, तो सहमति स्पष्ट रूप से दी जानी चाहिए।
साइट पर गोपनीयता नीति
जो तकनीक से डेटा इकट्ठा करता है, उसे सरल और साफ़ शब्दों में गोपनीयता नीति प्रकाशित करनी चाहिए। Google यह भी माँगता है कि नीति में लिखा हो कि Google जैसे तीसरे पक्ष विज्ञापन दिखाने के लिए कुकीज़ का उपयोग करते हैं।
ज़िम्मेदार व्यक्ति का पद और संपर्क प्रकाशित हो
व्यक्तिगत जानकारी की सुरक्षा के ज़िम्मेदार व्यक्ति का पद और संपर्क प्रकाशित होना चाहिए, उदाहरण के लिए साइट पर।
उदाहरण
व्यक्तिगत जानकारी की सुरक्षा के ज़िम्मेदार: महानिदेशक। संपर्क: privacidade@seusite.com
14 साल से कम उम्र के नाबालिग
14 साल से कम उम्र के नाबालिग की जानकारी माता-पिता के अधिकार वाले व्यक्ति की सहमति के बिना इकट्ठा नहीं की जा सकती, सिवाय उन मामलों के जहाँ संग्रह साफ़ तौर पर उसके हित में हो।
30 दिनों में जवाब दें
एक्सेस या सुधार के अनुरोधों का लिखित जवाब 30 दिनों के भीतर देना चाहिए। इस समय में जवाब न मिले तो अनुरोध अस्वीकृत माना जाता है।
गंभीर जोखिम वाली घटनाएँ
अगर गोपनीयता की किसी घटना से गंभीर नुकसान का जोखिम है, तो कंपनी को CAI को तुरंत सूचित करना चाहिए।

असल में

सही और गलत

गलतसब कुछ चालू आता है और व्यक्ति को ढूँढना पड़ता है कि इसे बंद कहाँ करें।
सहीवैयक्तिकृत विज्ञापन बंद से शुरू होते हैं और व्यक्ति चालू करना चुनता है।
गलतव्यक्ति के कोई सूचना देखने से पहले ही टैग प्रोफ़ाइल बना देते हैं।
सहीक्यूबेक के लिए वैयक्तिकृत विज्ञापन के टैग विज़िटर के चुनाव का इंतज़ार करते हैं।
गलतनीति लंबी और अस्पष्ट है और यह नहीं बताती कि डेटा की ज़िम्मेदारी किसकी है।
सहीगोपनीयता नीति सरल और साफ़ है और ज़िम्मेदार व्यक्ति का संपर्क देती है।

आधिकारिक टूल

प्रमाणित CMP और आधिकारिक लिंक

Google क्यूबेक के लिए प्रमाणित CMP नहीं माँगता और उसका अपना कोई संदेश भी नहीं है, इसलिए सेटअप प्रकाशक के हाथ में है और ये संदर्भ के लिए आधिकारिक लिंक हैं।

किन पर लागू होता है

कानून 25 आपकी साइट तक कब पहुंचता है

कानून उन कंपनियों को देखता है जो क्यूबेक के लोगों की व्यक्तिगत जानकारी जमा करती, रखती, इस्तेमाल करती या बताती हैं।

क्यूबेक की कंपनियां

क्यूबेक में काम करने वाली हर कंपनी कानून का पालन करती है, किसी भी आकार की।

क्यूबेक में दर्शकों वाली बाहरी कंपनियां

दूसरे प्रांतों या देशों की साइटें जो क्यूबेक के निवासियों से कारोबार करती हैं, दायरे में आ सकती हैं। यह विश्लेषण कानूनी है।

व्यक्तिगत जानकारी

किसी व्यक्ति के बारे में कोई भी जानकारी जो सीधे या परोक्ष रूप से उसकी पहचान करा सके, जैसे विज्ञापनों में इस्तेमाल होने वाले आइडेंटिफ़ायर।

ट्रैकिंग तकनीकें

जो टूल लोगों की पहचान करते हैं, लोकेशन बताते हैं या प्रोफ़ाइल बनाते हैं, उनके अपने नियम हैं, जो सीधे कुकी और विज्ञापन के टैग पर लगते हैं।

