Apri lo spazio

Guida · Legge federale del Canada

PIPEDA: la legge sulla privacy del Canada per i siti con annunci

La PIPEDA è la legge federale che regola come le aziende private usano i dati personali in Canada. Per gli annunci basati sul comportamento, il Commissario per la privacy accetta il modello opt-out, ma solo a condizioni chiare. Questa guida spiega quando la legge si applica, cos'è il consenso significativo e come configurare il sito.

Fai l'audit del mio sito oraLeggi la guida
  • ✓Basato sulle indicazioni ufficiali del Commissario per la privacy del Canada
  • ✓Esempi pratici per la pubblicità online
  • ✓Lettura del sito senza modificare nulla
10principi di corretta gestione delle informazioni alla base della legge
3province con una legge propria considerata simile: Alberta, Columbia Britannica e Québec
2anni di conservazione obbligatoria dei registri delle violazioni
2026anno in cui il progetto C-36, che riforma la legge, è arrivato alla Camera dei Comuni

Che cos'è

La legge federale che si occupa dei dati nel settore privato

La PIPEDA (Personal Information Protection and Electronic Documents Act, ovvero Legge sulla protezione delle informazioni personali e sui documenti elettronici) è la legge federale canadese sulla privacy per il settore privato. Vale per le organizzazioni che raccolgono, usano o divulgano informazioni personali nel corso di attività commerciali.

Informazione personale, per la legge, è qualsiasi informazione su una persona identificabile. In un sito, questo include i dati dei moduli e anche gli identificatori usati per seguire la navigazione e scegliere gli annunci.

La legge è fatta rispettare dal Commissario per la privacy del Canada (Office of the Privacy Commissioner, o OPC). È lui che pubblica le indicazioni su consenso e pubblicità comportamentale che gli editori usano come riferimento.

Checklist

Cosa devi rispettare

Cosa richiedono la PIPEDA e le indicazioni del Commissario alla privacy a un sito con annunci che riceve visitatori dal Canada.

  1. Indica un responsabile

    L'azienda deve nominare una persona responsabile del rispetto dei principi della legge. Pubblica un contatto per dubbi e richieste.

    Esempio

    Responsabile della privacy: Mario Rossi. Contatto: privacy@iltuosito.it

  2. Spiega gli annunci in modo evidente

    L'OPC chiede che la persona capisca chiaramente cosa viene raccolto, con chi viene condiviso, per cosa e quali sono i rischi. Google richiede anche che l'informativa dica che terzi, come Google, usano i cookie per mostrare annunci.

    Esempio

    Usiamo cookie nostri e di partner, come Google, per mostrare annunci in base ai tuoi interessi. Puoi rifiutare in qualsiasi momento.

  3. Opt-out facile, immediato e duraturo

    L'opt-out negli annunci è accettato solo se è facile, preferibilmente prima della raccolta, e se vale subito e nelle visite successive. I dati devono essere distrutti o resi anonimi il prima possibile.

    Esempio

    Link fisso nel footer: Scelte sugli annunci

  4. Sì espresso per i dati sensibili

    Salute, finanze, origine etnica, opinioni politiche, dati genetici e biometrici, vita sessuale e religione richiedono il consenso espresso. Chiedi anche un sì esplicito per usi diversi da quelli che la persona si aspetterebbe.

  5. Niente tracciamento che non si può rifiutare

    Se la persona non può rifiutare la tecnica, l'OPC dice che non deve essere usata per gli annunci. Gli esempi citati sono i cookie zombie, i supercookie e il fingerprinting del dispositivo.

  6. Proteggi i bambini

    Per chi non può dare un consenso significativo, chiedilo ai genitori o ai tutori, e l'OPC ritiene che di regola valga per i minori di 13 anni. Come buona pratica, evita di tracciare i bambini e i siti rivolti a loro.

  7. Accesso e revoca del consenso

    La persona può sapere quali dati ha il sito, vederli e contestarli. Può anche revocare il consenso, e la raccolta e l'uso devono cessare.

