Мой кабинет

Руководство · Федеральный закон Канады

PIPEDA: закон Канады о конфиденциальности для сайтов с рекламой

PIPEDA это федеральный закон, регулирующий, как частные компании используют персональные данные в Канаде. Для рекламы на основе поведения Уполномоченный по конфиденциальности принимает модель opt-out, но только при чётких условиях. В этом руководстве объясняется, когда закон применяется, что такое осмысленное согласие и как настроить сайт.

Проверить мой сайт сейчасЧитать руководство
  • ✓Основано на официальных рекомендациях Уполномоченного по конфиденциальности Канады
  • ✓Практические примеры для онлайн-рекламы
  • ✓Чтение сайта без каких-либо изменений
10принципов добросовестной обработки информации лежат в основе закона
3провинции с собственным законом, признанным сходным: Альберта, Британская Колумбия и Квебек
2лет обязательного хранения записей об утечках
2026год, когда законопроект C-36, реформирующий закон, поступил в Палату общин

Что это

Федеральный закон о данных в частном секторе

PIPEDA (Personal Information Protection and Electronic Documents Act, или Закон о защите персональной информации и электронных документах) это канадский федеральный закон о конфиденциальности для частного сектора. Он действует для организаций, которые собирают, используют или раскрывают персональную информацию в ходе коммерческой деятельности.

Персональная информация по закону это любая информация об идентифицируемом лице. На сайте это включает данные из форм, а также идентификаторы, используемые для отслеживания просмотра и выбора рекламы.

Закон контролирует Уполномоченный по конфиденциальности Канады (Office of the Privacy Commissioner, или OPC). Именно он публикует рекомендации по согласию и поведенческой рекламе, которые издатели используют как ориентир.

Чек-лист

Что нужно выполнить

Что требуют PIPEDA и рекомендации Уполномоченного по конфиденциальности от сайта с рекламой, который принимает посетителей из Канады.

  1. Назначьте ответственного

    Компания должна назначить ответственного за соблюдение принципов закона. Опубликуйте контакт для вопросов и запросов.

    Пример

    Ответственный за конфиденциальность: Иван Петров. Контакт: privacy@vashsait.ru

  2. Объясняйте рекламу очевидным образом

    OPC требует, чтобы человек ясно понимал, что собирается, с кем это делится, для чего и каковы риски. Google также требует, чтобы в политике говорилось, что третьи стороны, например Google, используют cookie для показа рекламы.

    Пример

    Мы используем собственные cookie и cookie партнёров, например Google, чтобы показывать рекламу на основе ваших интересов. Вы можете отказаться в любой момент.

  3. Простой, немедленный и долговременный opt-out

    Opt-out в рекламе принимается, только если он простой, желательно до сбора, и действует сразу и при следующих визитах. Данные нужно уничтожить или обезличить как можно скорее.

    Пример

    Постоянная ссылка в подвале: Выбор рекламы

  4. Явное «да» для чувствительных данных

    Здоровье, финансы, этническое происхождение, политические взгляды, генетические и биометрические данные, сексуальная жизнь и религия требуют явного согласия. Также запросите явное «да» для использования, выходящего за рамки ожиданий человека.

  5. Никакого отслеживания, от которого нельзя отказаться

    Если человек не может отказаться от техники, OPC говорит, что её не следует использовать для рекламы. В примерах названы зомби-cookie, суперcookie и цифровой отпечаток устройства.

  6. Защитите детей

    Для тех, кто не может дать осмысленное согласие, запрашивайте родителей или опекунов, и OPC считает, что, как правило, это относится к лицам младше 13 лет. В качестве лучшей практики избегайте отслеживания детей и сайтов, ориентированных на них.

  7. Доступ и отзыв согласия

    Человек может узнать, какие данные есть у сайта, просмотреть их и оспорить. Он также может отозвать согласие, и сбор и использование должны прекратиться.

  8. Сообщайте об утечках и ведите их учёт

    Об утечке с реальным риском значительного вреда нужно сообщить в OPC и пострадавшим. Каждая утечка должна фиксироваться в течение двух лет.

