Apri lo spazio

Guida · Legge del Québec

Legge 25 del Québec: privacy più rigida per chi ha annunci

La Legge 25 ha modernizzato la protezione dei dati nel Québec e ha introdotto regole proprie per le tecnologie che identificano, localizzano o profilano le persone, come i cookie pubblicitari. Questa guida mostra cosa è cambiato in ogni fase, cosa chiede la legge a un sito e quanto costa sbagliare.

Fai l'audit del mio sito oraLeggi la guida
  • ✓Basato sulla legge del Québec e sui documenti della Commission d'accès à l'information
  • ✓Esempi pratici per cookie e annunci
  • ✓Lettura del sito senza modificare nulla
3fasi di entrata in vigore, dal 2022 al 2024
10 mlndollari canadesi, tetto della sanzione amministrativa per le aziende
2%del fatturato mondiale, quando questo valore è superiore a 10 milioni
2023anno in cui è entrata in vigore la maggior parte degli obblighi

Che cos'è

La legge che ha riformato la privacy nel Québec

La Legge 25 è il nome popolare della legge del Québec che ha modernizzato le regole sulla protezione delle informazioni personali. È stata adottata a settembre 2021 e ha modificato diverse leggi, tra cui la Legge sulla protezione delle informazioni personali nel settore privato, che vale per le aziende.

Il Québec è una delle province canadesi con una legge propria per il settore privato. Per questo, per visitatori e clienti del Québec, la Legge 25 è di solito la regola principale, e non la PIPEDA federale.

L'autorità di controllo è la Commission d'accès à l'information (CAI). Con la Legge 25, la CAI ha ottenuto più poteri, compreso quello di applicare sanzioni amministrative pecuniarie.

La legge è più vicina al GDPR europeo che alla PIPEDA. Richiede un consenso chiaro, trasparenza, valutazione dei rischi e una persona responsabile della protezione dei dati all'interno dell'azienda.

Checklist

Cosa devi rispettare

Cosa richiede la legge sul settore privato del Québec a un sito con annunci che riceve visitatori della provincia.

  1. Avvisa del tracciamento e lascia che la persona lo attivi

    Prima di raccogliere dati con una tecnologia che identifica, localizza o crea profili, informa che usi questa tecnologia e quali mezzi esistono per attivare queste funzioni. Con i tag di Google, il Consent Mode può partire negato solo per il Québec.

    Esempio

    Usiamo cookie che creano un profilo dei tuoi interessi per gli annunci. Funzionano solo se li attivi.

    gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'wait_for_update': 500,
  'region': ['CA-QC']
});

  2. Consenso di qualità

    Il consenso deve essere manifesto, libero, informato e dato per finalità specifiche. Chiedilo in termini semplici e chiari, separato da altre informazioni.

    Esempio

    Annunci personalizzati: Attiva o Non attivare. Misurazione del pubblico: Attiva o Non attivare.

  3. Sì espresso per i dati sensibili

    Quando l'informazione è sensibile, come salute o finanze, il consenso deve essere dato in modo espresso.

  4. Politica di riservatezza sul sito

    Chi raccoglie dati con mezzi tecnologici deve pubblicare una politica di riservatezza in termini semplici e chiari. Google richiede anche che dica che terzi, come Google, usano i cookie per mostrare annunci.

  5. Titolo e contatto del responsabile pubblicati

    Il titolo e il contatto della persona responsabile della protezione delle informazioni personali devono essere pubblicati, ad esempio sul sito.

    Esempio

    Responsabile della protezione delle informazioni personali: Direttrice generale. Contatto: privacidade@seusite.com

  6. Minori di 14 anni

    Le informazioni di un minore di 14 anni non possono essere raccolte da lui senza il consenso di chi ha la responsabilità genitoriale, salvo quando la raccolta è chiaramente a suo beneficio.

  7. Rispondi entro 30 giorni

    Le richieste di accesso o di rettifica devono avere risposta scritta entro 30 giorni. Senza risposta in questo termine, la richiesta si considera rifiutata.

  8. Incidenti con rischio serio

    Se un incidente di riservatezza presenta un rischio di danno serio, l'azienda deve avvisare la CAI con diligenza.

In pratica

Giusto e sbagliato

Strumenti ufficiali

CMP certificate e link ufficiali

Google non richiede una CMP certificata né ha un messaggio dedicato per il Québec, quindi la configurazione spetta all'editore e questi sono i link ufficiali di riferimento.

A chi si applica

Quando la Legge 25 raggiunge il tuo sito

La legge riguarda le aziende che raccolgono, conservano, usano o comunicano informazioni personali di persone nel Québec.

Aziende nel Québec

Qualsiasi azienda che opera nel Québec rispetta la legge, di qualsiasi dimensione.

Aziende estere con pubblico nel Québec

I siti di altre province o di altri paesi che fanno affari con residenti del Québec possono essere raggiunti. Questa analisi è giuridica.