  8. Comunica e registra le violazioni

    Una violazione con rischio reale di danno significativo deve essere comunicata all'OPC e alle persone coinvolte. Ogni violazione deve essere registrata per due anni.

In pratica

Giusto e sbagliato

Strumenti ufficiali

CMP certificate e link ufficiali

Google non richiede una CMP certificata né ha un messaggio dedicato per il Canada, quindi i link qui sotto mostrano cosa Google richiede a ogni editore e cosa si aspetta il regolatore.

A chi si applica

Quando la PIPEDA riguarda il tuo sito

Il Canada ha leggi federali e provinciali. Capire quale vale evita di configurare il sito in modo sbagliato.

Attività commerciale in Canada

Le aziende private che raccolgono, usano o divulgano informazioni personali in attività commerciali in tutto il paese seguono la PIPEDA.

Province con legge propria

Alberta, Columbia Britannica e Québec hanno leggi del settore privato considerate simili. All'interno di queste province, tali leggi di solito valgono al posto della PIPEDA.

Dati che attraversano i confini

Quando i dati passano da una provincia all'altra o escono dal paese, la PIPEDA continua a valere, anche in queste tre province.

Aziende regolate dal governo federale

Banche, compagnie aeree, telecomunicazioni ed emittenti seguono sempre la PIPEDA, anche per i dati dei dipendenti.

Principi

I 10 principi della legge, riassunti per un sito

L'allegato 1 della PIPEDA riporta 10 principi di corretta gestione delle informazioni. Raggruppati, stanno in sei idee pratiche.

Responsabilità

L'azienda è responsabile dei dati che controlla e deve designare qualcuno che si occupi della conformità.

Finalità e consenso

Indica a cosa serviranno i dati prima o al momento della raccolta e ottieni il consenso adeguato.

Limitare raccolta, uso e conservazione

Raccogli solo il necessario, usalo solo per quanto dichiarato e non conservarlo più del necessario.

Esattezza e sicurezza

Mantieni i dati corretti e protetti da accessi non autorizzati.

Trasparenza

Rendi le tue pratiche facili da trovare e da capire, ad esempio con un'informativa sulla privacy chiara.

Accesso e contestazione

La persona può vedere i propri dati, chiederne la correzione e reclamare su come l'azienda rispetta la legge.

Consenso

Consenso significativo: esplicito o implicito

La PIPEDA richiede un consenso significativo. Questo significa che la persona deve capire cosa sta accettando: quali dati, per cosa, con chi vengono condivisi e quali rischi esistono.

La legge accetta due tipi di consenso. Quello esplicito è un sì attivo, come spuntare una casella. Quello implicito, o opt-out, è accettato quando l'informazione è poco sensibile e l'uso è ragionevolmente prevedibile, purché la persona abbia un modo semplice di rifiutare.

Più il dato è sensibile, più forte deve essere il consenso. L'OPC si aspetta un consenso esplicito per dati sanitari e finanziari, origine etnica e razziale, opinioni politiche, dati genetici e biometrici, vita sessuale, orientamento sessuale e credenze religiose.

La pubblicità comportamentale non può nemmeno essere condizione per usare internet o il sito. Cioè, il visitatore che rifiuta il tracciamento continua ad avere accesso ai contenuti.

Pubblicità comportamentale

Le condizioni dell'OPC per l'opt-out negli annunci

Le indicazioni su privacy e pubblicità comportamentale online, aggiornate a dicembre 2015, accettano l'opt-out solo quando sono rispettate tutte queste condizioni.

Finalità in evidenza

Il tracciamento per gli annunci deve essere spiegato in modo evidente, e non nascosto nell'informativa sulla privacy. Banner e avvisi a più livelli aiutano.

Avviso al momento giusto

La persona è informata prima o al momento della raccolta, anche su chi sono i partner coinvolti.

