ワークスペースへ

ガイド · カナダの連邦法

PIPEDA:広告付きサイト向けのカナダのプライバシー法

PIPEDAは、カナダで民間企業が個人データをどう使うかを定める連邦法です。行動に基づく広告については、プライバシーコミッショナーがオプトアウトのモデルを認めていますが、明確な条件が付いています。このガイドでは、法律が適用される場合、有意義な同意とは何か、サイトの設定の仕方を説明します。

ケベック州の法律と、Commission d'accès à l'informationの資料に基づいていますガイドを読む
  • ✓カナダのプライバシーコミッショナーの公式ガイダンスに基づいています
  • ✓オンライン広告の実践的な例
  • ✓2022年から2024年にかけての施行の段階の数
10法律の土台にある、公正な情報取扱いの原則の数
3類似とみなされる独自の法律を持つ州:アルバータ、ブリティッシュコロンビア、ケベック
2漏えいの記録を保管しなければならない年数
2026法律を改正するC-36法案が下院に提出された年

概要

民間部門のデータを扱う連邦法

PIPEDA(Personal Information Protection and Electronic Documents Act、個人情報保護及び電子文書法)は、カナダの民間部門向けの連邦プライバシー法です。商業活動の中で、個人情報を収集、使用、開示する組織に適用されます。

法律上、個人情報とは、特定できる人物に関するあらゆる情報です。サイトでは、フォームのデータのほか、閲覧の追跡や広告の選択に使う識別子も含まれます。

この法律を執行するのは、カナダのプライバシーコミッショナー(Office of the Privacy Commissioner、OPC)です。パブリッシャーが拠り所にする、同意と行動に基づく広告に関するガイダンスを公開しているのも、OPCです。

チェックリスト

満たすべきこと

広告のあるサイトがカナダから訪問者を受け入れる場合に、PIPEDAとプライバシーコミッショナーのガイダンスが求めることです。

  1. 責任者を指名する

    企業は、法律の原則を守る責任者を指名する必要があります。質問や依頼のための連絡先を公開してください。

    例

    プライバシー責任者: 田中太郎。連絡先: privacy@yoursite.com

  2. 広告をはっきりわかるように説明する

    OPCは、何を集め、誰と共有し、何のために使い、どんなリスクがあるかを、本人が明確に理解できるようにすることを求めています。Googleは、Googleなどの第三者が広告表示にCookieを使うこともポリシーに書くよう求めています。

    例

    自社およびGoogleなどのパートナーのCookieを使い、あなたの興味に基づいた広告を表示しています。いつでもオプトアウトできます。

  3. 簡単で、すぐに効き、長続きするオプトアウト

    広告のオプトアウトが認められるのは、簡単で、できれば収集の前に行え、その場で、そして次回以降の訪問でも有効な場合だけです。データは、できるだけ早く破棄または匿名化する必要があります。

    例

    フッターの固定リンク: 広告の選択

  4. 機微データには明示的な「はい」

    健康、金融、人種・民族的出身、政治的意見、遺伝データ、生体データ、性生活、宗教には、明示的な同意が必要です。本人が予想しない使い方には、明確な「はい」も求めてください。

  5. オプトアウトできないトラッキングは行わない

    本人が手法を拒否できない場合、OPCはその手法を広告に使うべきではないとしています。例として挙げられているのは、ゾンビCookie、スーパーCookie、端末のフィンガープリントです。

  6. 子どもを守る

    意味のある同意ができない人については、保護者の同意を求めてください。OPCは、原則として13歳未満がこれに当たると考えています。グッドプラクティスとして、子どもや子ども向けのサイトのトラッキングは避けてください。

  7. アクセスと同意の撤回

    本人は、サイトがどのデータを持っているかを知り、確認し、異議を申し立てることができます。同意を撤回することもでき、その場合は収集と利用を止める必要があります。

  8. 漏えいを報告し、記録する

    重大な被害の現実的なリスクがある漏えいは、OPCと影響を受ける人に報告する必要があります。すべての漏えいを、2年間記録しておく必要があります。

実例

正しい例と間違った例

公式ツール

認定CMPと公式リンク

Googleはカナダにも認定CMPを求めておらず、専用のメッセージもないため、以下のリンクは、Googleがすべてのパブリッシャーに求めることと、規制当局の期待を示しています。

対象となる人

PIPEDAがサイトに及ぶとき

カナダには、連邦法と州法があります。どちらが適用されるかを理解しておくと、サイトの設定を誤らずにすみます。

カナダでの商業活動

商業活動で個人情報を収集、使用、開示する民間企業は、国内のどこでもPIPEDAに従います。

独自の法律を持つ州

アルバータ、ブリティッシュコロンビア、ケベックには、類似とみなされる民間部門の法律があります。これらの州の中では、通常、それらの法律がPIPEDAに代わって適用されます。