टाइमलाइन

कानून 25 के तीन चरण

22 सितंबर 2022 से शुरू होकर लागू होना तीन साल में चरणबद्ध रहा।

सितंबर 2021
कानून अपनाया गया
क्यूबेक की नेशनल असेंबली व्यक्तिगत जानकारी की सुरक्षा को आधुनिक बनाने वाला कानून पारित करती है।
22 सितंबर 2022
पहला चरण
व्यक्तिगत जानकारी की सुरक्षा के ज़िम्मेदार व्यक्ति की भूमिका और गोपनीयता घटनाओं के नियम लागू होने लगते हैं।
22 सितंबर 2023
दूसरा चरण, सबसे बड़ा
ज़्यादातर दायित्व लागू होते हैं: सहमति, गोपनीयता नीति, ट्रैकिंग तकनीकें, प्रभाव आकलन और CAI के नए अधिकार, जिनमें प्रशासनिक जुर्माने शामिल हैं।
22 सितंबर 2024
तीसरा चरण
पोर्टेबिलिटी का अधिकार लागू होता है, जिससे व्यक्ति अपना डेटा संरचित और आम इस्तेमाल के तकनीकी फ़ॉर्मेट में पा सकता है।

कुकी और ट्रैकिंग

वे तकनीकें जो पहचान करती हैं, लोकेशन बताती हैं या प्रोफ़ाइल बनाती हैं

निजी क्षेत्र के कानून का अनुच्छेद 8.1 कहता है कि किसी व्यक्ति की पहचान करने, उसकी लोकेशन बताने या उसकी प्रोफ़ाइल बनाने में सक्षम तकनीक से जानकारी जमा करने से पहले कंपनी को बताना होगा कि वह यह तकनीक इस्तेमाल करती है और इन सुविधाओं को चालू करने के क्या तरीके हैं।

कानून के लिए प्रोफ़ाइल का मतलब है व्यक्तिगत जानकारी से व्यक्ति की विशेषताओं का आकलन करना, जैसे आर्थिक स्थिति, स्वास्थ्य, पसंद या रुचियां। पर्सनलाइज़्ड विज्ञापन की कुकी ठीक यही करती हैं।

कानून इन सुविधाओं को चालू करने के साधनों की बात करता है। सबसे आम पढ़ाई यह है कि वे बंद शुरू होती हैं और तभी चलती हैं जब व्यक्ति उन्हें चालू करना चुने। इसलिए क्यूबेक के विज़िटर्स के लिए सबसे सुरक्षित मॉडल यूरोपीय जैसा है: पर्सनलाइज़्ड विज्ञापन हां के बाद ही।

अनुच्छेद 9.1 भी है, जो प्राइवेसी पैरामीटर वाले तकनीकी उत्पादों और सेवाओं में डिफ़ॉल्ट रूप से गोपनीयता का सबसे ऊंचा स्तर मांगता है। अनुच्छेद खुद इस नियम से कुकी के पैरामीटर बाहर रखता है, जो पारदर्शिता और सहमति के नियमों के दायरे में रहते हैं।

सहमति

कानून 25 में सहमति कैसी होनी चाहिए

कानून अच्छी गुणवत्ता की सहमति मांगता है, हर उद्देश्य के लिए अलग और सरल शब्दों में।

स्पष्ट

व्यक्ति की इच्छा साफ़ होनी चाहिए। चुप रहना या कुछ न करना काफ़ी नहीं।

स्वतंत्र और सूचित

व्यक्ति बिना दबाव के चुनता है और समझता है कि वह क्या स्वीकार कर रहा है।

खास उद्देश्यों के लिए

अनुरोध हर उद्देश्य के लिए, दूसरी जानकारी से अलग, सरल और साफ़ भाषा में किया जाता है।

संवेदनशील डेटा के लिए स्पष्ट

स्वास्थ्य या वित्तीय डेटा जैसी संवेदनशील जानकारी के लिए स्पष्ट सहमति चाहिए।

साइट की ज़िम्मेदारियां

कंपनी के पास क्या होना चाहिए

बैनर के अलावा, कानून 25 ढांचा और दस्तावेज़ मांगता है।

डेटा सुरक्षा का ज़िम्मेदार

डिफ़ॉल्ट रूप से यह कंपनी का सबसे ऊंचे अधिकार वाला व्यक्ति होता है। यह काम लिखित रूप में सौंपा जा सकता है, और पद व संपर्क साइट पर प्रकाशित होने चाहिए।

गोपनीयता नीति

जो तकनीकी साधनों से डेटा जमा करता है, उसे साइट पर सरल और साफ़ शब्दों में गोपनीयता नीति प्रकाशित करनी होगी।

प्रभाव आकलन

व्यक्तिगत जानकारी वाले सिस्टम प्रोजेक्ट और क्यूबेक के बाहर डेटा ट्रांसफ़र के लिए निजता से जुड़े कारकों का आकलन चाहिए।

गोपनीयता की घटनाएं

गंभीर नुकसान के जोखिम वाली घटनाओं की सूचना CAI और प्रभावित लोगों को देनी होती है, और सभी का रिकॉर्ड रखना होता है।