На практике

Как правильно и как неправильно

Официальные инструменты

Сертифицированные CMP и официальные ссылки

Google не требует сертифицированную CMP и не имеет отдельного сообщения для Канады, поэтому ссылки ниже показывают, что Google требует от каждого издателя и чего ждёт регулятор.

К кому относится

Когда PIPEDA затрагивает ваш сайт

В Канаде есть федеральные и провинциальные законы. Понимание того, какой применяется, помогает не настроить сайт неправильно.

Коммерческая деятельность в Канаде

Частные компании, собирающие, использующие или раскрывающие персональную информацию в коммерческой деятельности по всей стране, следуют PIPEDA.

Провинции с собственным законом

Альберта, Британская Колумбия и Квебек имеют законы частного сектора, признанные сходными. В этих провинциях такие законы обычно действуют вместо PIPEDA.

Данные, пересекающие границы

Когда данные переходят из одной провинции в другую или покидают страну, PIPEDA продолжает действовать, в том числе в этих трёх провинциях.

Компании под федеральным регулированием

Банки, авиакомпании, телекоммуникации и вещатели всегда следуют PIPEDA, в том числе для данных сотрудников.

Принципы

10 принципов закона, кратко для сайта

Приложение 1 к PIPEDA содержит 10 принципов добросовестной обработки информации. Сгруппированные, они укладываются в шесть практических идей.

Ответственность

Компания отвечает за данные, которые контролирует, и должна назначить того, кто следит за соблюдением.

Цели и согласие

Скажите, для чего будут использоваться данные, до сбора или в момент сбора, и получите надлежащее согласие.

Ограничить сбор, использование и хранение

Собирайте только необходимое, используйте только для заявленного и не храните дольше, чем нужно.

Точность и безопасность

Поддерживайте данные верными и защищёнными от неправомерного доступа.

Прозрачность

Сделайте свои практики легко находимыми и понятными, например в ясной политике конфиденциальности.

Доступ и оспаривание

Человек может видеть свои данные, просить исправления и жаловаться на то, как компания соблюдает закон.

Согласие

Осмысленное согласие: явное или подразумеваемое

PIPEDA требует осмысленного согласия. Это значит, что человек должен понимать, с чем соглашается: какие данные, зачем, с кем они передаются и какие есть риски.

Закон допускает два вида согласия. Явное это активное «да», например отметка в поле. Подразумеваемое, или opt-out, допускается, когда информация малочувствительна, а использование разумно ожидаемо, если у человека есть простой способ отказаться.

Чем чувствительнее данные, тем сильнее должно быть согласие. OPC ожидает явного согласия для данных о здоровье и финансовых данных, этнического и расового происхождения, политических взглядов, генетических и биометрических данных, сексуальной жизни, сексуальной ориентации и религиозных убеждений.

Поведенческая реклама также не может быть условием для использования интернета или сайта. То есть посетитель, отказавшийся от отслеживания, сохраняет доступ к контенту.

Поведенческая реклама

Условия OPC для opt-out в рекламе

Рекомендации о конфиденциальности и онлайн-поведенческой рекламе, обновлённые в декабре 2015 года, допускают opt-out только при выполнении всех этих условий.

Цель на виду

Отслеживание для рекламы нужно объяснить очевидно, а не прятать в политике конфиденциальности. Баннеры и многоуровневые уведомления помогают.

Уведомление в нужный момент

Человека информируют до сбора или в момент сбора, в том числе о том, кто участвующие партнёры.

Простой opt-out

Отказаться должно быть просто, желательно до начала сбора.

Немедленный и долговременный эффект

Opt-out действует сразу и продолжает действовать при следующих посещениях.

Только нечувствительные данные

Сбор по возможности ограничивается нечувствительной информацией.

Быстрое удаление

Данные уничтожаются или обезличиваются как можно скорее.

