ワークスペースへ

ケベック州の法律25号:広告を出すサイトに求められる、より厳しいプライバシー

法律25号は、ケベック州のデータ保護を現代化し、広告のCookieなど、人を識別し、位置を特定し、プロファイルを作る技術に対する独自のルールをもたらしました。このガイドでは、各段階で何が変わったか、サイトに何が求められるか、間違えるといくらかかるかを説明します。

今すぐサイトを監査する

ケベック州の法律と、Commission d'accès à l'informationの資料に基づいていますガイドを読む
  • ✓ケベック州の法律と、Commission d'accès à l'informationの文書に基づいています
  • ✓サイトを変更しない読み取り
  • ✓2022年から2024年にかけての施行の段階の数
31,000万
カナダドル。企業に対する行政上の制裁金の上限世界全体の売上のうち、1,000万を超える場合
2%義務の大半が有効になった年
2023ケベック州のプライバシーを改革した法律

概要

法律25号は、個人情報保護のルールを現代化したケベック州の法律の通称です。2021年9月に採択され、企業に適用される「民間部門における個人情報の保護に関する法律」など、複数の法律を改正しました。

ケベック州は、民間部門に独自の法律を持つカナダの州の一つです。そのため、ケベック州の訪問者や顧客については、連邦のPIPEDAではなく、法律25号が主なルールになることが多いです。

執行するのは、Commission d'accès à l'information(CAI)です。法律25号によって、CAIは行政上の金銭的制裁を科す権限を含め、より多くの権限を得ました。

執行するのは、Commission d'accès à l'information(CAI)です。Law 25によって、CAIの権限が拡大され、金銭による行政上の制裁を科す権限も得ました。

法律25号がサイトに及ぶとき

チェックリスト

満たすべきこと

広告のあるサイトが、ケベック州から訪問者を受け入れる場合に、ケベック州の民間部門法が求めることです。

  1. トラッキングを知らせ、有効にするかどうかを本人に選んでもらう

    個人を識別、位置特定、プロファイリングできる技術でデータを集める前に、その技術を使うことと、その機能を有効にする手段があることを知らせます。Googleタグを使う場合、Consent Modeをケベック州だけ初期状態で拒否にすることができます。

    例

    興味に基づく広告用のプロファイルを作るCookieを使っています。有効にした場合にのみ動作します。

    gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'wait_for_update': 500,
  'region': ['CA-QC']
});

  2. 質の高い同意

    同意は、明示的で、自由で、十分な説明を受けた、特定の目的に対するものである必要があります。他の情報とは分けて、簡単で明確な言葉で求めてください。

    例

    パーソナライズ広告: 有効にする または 有効にしない。オーディエンス測定: 有効にする または 有効にしない。

  3. 機微データには明示的な「はい」

    健康や金融などの機微な情報の場合、同意は明示的に与えられる必要があります。

  4. サイト上の守秘ポリシー

    技術的な手段でデータを集める場合は、簡単で明確な言葉の守秘ポリシーを公開する必要があります。Googleは、Googleなどの第三者が広告表示にCookieを使うこともポリシーに書くよう求めています。