गवर्नेंस के नियम

कंपनी डेटा रखने और नष्ट करने, भूमिकाओं और ज़िम्मेदारियों और शिकायतों के निपटारे के आंतरिक नियम अपनाती है।

रखना और नष्ट करना

जब उद्देश्य खत्म हो जाता है, तो डेटा कानून के अनुसार नष्ट या अनाम कर दिया जाता है।

अधिकार

व्यक्ति क्या मांग सकता है

कानून 25 ने उन लोगों के अधिकार बढ़ाए जिनका डेटा कंपनियां प्रोसेस करती हैं।

एक्सेस और सुधार

रखा गया डेटा देखना और जो गलत है उसे ठीक कराना।

सहमति वापस लेना

सहमति पर निर्भर इस्तेमाल के बारे में किसी भी समय मन बदलना।

डीइंडेक्सिंग

कुछ शर्तों पर मांग करना कि कोई जानकारी फैलाना बंद हो, या व्यक्ति के नाम वाला लिंक उस तक न ले जाए।

पोर्टेबिलिटी

22 सितंबर 2024 से डेटा संरचित और आम इस्तेमाल के फ़ॉर्मेट में पाना।

निगरानी और जुर्माने

CAI भारी जुर्माने लगा सकता है

दूसरे चरण से CAI आर्थिक प्रशासनिक जुर्माने लगा सकता है। कंपनियों के लिए अधिकतम राशि 10 मिलियन कनाडाई डॉलर या पिछले वित्त वर्ष के वैश्विक राजस्व का 2% है, जो भी ज़्यादा हो। व्यक्तियों के लिए ऊपरी सीमा 50,000 डॉलर है।

मई 2023 में CAI ने एक सामान्य ढांचा प्रकाशित किया, जिसमें वे मानदंड हैं जिनसे वह तय करता है कि जुर्माना कब और कितना लगाए, और आपराधिक रास्ता कब चुने। ज़्यादा गंभीर मामले उस रास्ते पर जा सकते हैं, अपने जुर्मानों के साथ।

कानून लोगों को अदालत में मुआवज़ा मांगने की ज़्यादा ताकत भी देता है। विज्ञापन वाली साइट के लिए व्यावहारिक जोखिम तीन तरफ़ से आता है: विज़िटर्स की शिकायतें, CAI की जांच और साख पर असर।

AdSense और Ad Manager

Google विज्ञापनों में क्या बदलता है

Google कनाडा के लिए प्रमाणित CMP या TCF का संदेश नहीं मांगता। EU उपयोगकर्ता सहमति नीति सिर्फ़ EEA, यूनाइटेड किंगडम और स्विट्ज़रलैंड पर लागू होती है। यानी क्यूबेक की सेटिंग पब्लिशर की ज़िम्मेदारी है।

व्यवहार में कई पब्लिशर CMP से क्यूबेक को पर्सनलाइज़्ड विज्ञापनों से पहले साफ़ विकल्प वाला संदेश दिखाते हैं। जो मना करता है, उसके लिए साइट Google के टैग में गैर-पर्सनलाइज़्ड विज्ञापन मांग सकती है और कमाई का एक हिस्सा बनाए रख सकती है।

Google की पब्लिशर नीतियां लागू रहती हैं: प्राइवेसी नीति में समझाना होगा कि तीसरे पक्ष विज्ञापन दिखाने के लिए कुकी लिखते और पढ़ते हैं, और बच्चों के लिए बने कंटेंट पर रुचि आधारित विज्ञापन नहीं आ सकते।

असल में

क्यूबेक के विज़िटर्स के लिए क्या कर सकते हैं और क्या नहीं

विज्ञापन वाली साइटों पर दिखने वाली सेटिंग के उदाहरण।

कर सकते हैं

सहमति का संदेश सिर्फ़ क्यूबेक के विज़िटर्स को दिखाना
प्रोफ़ाइल बनाने वाली सुविधाएं तब तक बंद रखना जब तक व्यक्ति चालू न करे
जिसने स्वीकार नहीं किया उसे गैर-पर्सनलाइज़्ड विज्ञापन दिखाना
डेटा सुरक्षा के ज़िम्मेदार का पद और संपर्क प्रकाशित करना
साफ़ और सरल फ़्रेंच में गोपनीयता नीति रखना
किसी भी समय चुनाव बदलने के लिए स्थायी लिंक

नहीं कर सकते

किसी भी चुनाव से पहले प्रोफ़ाइल बनाने वाली कुकी चालू करना
ऐसी सूचना जो सिर्फ़ कहती है कि साइट कुकी इस्तेमाल करती है, चालू करने या न करने का विकल्प दिए बिना
सभी उद्देश्यों को एक ही हां में जोड़ देना
गोपनीयता नीति को छिपा देना या सिर्फ़ किसी दूसरी भाषा में रखना
स्पष्ट सहमति के बिना स्वास्थ्य डेटा विज्ञापनों में इस्तेमाल करना
कानून का आकलन किए बिना क्यूबेक पर बाकी कनाडा जैसी सेटिंग लागू करना