国境を越えるデータ

データが州から別の州へ移る場合や、国外に出る場合は、この3つの州でも、PIPEDAが引き続き適用されます。

連邦政府が規制する企業

銀行、航空会社、通信会社、放送局は、従業員のデータを含めて、常にPIPEDAに従います。

原則

法律の10の原則を、サイト向けに要約

PIPEDAの附則1には、公正な情報取扱いの10の原則があります。まとめると、6つの実践的な考え方になります。

責任

組織は、自分が管理するデータに責任を負い、コンプライアンスを担当する人を指名する必要があります。

目的と同意

収集の前、または収集の時点で、データの使い道を伝え、適切な同意を得ます。

収集、利用、保管の制限

必要なものだけを集め、伝えた目的にだけ使い、必要な期間を超えて保管しません。

正確性とセキュリティ

データを正確に保ち、不正なアクセスから守ります。

透明性

わかりやすいプライバシーポリシーのように、自分たちの取り組みを見つけやすく、理解しやすくします。

アクセスと異議申し立て

本人は、自分のデータを見て、訂正を求め、組織の法律の守り方について苦情を申し立てられます。

同意

有意義な同意:明示的か、黙示的か

PIPEDAは、有意義な同意を求めています。つまり、本人が何に同意しているのかを理解している必要があります。どのデータか、何のためか、誰と共有されるか、どんなリスクがあるかです。

法律は、2種類の同意を認めています。明示的な同意は、チェックボックスにチェックを入れるような、積極的な「はい」です。黙示的な同意、つまりオプトアウトは、機密性の低い情報で、その使い方が合理的に予想できる場合に認められ、本人が簡単に拒否できる方法があることが条件です。

データの機密性が高いほど、同意は強くなければなりません。OPCは、健康や金融のデータ、民族や人種的な出身、政治的意見、遺伝や生体のデータ、性生活、性的指向、宗教的信条については、明示的な同意を求めています。

行動に基づく広告は、インターネットやサイトを利用するための条件にしてもいけません。つまり、トラッキングを拒否した訪問者も、引き続きコンテンツを利用できます。

行動に基づく広告

広告のオプトアウトに関するOPCの条件

オンラインのプライバシーと行動に基づく広告に関するガイダンスは、2015年12月に更新されました。オプトアウトが認められるのは、これらの条件がすべて満たされた場合だけです。

目的が見える

広告のためのトラッキングは、プライバシーポリシーの中に隠さず、分かりやすく説明する必要があります。バナーや階層式の通知が役に立ちます。

適切なタイミングでの通知

収集の前、または収集の時点で、関与するパートナーが誰かを含めて、本人に知らせます。

簡単なオプトアウト

拒否は簡単にでき、できれば収集が始まる前にできるようにします。

すぐに、そして継続して有効

オプトアウトはすぐに有効になり、次回以降の訪問でも有効です。

センシティブでないデータのみ

収集は、可能なかぎり、センシティブでない情報に限定します。

速やかな廃棄

データは、できるだけ早く破棄するか、匿名化します。

サイトの義務

広告付きサイトがカナダ向けに備えておくべきこと

  1. 責任者を指名するプライバシーの担当者を決め、質問や請求のための連絡先を公開します。
  2. 広告をわかりやすい言葉で説明するプライバシーポリシーと目立つ通知の中で、サイトがCookieとパートナーを使って興味関心に基づく広告を出していること、そのパートナーが誰かを伝えます。
  3. 機能するオプトアウトを用意する「プライバシーの選択」や「広告の設定」のような固定リンクで、トラッキングをすぐにオフにし、その選択を記憶します。
  4. 子どもを追跡しないOPCは、子どもや子ども向けサイトの追跡を避けるよう勧めています。この場合、有意義な同意を得るのが難しいためです。
  5. アクセス請求に対応する本人は、データを見たり、訂正したりする請求ができます。そのための分かりやすい経路を用意してください。
  6. 漏えいを記録し、通知する重大な被害の現実的なリスクがある漏えいは、OPCと影響を受けた人に通知しなければなりません。すべての漏えいは、2年間記録しておく必要があります。

執行

コミッショナーの動き方

OPCは、苦情を受け付け、調査し、結論を公表し、勧告を行います。PIPEDAで企業に法律を守らせるには、連邦裁判所を通す必要があり、裁判所は命令を出し、損害賠償を認めることができます。

一部の行為は犯罪になります。漏えいの通知や記録のルールを故意に守らないと、罰金を科されることがあります。また、制裁金がなくても、OPCによる公開調査は、サイトの評判に大きな影響を与えるのが普通です。

2026年6月15日に、政府は下院に、消費者プライバシー・データ保護法を創設しPIPEDAを改正するC-36法案を提出しました。2026年11月の初めの時点で、法案は第二読会にあり、成立していませんでした。それまでは、PIPEDAが現行のまま適用されます。