  5. 責任者の役職と連絡先を公開する

    個人情報の保護の責任者の役職と連絡先を、たとえばサイト上で公開する必要があります。

    例

    個人情報保護責任者: 代表取締役。連絡先: privacidade@seusite.com

  6. 14歳未満

    14歳未満の未成年者の情報は、親権者の同意なしに本人から集めることはできません。収集が明らかに本人の利益になる場合は除きます。

  7. 30日以内に回答する

    アクセスや訂正の依頼には、30日以内に書面で回答する必要があります。この期間内に回答がない場合、依頼は拒否されたものとみなされます。

  8. 重大なリスクのあるインシデント

    守秘性に関するインシデントに重大な被害のリスクがある場合、事業者は速やかにCAIに知らせる必要があります。

実例

正しい例と間違った例

公式ツール

認定CMPと公式リンク

Googleはケベック州にも認定CMPを求めておらず、専用のメッセージもないため、設定はパブリッシャー次第です。以下は参考用の公式リンクです。

対象となる人

この法律は、ケベック州にいる人の個人情報を収集、保管、利用、または伝達する企業を対象としています。

ケベック州の企業

ケベック州で事業を行う企業は、規模にかかわらず、この法律に従います。

ケベック州に利用者がいる国外の企業

他の州や他の国のサイトでも、ケベック州の住民と取引をしていれば、対象になることがあります。この判断は法的なものです。

識別可能な個人に関する情報であれば、直接的でも間接的でも対象です。広告に使われる識別子も含まれます。

個人情報

トラッキング技術

人を識別し、位置を特定し、プロファイルを作るツールには独自のルールがあり、Cookieや広告タグに直接影響します。

法律25号の3つの段階

年表

施行は、2022年9月22日から3年かけて段階的に行われました。

2021年9月

  1. 法律の採択

    ケベック州議会が、個人情報の保護を現代化する法律を可決しました。

    2022年9月22日

  2. 第1段階

    個人情報保護の責任者の役割と、機密性に関するインシデントのルールが有効になりました。

    2023年9月22日

  3. 第2段階、最大のもの

    義務の大半が有効になります。同意、機密保持ポリシー、トラッキング技術、影響評価、そして行政上の制裁金を含むCAIの新しい権限です。

    2024年9月22日

  4. 第3段階

    ポータビリティの権利が有効になり、本人が自分のデータを、構造化された一般的な技術形式で受け取れるようになります。

    Cookieとトラッキング

人を識別し、位置を特定し、プロファイルを作る技術

民間部門の法律の8.1条は、人を識別し、位置を特定し、プロファイルを作ることができる技術を使って情報を収集する前に、企業はその技術を使っていることと、それらの機能を有効にする手段を伝えなければならないと定めています。

法律でいうプロファイルとは、個人情報を使って、経済状況、健康、好み、関心といった人の特徴を評価することです。パーソナライズ広告のCookieが行っていることそのものです。

法律は、これらの機能を有効にする手段について述べています。最も一般的な解釈は、機能は最初はオフで、本人が有効にすることを選んで初めて動作するというものです。そのため、ケベック州の訪問者については、ヨーロッパに近いモデルが最も安全です。「はい」のあとにだけ、パーソナライズ広告を出します。

9.1条もあり、プライバシー設定のある技術製品やサービスで、既定で最高レベルの機密性を求めています。この条文自体が、Cookieの設定をこの点から除外しており、Cookieは引き続き透明性と同意のルールの対象です。

法律25号での同意のあり方

同意

法律は、質の高い同意を求めています。目的ごとに、分かりやすい言葉で求めなければなりません。

明示的

本人の意思がはっきりしている必要があります。黙っていることや何もしないことでは足りません。

自由で十分な情報に基づく

本人が圧力なしに選び、何に同意しているかを理解している必要があります。

特定の目的のため

依頼は目的ごとに、他の情報とは分けて、分かりやすいシンプルな言葉で行います。

機微なデータには明示的な同意

健康や金融データなどの機微な情報には、明示的な同意が必要です。

企業が整えておくべきこと

サイトの義務

バナーに加えて、法律25号は体制と文書を求めています。

データ保護責任者

既定では、企業で最も高い権限を持つ人です。役割は書面で委任でき、役職と連絡先をサイトに公開する必要があります。

機密保持ポリシー

技術的な手段でデータを収集する場合は、分かりやすくシンプルな言葉の機密保持ポリシーをサイトに公開する必要があります。

影響評価

個人情報を扱うシステムのプロジェクトや、ケベック州外へのデータ移転には、プライバシーに関する要素の評価が必要です。

機密性のインシデント

重大な損害のリスクがあるインシデントは、CAIと影響を受けた人に報告し、すべて記録しておく必要があります。

ガバナンスのルール

企業は、データの保管と破棄、役割と責任、苦情の処理に関する社内ルールを定めます。

保管と破棄

目的が終わったら、法律に従ってデータを破棄または匿名化します。

個人ができること

権利

法律25号は、企業にデータを処理される人の権利を広げました。

アクセスと訂正

保管されているデータを確認し、誤りの訂正を求めること。

同意の撤回

同意に基づく利用について、いつでも考えを変えられること。

インデックス解除

一定の条件のもとで、情報の拡散をやめるよう、または本人の名前を含むリンクがその人に結びつかないようにするよう求めること。

2024年9月22日から、データを構造化された一般的な形式で受け取れること。

ポータビリティ

執行と制裁

CAIは高額の罰金を科すことができる

第2段階以降、CAIは行政上の金銭的制裁を科すことができます。企業の場合、上限は1,000万カナダドル、または前事業年度の世界全体の売上の2%のいずれか大きい方です。個人の場合は5万ドルが上限です。