ConsentMode में

क्यूबेक के विज़िटर्स के लिए ऑडिट क्या जांचता है

साइट को क्यूबेक के विज़िटर की तरह खोलता है और स्क्रीनशॉट में दिखाता है कि सहमति का संदेश है या नहीं और उसमें कौन से विकल्प हैं।
जांचता है कि पर्सनलाइज़्ड विज्ञापनों की कुकी और टैग चुनाव से पहले लोड होते हैं या नहीं।
CMP पहचानता है और क्यूबेक के संदेश की तुलना बाकी कनाडा और यूरोप के संदेश से करता है।
गोपनीयता नीति पढ़ता है और बताता है कि ज़िम्मेदार व्यक्ति, ट्रैकिंग तकनीकें और पार्टनर्स गायब हैं या नहीं।
प्राथमिकता के क्रम में सुधार योजना देता है, कानूनी विश्लेषण की जगह लिए बिना।

ऑडिट करें जांच की सारी चीज़ें देखें

चुनाव से पहले ट्रैकिंग चालूसहमति · क्यूबेक का विज़िटर

बहुत ज़रूरी

!चालू करने के विकल्प के बिना कुकी की सूचनाजांचें

✕चुनाव से पहले प्रोफ़ाइल बनाने वाली कुकीजांचें

✕डेटा सुरक्षा का ज़िम्मेदार प्रकाशितगायब

✓फ़्रेंच में गोपनीयता नीतिठीक

कैसे ठीक करें: CMP को क्यूबेक के लिए प्रोफ़ाइल सुविधाओं को डिफ़ॉल्ट रूप से बंद रखकर सेट करें और ज़िम्मेदार व्यक्ति का पद व संपर्क प्रकाशित करें।

कानून 25 के बारे में अक्सर पूछे जाने वाले सवाल

क्या क्यूबेक के लिए मुझे कुकी बैनर चाहिए?

कानून मांगता है कि व्यक्ति को सूचित किया जाए और उसके पास पहचान, लोकेशन और प्रोफ़ाइल की सुविधाएं चालू करने के साधन हों। व्यवहार में इसका सबसे आसान तरीका प्रोफ़ाइल सुविधाओं को डिफ़ॉल्ट रूप से बंद रखकर सहमति का संदेश दिखाना है।

क्या एनालिटिक्स की कुकी भी आती हैं?

यह इस पर निर्भर है कि वे क्या करती हैं। अगर वे व्यक्ति की पहचान करती हैं या प्रोफ़ाइल बनाती हैं, तो वे अनुच्छेद 8.1 में आती हैं। जोड़े हुए और बिना प्रोफ़ाइल वाले मापन में जोखिम कम है। हर टूल को कानूनी विभाग के साथ आंकना ठीक रहता है।

अधिकतम जुर्माना कितना है?

कंपनियों के लिए CAI का प्रशासनिक जुर्माना 10 मिलियन कनाडाई डॉलर या पिछले साल के वैश्विक राजस्व का 2% तक है, जो भी ज़्यादा हो। आपराधिक रास्ते के अपने जुर्माने हैं।

क्या मैं GDPR वाली ही सेटिंग इस्तेमाल कर सकता हूं?

वह आमतौर पर कानून 25 का बड़ा हिस्सा पूरा करती है, क्योंकि वह भी ट्रैकिंग से पहले हां मांगती है। लेकिन यूरोपीय TCF का संदेश क्यूबेक में ज़रूरी नहीं है, और गोपनीयता नीति में कानून और स्थानीय ज़िम्मेदार व्यक्ति का नाम होना चाहिए।

क्या ConsentMode प्रभाव आकलन की जगह लेता है?

नहीं। ऑडिट दिखाता है कि साइट क्यूबेक के विज़िटर के लिए क्या करती है, स्क्रीनशॉट और सुधार योजना के साथ। प्रभाव आकलन और कानूनी विश्लेषण आपकी टीम के पास ही रहते हैं।

लाइब्रेरी

आधिकारिक स्रोत

यह गाइड इन आधिकारिक पेजों से लिखी गई है। सीधे स्रोत पर पढ़ें:

अपनी साइट को वैसे देखें जैसे क्यूबेक का विज़िटर देखता है

ऑडिट संदेश, कुकी, CMP और गोपनीयता नीति जांचता है और बताता है कि क्या सुधारना है।

ऑडिट शुरू करें