Informazione personale

Qualsiasi informazione su una persona fisica che permetta di identificarla, direttamente o indirettamente, come gli identificatori usati per gli annunci.

Tecnologie di tracciamento

Gli strumenti che identificano, localizzano o profilano le persone hanno regole proprie, che riguardano direttamente cookie e tag pubblicitari.

Cronologia

Le tre fasi della Legge 25

L'entrata in vigore è stata scaglionata in tre anni, a partire dal 22 settembre 2022.

  1. Settembre 2021

    Legge adottata

    L'Assemblea nazionale del Québec approva la legge che modernizza la protezione delle informazioni personali.

  2. 22 settembre 2022

    Prima fase

    Iniziano a valere la figura del responsabile della protezione delle informazioni personali e le regole sugli incidenti di riservatezza.

  3. 22 settembre 2023

    Seconda fase, la più grande

    Entrano in vigore la maggior parte degli obblighi: consenso, politica di riservatezza, tecnologie di tracciamento, valutazioni d'impatto e i nuovi poteri della CAI, comprese le sanzioni amministrative.

  4. 22 settembre 2024

    Terza fase

    Inizia a valere il diritto alla portabilità, che permette alla persona di ricevere i propri dati in un formato tecnologico strutturato e di uso comune.

Cookie e tracciamento

Tecnologie che identificano, localizzano o profilano

L'articolo 8.1 della legge sul settore privato dice che, prima di raccogliere informazioni con una tecnologia in grado di identificare, localizzare o profilare una persona, l'azienda deve informare che usa questa tecnologia e quali mezzi esistono per attivare queste funzioni.

Il profilo, per la legge, è usare informazioni personali per valutare caratteristiche della persona, come situazione economica, salute, preferenze o interessi. È esattamente ciò che fanno i cookie di pubblicità personalizzata.

La legge parla di mezzi per attivare queste funzioni. La lettura più comune è che partano disattivate e inizino a funzionare solo quando la persona sceglie di attivarle. Per questo, per i visitatori del Québec, il modello più sicuro è simile a quello europeo: annunci personalizzati solo dopo un sì.

Esiste poi l'articolo 9.1, che richiede il massimo livello di riservatezza per impostazione predefinita nei prodotti e nei servizi tecnologici con parametri di privacy. L'articolo stesso esclude da questo punto i parametri dei cookie, che restano coperti dalle regole di trasparenza e di consenso.

Consenso

Come deve essere il consenso nella Legge 25

La legge richiede un consenso di qualità, chiesto per ogni finalità e in termini semplici.

Manifesto

La volontà della persona deve essere chiara. Silenzio o inazione non bastano.

Libero e informato

La persona sceglie senza pressioni e capisce cosa sta accettando.

Per finalità specifiche

La richiesta viene fatta per ogni finalità, separata da altre informazioni, in linguaggio semplice e chiaro.

Esplicito per i dati sensibili

Le informazioni sensibili, come salute o dati finanziari, richiedono un consenso esplicito.

Obblighi del sito

Cosa deve avere in atto l'azienda

Oltre al banner, la Legge 25 richiede struttura e documenti.

Responsabile della protezione dei dati

Per impostazione predefinita, è la persona con la massima autorità nell'azienda. La funzione può essere delegata per iscritto, e il ruolo e il contatto devono essere pubblicati sul sito.

Politica di riservatezza

Chi raccoglie dati con mezzi tecnologici deve pubblicare sul sito una politica di riservatezza in termini semplici e chiari.

Valutazione d'impatto

I progetti di sistemi che coinvolgono informazioni personali, e i trasferimenti di dati fuori dal Québec, richiedono una valutazione dei fattori relativi alla vita privata.

Incidenti di riservatezza

Gli incidenti che presentano un rischio di danno grave devono essere comunicati alla CAI e alle persone interessate, e tutti devono essere registrati.

Regole di governance

L'azienda adotta regole interne su conservazione e distruzione dei dati, ruoli e responsabilità e gestione dei reclami.

Conservazione e distruzione

Quando la finalità termina, i dati vengono distrutti o resi anonimi secondo la legge.

Diritti

Cosa può chiedere la persona

La Legge 25 ha ampliato i diritti di chi ha i dati trattati dalle aziende.

Accesso e rettifica

Vedere i dati conservati e chiedere la correzione di quelli errati.

Revocare il consenso

Cambiare idea in qualsiasi momento sugli usi che dipendono dal consenso.

Deindicizzazione

Chiedere che un'informazione non sia più diffusa o che un link con il nome della persona non porti più a lei, a certe condizioni.

Portabilità

Dal 22 settembre 2024, ricevere i dati in un formato strutturato e di uso comune.