2023年5月に、CAIは、制裁を科すかどうか、いくらにするか、刑事手続きを選ぶかどうかを判断する基準をまとめた枠組みを公表しました。より重大な事案は、その経路で進むことがあり、独自の罰金があります。

法律は、人々が裁判で救済を求める力も強めています。広告のあるサイトにとって、実際のリスクは3方向から来ます。訪問者からの苦情、CAIの調査、そして評判への影響です。

Googleの広告で変わること

AdSenseとAd Manager

Googleは、カナダについては認定CMPもTCFのメッセージも求めていません。EUユーザーの同意ポリシーが適用されるのは、EEA、英国、スイスだけです。つまり、ケベック州向けの設定は、パブリッシャーの責任です。

実際には、多くのパブリッシャーがCMPを使って、ケベック州の訪問者に、パーソナライズ広告の前に明確な選択のあるメッセージを表示しています。拒否した人には、Googleのタグでパーソナライズされていない広告をリクエストして、収益の一部を保てます。

Googleのパブリッシャーポリシーは引き続き適用されます。プライバシーポリシーでは、第三者が広告配信のためにCookieを保存・読み取りすることを説明する必要があり、子ども向けのコンテンツには、興味・関心に基づく広告を表示できません。

ケベック州の訪問者について「できること」と「できないこと」

実例

広告サイトでよく見られる設定の例です。

同意のメッセージをケベック州の訪問者にだけ表示する

してよいこと

  • 本人が有効にするまで、プロファイル機能はオフにしておく
  • 同意していない人には、パーソナライズされていない広告を配信する
  • データ保護責任者の役職と連絡先を公開する
  • 分かりやすい簡潔なフランス語の機密保持ポリシーを用意する
  • いつでも選択を変えられる常設リンクを置く
  • 何も選択されていない状態で、プロファイルのCookieを有効にする

してはいけないこと

  • Cookieを使っているとだけ伝え、有効にするかどうかを選べない通知
  • すべての目的を、1つの「はい」にまとめる
  • 隠された、または別の言語だけの機密保持ポリシー
  • 明示的な同意なしに、健康データを広告に使う
  • 法律を評価せずに、ケベック州をカナダのほかの地域と同じ設定にする
  • ケベック州の訪問者について監査が確認すること

ConsentModeでは

ケベック州の訪問者としてサイトを開き、同意のメッセージがあるか、どんな選択肢があるかをスクリーンショットで示します。

  • パーソナライズ広告のCookieとタグが、選択の前に読み込まれていないかを確認します。
  • CMPを特定し、ケベック州のメッセージを、カナダのほかの地域やヨーロッパのものと比較します。
  • 機密保持ポリシーを読み、責任者、トラッキング技術、パートナーが足りないかどうかを指摘します。
  • 優先順位をつけた修正プランを提供します。法的な分析の代わりにはなりません。
  • 選択の前にトラッキングが有効
監査を実行する確認する項目をすべて見る

ケベック州向けにCookieバナーは必要ですか?

法律は、本人に知らせ、識別、位置特定、プロファイルの機能を有効にする手段を提供することを求めています。実際に最も簡単な対応方法は、プロファイル機能を既定でオフにした同意のメッセージです。

分析用のCookieも対象ですか?

それが何をするかによります。人を識別したり、プロファイルを作ったりするなら、8.1条の対象です。プロファイルのない集計の計測はリスクが低くなります。各ツールについて、法務担当と評価してください。

罰金の上限はいくらですか?

企業に対するCAIの行政上の制裁金は、最大で1,000万カナダドル、または前年の世界全体の売上の2%のいずれか大きい方です。刑事手続きには、独自の罰金があります。

GDPRと同じ設定を使えますか?

たいていは、法律25号の多くを満たします。トラッキングの前に「はい」を求める点が同じだからです。ただし、ヨーロッパのTCFのメッセージはケベック州では求められず、機密保持ポリシーでは、この法律と現地の責任者に言及する必要があります。

ConsentModeは影響評価の代わりになりますか?

いいえ。監査は、ケベック州の訪問者に対してサイトが何をしているかを、スクリーンショットと修正プランで示します。影響評価と法的な分析は、引き続きチームの仕事です。

ケベック州の訪問者にサイトがどう見えるか確認しましょう

ライブラリ

公式の情報源

このガイドは、次の公式ページをもとに作成しました。情報源を直接お読みください:

監査は、メッセージ、Cookie、CMP、機密保持ポリシーを確認し、直すべき点を示します。

民間部門における個人情報の保護に関する法律(LégisQuébec)

監査を始める