Opt-out facile

Rifiutare deve essere semplice, preferibilmente prima dell'inizio della raccolta.

Effetto immediato e duraturo

L'opt-out vale subito e continua a valere nelle visite successive.

Solo dati non sensibili

La raccolta è limitata a informazioni non sensibili, ove possibile.

Eliminazione rapida

I dati vengono distrutti o resi anonimi il prima possibile.

Obblighi del sito

Cosa deve avere un sito con annunci per il Canada

  1. Indica un responsabileDefinisci chi si occupa della privacy e pubblica un contatto per domande e richieste.
  2. Spiega gli annunci in un linguaggio sempliceNell'informativa sulla privacy e in un avviso visibile, spiega che il sito usa cookie e partner per annunci basati sugli interessi, e chi sono questi partner.
  3. Offri un opt-out che funzioniUn link fisso, come Scelte sulla privacy o Preferenze annunci, che disattiva subito il tracciamento e ricorda la scelta.
  4. Non tracciare i minoriL'OPC raccomanda di evitare il tracciamento dei minori e dei siti rivolti a loro, perché in questo caso il consenso significativo è difficile.
  5. Rispondi alle richieste di accessoLa persona può chiedere di vedere i dati e di correggerli. Prevedi un percorso chiaro per farlo.
  6. Registra e comunica le violazioni dei datiLe violazioni con un rischio reale di danno significativo devono essere comunicate all'OPC e alle persone coinvolte. Tutte le violazioni devono essere registrate per due anni.

Controllo

Come agisce il Commissario

L'OPC riceve reclami, indaga, pubblica conclusioni e formula raccomandazioni. Nella PIPEDA, la strada per costringere un'azienda a rispettare la legge passa per il Tribunale federale, che può emettere ordini e concedere risarcimenti.

Alcune condotte sono reati. Non rispettare di proposito le regole sulla comunicazione e la registrazione delle violazioni può portare a sanzioni. E un'indagine pubblica dell'OPC, anche senza sanzione, di solito ha un forte effetto sulla reputazione di un sito.

Il 15 giugno 2026, il governo ha presentato alla Camera dei Comuni il progetto C-36, che crea la Legge sulla protezione della privacy e dei dati dei consumatori e modifica la PIPEDA. Fino all'inizio di novembre 2026, il progetto era in seconda lettura e non era stato approvato. Nel frattempo, la PIPEDA continua a valere così com'è.

Cronologia

Date importanti per chi ha visitatori canadesi

Dalle indicazioni sugli annunci al progetto di riforma.

  1. Dicembre 2015

    Indicazioni sulla pubblicità comportamentale

    L'OPC aggiorna le condizioni per accettare l'opt-out negli annunci basati sugli interessi.

  2. Ottobre 2018

    Guida alle violazioni dei dati

    L'OPC pubblica le indicazioni sulla comunicazione e la registrazione delle violazioni dei dati.

  3. 22 settembre 2022

    Il Québec avvia la Legge 25

    La provincia avvia l'entrata in vigore della sua legge in tre fasi. Per i visitatori del Québec, le regole sono più rigide.

  4. 15 giugno 2026

    Progetto C-36

    Il progetto di riforma della privacy federale viene presentato alla Camera dei Comuni.

AdSense e Ad Manager

Cosa cambia negli annunci di Google

La norma di Google sul consenso degli utenti UE vale per il SEE, il Regno Unito e la Svizzera. Il Canada non è in questo elenco, quindi Google non richiede una CMP certificata né il messaggio TCF per il traffico canadese.

Anche così, le norme di Google per gli editori valgono in tutto il mondo. L'informativa sulla privacy del sito deve dire che terze parti possono scrivere e leggere cookie o usare web beacon e indirizzi IP per servire annunci. E i contenuti rivolti ai minori non possono ricevere annunci basati sugli interessi.