年表

カナダの訪問者がいる場合に重要な日付

広告に関するガイダンスから、改正法案まで。

  1. 2015年12月

    行動に基づく広告に関するガイダンス

    OPCが、興味関心に基づく広告でオプトアウトを認める条件を更新します。

  2. 2018年10月

    漏えいのガイド

    OPCが、データ漏えいの通知と記録に関するガイダンスを公開します。

  3. 第1段階

    ケベック州で法25号が始まる

    州の法律が、3段階で施行され始めます。ケベック州の訪問者については、ルールがより厳しくなります。

  4. 2026年6月15日

    C-36法案

    連邦のプライバシー改正法案が、下院に提出されます。

AdSenseとAd Manager

Googleは、カナダについては認定CMPもTCFのメッセージも求めていません。EUユーザーの同意ポリシーが適用されるのは、EEA、英国、スイスだけです。つまり、ケベック州向けの設定は、パブリッシャーの責任です。

GoogleのEUユーザーの同意ポリシーは、EEA、英国、スイスに適用されます。カナダはこの一覧に入っていないため、Googleは、カナダのトラフィックについて、認定CMPもTCFのメッセージも求めていません。

それでも、Googleのパブリッシャー向けポリシーは世界中で適用されます。サイトのプライバシーポリシーには、第三者が広告を配信するために、Cookieを保存・読み取ったり、ウェブビーコンやIPアドレスを使ったりすることがあると、明記する必要があります。また、子ども向けのコンテンツには、興味関心に基づく広告を表示できません。

PIPEDAを守るために、パブリッシャーは通常、3つを組み合わせます。パーソナライズ広告についての目立つ通知、常設のオプトアウトリンク、そして拒否した人にパーソナライズ広告のリクエストを止めるCMPまたは設定です。ケベック州の訪問者については、法25号があるため、設定をより厳しくする必要があります。

実例

カナダの訪問者に対してできること、できないこと

同意と広告に関するOPCのガイダンスに基づく例です。

してよいこと

  • 通知が明確で、データがセンシティブでない場合の、オプトアウト型のパーソナライズ広告
  • 最初の訪問時に広告を説明する、階層式の通知
  • フッターに常設された「プライバシーの選択」リンク
  • 拒否した人へのパーソナライズされない広告
  • ケベック州の訪問者だけに、より厳しい設定にする
  • 広告パートナーを一覧にしたプライバシーポリシー

してはいけないこと

  • トラッキングの説明を、プライバシーポリシーの途中にしか載せない
  • 次の訪問で消えたり、何もオフにならなかったりするオプトアウト
  • 明示的な同意なしに、健康や金融のデータを広告に使う
  • 子ども向けのページで訪問者を追跡する
  • トラッキングを拒否した人のコンテンツをブロックする
  • ヨーロッパ向けの設定で、カナダもすべて解決すると思い込む

ConsentModeでは

カナダの訪問者について監査で確認すること

  • カナダの訪問者としてサイトを開き、パーソナライズ広告についての目立つ通知があるかを、スクリーンショットで示します。
  • オプトアウトのリンクを探してクリックし、広告タグの動作が変わるかを確認します。
  • CMPを特定し、メッセージがケベック州、カナダのその他の地域、ヨーロッパで変わるかを示します。
  • プライバシーポリシーを読み、パートナー、Cookie、責任者の連絡先、データへのアクセス方法が欠けていないかを指摘します。
  • パーソナライズ広告のある、子ども向けに見えるコンテンツにマークを付けます。
監査を実行する確認する項目をすべて見る

PIPEDAに関するよくある質問

カナダ向けにCookieバナーは必要ですか?

PIPEDAは、ヨーロッパ型のバナーを求めていません。求めているのは、有意義な同意です。興味関心に基づく広告については、通知が分かりやすく、オプトアウトが簡単で、即時かつ継続的であれば、OPCはオプトアウトを認めています。階層式の通知が、最も簡単な対応方法になるのが普通です。

PIPEDAと法25号の違いは何ですか?

PIPEDAは連邦法で、全国で適用されます。法25号はケベック州の法律で、より厳しく、高額な行政上の制裁金と、トラッキング技術についての独自のルールがあります。ケベック州の訪問者については、法25号に従ってください。

OPCは私のサイトに制裁金を科せますか?

PIPEDAでは、OPCは調査して勧告を行い、事案は連邦裁判所に進むことがあります。漏えいのルールを故意に守らないなど、一部の行為は犯罪で、罰金を科されることがあります。審議中のC-36法案は、この仕組みを変えることを提案しています。

Googleは、カナダに認定CMPを求めていますか?

いいえ。TCFに対応した認定CMPの要件は、EEA、英国、スイスに適用されます。カナダには、Googleの一般的なポリシーとカナダの法律が適用されます。

私のサイトはブラジルのものです。PIPEDAは適用されますか?

カナダ向けのコンテンツや広告があるなど、サイトがカナダの人々と実質的な関係を持つ場合は、適用されることがあります。この判断は法的なものです。実際には、カナダの訪問者に分かりやすい通知とオプトアウトを提供するのは、簡単な設定です。

ライブラリ

公式の情報源

このガイドは、次の公式ページをもとに作成しました。情報源を直接お読みください:

カナダの訪問者に、あなたのサイトがどう見えるかを確認する

監査では、通知、オプトアウト、CMP、プライバシーポリシーをテストし、修正プランを提供します。

監査を始める