Controllo e sanzioni

La CAI può applicare multe elevate

Dalla seconda fase, la CAI può applicare sanzioni amministrative pecuniarie. Per le aziende, il valore massimo è di 10 milioni di dollari canadesi o il 2% del fatturato mondiale dell'esercizio precedente, a seconda di quale sia maggiore. Per le persone fisiche, il tetto è di 50 mila dollari.

A maggio 2023, la CAI ha pubblicato un quadro generale con i criteri che usa per decidere quando applicare la sanzione e di quanto, e quando preferire la via penale. I casi più gravi possono seguire questa strada, con multe proprie.

La legge dà anche alle persone più forza per chiedere un risarcimento in tribunale. Per un sito con annunci, il rischio pratico viene da tre lati: reclami dei visitatori, indagine della CAI ed effetto sulla reputazione.

AdSense e Ad Manager

Cosa cambia negli annunci di Google

Google non richiede una CMP certificata né il messaggio del TCF per il Canada. La politica di Google sul consenso degli utenti dell'UE vale solo per il SEE, il Regno Unito e la Svizzera. In altre parole, la configurazione per il Québec è responsabilità dell'editore.

In pratica, molti editori usano la CMP per mostrare al Québec un messaggio con una scelta chiara prima degli annunci personalizzati. Per chi rifiuta, il sito può richiedere annunci non personalizzati nei tag di Google, mantenendo parte dei ricavi.

Le norme di Google per gli editori continuano a valere: l'informativa sulla privacy deve spiegare che terze parti registrano e leggono cookie per servire annunci, e i contenuti rivolti ai minori non possono ricevere annunci basati sugli interessi.

In pratica

Cosa si può e cosa non si può fare per i visitatori del Québec

Esempi di configurazioni che compaiono nei siti con annunci.

Consentito

  • Mostrare un messaggio di consenso solo ai visitatori del Québec
  • Lasciare disattivate le funzioni di profilazione finché la persona non le attiva
  • Servire annunci non personalizzati a chi non ha accettato
  • Pubblicare il ruolo e il contatto del responsabile della protezione dei dati
  • Avere una politica di riservatezza in francese chiaro e semplice
  • Un link fisso per cambiare le scelte in qualsiasi momento

Non consentito

  • Attivare i cookie di profilazione prima di qualsiasi scelta
  • Avviso che dice solo che il sito usa cookie, senza opzione di attivarli o meno
  • Unire tutte le finalità in un unico sì
  • Politica di riservatezza nascosta o solo in un'altra lingua
  • Usare dati sanitari per gli annunci senza consenso esplicito
  • Trattare il Québec con la stessa configurazione del resto del Canada senza valutare la legge

In ConsentMode

Cosa controlla l'audit per i visitatori del Québec

  • Apre il sito come visitatore del Québec e mostra in uno screenshot se c'è un messaggio di consenso e quali opzioni offre.
  • Controlla se cookie e tag di annunci personalizzati si caricano prima della scelta.
  • Identifica la CMP e confronta il messaggio del Québec con quello del resto del Canada e dell'Europa.
  • Legge la politica di riservatezza e segnala se mancano il responsabile, le tecnologie di tracciamento e i partner.
  • Fornisce un piano di correzione in ordine di priorità, senza sostituire l'analisi giuridica.
Avvia un auditVedi tutto ciò che viene controllato

Domande frequenti sulla Legge 25

Mi serve un banner dei cookie per il Québec?

La legge chiede che la persona sia informata e abbia i mezzi per attivare le funzioni di identificazione, localizzazione e profilazione. In pratica, il modo più semplice per rispettarlo è un messaggio di consenso con le funzioni di profilazione disattivate per impostazione predefinita.

Rientrano anche i cookie di analisi?

Dipende da cosa fanno. Se identificano o profilano la persona, rientrano nell'articolo 8.1. Le misurazioni aggregate e senza profilo hanno un rischio minore. Conviene valutare ogni strumento con l'ufficio legale.

Qual è la multa massima?

La sanzione amministrativa della CAI per le aziende arriva a 10 milioni di dollari canadesi o al 2% del fatturato mondiale dell'anno precedente, a seconda di quale sia maggiore. La via penale ha multe proprie.

Posso usare la stessa configurazione del GDPR?

Di solito soddisfa buona parte della Legge 25, perché chiede anch'essa un sì prima del tracciamento. Ma il messaggio del TCF europeo non è richiesto nel Québec, e la politica di riservatezza deve citare la legge e il responsabile locale.

ConsentMode sostituisce la valutazione d'impatto?

No. L'audit mostra cosa fa il sito per un visitatore del Québec, con screenshot e un piano di correzione. La valutazione d'impatto e l'analisi giuridica restano al tuo team.

Biblioteca

Fonti ufficiali

Questa guida è stata scritta a partire da queste pagine ufficiali. Leggi direttamente alla fonte:

Guarda il tuo sito come lo vede un visitatore del Québec

L'audit controlla messaggio, cookie, CMP e politica di riservatezza, e mostra cosa correggere.

Avvia l'audit