Per rispettare la PIPEDA, l'editore di solito combina tre elementi: un avviso visibile sugli annunci personalizzati, un link di opt-out permanente e una CMP o una configurazione che smetta di richiedere annunci personalizzati per chi ha rifiutato. Per i visitatori del Québec, la configurazione deve essere più rigida a causa della Legge 25.

In pratica

Cosa è consentito e cosa no per i visitatori canadesi

Esempi basati sulle indicazioni dell'OPC su consenso e pubblicità.

Consentito

  • Annunci personalizzati con opt-out, quando l'avviso è chiaro e il dato non è sensibile
  • Un avviso a più livelli che spiega gli annunci già alla prima visita
  • Un link Scelte sulla privacy fisso nel footer
  • Annunci non personalizzati per chi ha rifiutato
  • Configurazione più rigida solo per i visitatori del Québec
  • Informativa sulla privacy che elenca i partner pubblicitari

Non consentito

  • Spiegare il tracciamento solo in mezzo all'informativa sulla privacy
  • Opt-out che sparisce alla visita successiva o non disattiva nulla
  • Usare dati sanitari o finanziari per gli annunci senza consenso esplicito
  • Tracciare i visitatori in pagine pensate per i minori
  • Bloccare il contenuto a chi rifiuta il tracciamento
  • Pensare che la configurazione europea risolva tutto in Canada

In ConsentMode

Cosa controlla l'audit per i visitatori del Canada

  • Apre il sito come visitatore canadese e mostra in uno screenshot se esiste un avviso visibile sugli annunci personalizzati.
  • Cerca il link di opt-out, ci clicca e verifica se i tag degli annunci cambiano comportamento.
  • Identifica la CMP e mostra se il messaggio cambia tra Québec, il resto del Canada e l'Europa.
  • Legge l'informativa sulla privacy e segnala se mancano partner, cookie, contatto del responsabile e modalità di accesso ai dati.
  • Segnala contenuti che sembrano rivolti ai minori con annunci personalizzati.
Avvia un auditVedi tutto ciò che viene controllato

Domande frequenti sulla PIPEDA

Mi serve un banner dei cookie per il Canada?

La PIPEDA non richiede un banner nel formato europeo. Richiede un consenso significativo. Per gli annunci basati sugli interessi, l'OPC accetta l'opt-out se l'avviso è evidente e l'opt-out è facile, immediato e duraturo. Un avviso a più livelli di solito è il modo più semplice per rispettarlo.

Qual è la differenza tra PIPEDA e Legge 25?

La PIPEDA è federale e vale in tutto il paese. La Legge 25 è del Québec ed è più rigida, con sanzioni amministrative elevate e regole proprie per le tecnologie di tracciamento. Per i visitatori del Québec, segui la Legge 25.

L'OPC può multare il mio sito?

Nella PIPEDA, l'OPC indaga e raccomanda, e i casi possono arrivare al Tribunale federale. Alcune condotte, come non rispettare di proposito le regole sulle violazioni dei dati, sono reati e possono comportare sanzioni. Il progetto C-36, ancora in corso di esame, propone di cambiare questo modello.

Google richiede una CMP certificata per il Canada?

No. L'obbligo di una CMP certificata con TCF vale per il SEE, il Regno Unito e la Svizzera. Per il Canada valgono le norme generali di Google e la legge canadese.

Il mio sito è brasiliano. La PIPEDA si applica a me?

Può valere quando il sito ha un legame reale con il pubblico canadese, come contenuti e annunci rivolti al Canada. Questa analisi è giuridica. In pratica, offrire un avviso chiaro e un opt-out ai visitatori canadesi è una configurazione semplice.

Biblioteca

Fonti ufficiali

Questa guida è stata scritta a partire da queste pagine ufficiali. Leggi direttamente alla fonte:

Controlla cosa vede un visitatore canadese sul tuo sito

L'audit verifica avviso, opt-out, CMP e informativa sulla privacy, e consegna un piano di correzione.

Avvia l'audit