Обязанности сайта

Что нужно сайту с рекламой для Канады

  1. Назначьте ответственногоОпределите, кто отвечает за конфиденциальность, и опубликуйте контакт для вопросов и запросов.
  2. Объясните рекламу простым языкомВ политике конфиденциальности и в заметном уведомлении расскажите, что сайт использует cookie и партнёров для рекламы на основе интересов, и кто эти партнёры.
  3. Предложите работающий opt-outПостоянная ссылка, например «Выбор конфиденциальности» или «Настройки рекламы», которая сразу отключает отслеживание и запоминает выбор.
  4. Не отслеживайте детейOPC рекомендует избегать отслеживания детей и сайтов, ориентированных на них, потому что осмысленное согласие в этом случае получить трудно.
  5. Выполняйте запросы на доступЧеловек может просить показать его данные и исправить их. Сделайте для этого понятный путь.
  6. Фиксируйте утечки и сообщайте о нихОб утечках с реальным риском значительного вреда нужно сообщать в OPC и пострадавшим. Все утечки должны записываться и храниться два года.

Контроль

Как действует Уполномоченный

OPC принимает жалобы, расследует, публикует выводы и даёт рекомендации. По PIPEDA путь принуждения компании к соблюдению закона идёт через Федеральный суд, который может давать предписания и присуждать компенсации.

Некоторые действия являются преступлением. Умышленное нарушение правил уведомления об утечках и их регистрации может повлечь штрафы. А публичное расследование OPC, даже без штрафа, обычно сильно влияет на репутацию сайта.

15 июня 2026 года правительство внесло в Палату общин законопроект C-36, который создаёт Закон о защите конфиденциальности и данных потребителей и изменяет PIPEDA. К началу ноября 2026 года законопроект находился на втором чтении и не был принят. Пока PIPEDA продолжает действовать в нынешнем виде.

Хронология

Даты, важные для тех, у кого есть канадские посетители

От рекомендаций о рекламе до законопроекта о реформе.

  1. Декабрь 2015 года

    Рекомендации по поведенческой рекламе

    OPC обновляет условия, при которых принимается opt-out в рекламе на основе интересов.

  2. Октябрь 2018 года

    Руководство по утечкам

    OPC публикует рекомендации по уведомлению об утечках данных и их регистрации.

  3. 22 сентября 2022 года

    Квебек начинает действие Закона 25

    Провинция начинает поэтапное вступление в силу своего закона в три фазы. Для посетителей из Квебека правила строже.

  4. 15 июня 2026 года

    Законопроект C-36

    Законопроект о федеральной реформе конфиденциальности вносится в Палату общин.

AdSense и Ad Manager

Что меняется в рекламе Google

Политика Google о согласии пользователей ЕС действует для ЕЭЗ, Великобритании и Швейцарии. Канады в этом списке нет, поэтому Google не требует сертифицированную CMP или сообщение TCF для канадского трафика.

Тем не менее правила Google для издателей действуют по всему миру. Политика конфиденциальности сайта должна говорить, что третьи стороны могут записывать и читать cookie или использовать веб-маяки и IP-адреса для показа рекламы. А контент, ориентированный на детей, не может получать рекламу на основе интересов.

Чтобы соблюдать PIPEDA, издатель обычно сочетает три элемента: заметное уведомление о персонализированной рекламе, постоянную ссылку opt-out и CMP или настройку, которая перестаёт запрашивать персонализированную рекламу для тех, кто отказался. Для посетителей из Квебека настройка должна быть строже из-за Закона 25.

На практике

Что можно и что нельзя для канадских посетителей

Примеры на основе рекомендаций OPC о согласии и рекламе.

Можно

  • Персонализированная реклама с opt-out, когда уведомление ясное, а данные нечувствительные
  • Многоуровневое уведомление, объясняющее рекламу уже при первом посещении
  • Постоянная ссылка «Выбор конфиденциальности» в футере
  • Неперсонализированная реклама для тех, кто отказался
  • Более строгая настройка только для посетителей из Квебека
  • Политика конфиденциальности со списком рекламных партнёров

Нельзя

  • Объяснять отслеживание только в середине политики конфиденциальности
  • Opt-out, который пропадает при следующем посещении или ничего не отключает
  • Использовать данные о здоровье или финансах для рекламы без явного согласия
  • Отслеживать посетителей на страницах, сделанных для детей
  • Блокировать контент для тех, кто отказывается от отслеживания
  • Думать, что европейская настройка решает всё в Канаде

В ConsentMode

Что аудит проверяет для посетителей из Канады

  • Открывает сайт как канадский посетитель и показывает на скриншоте, есть ли заметное уведомление о персонализированной рекламе.
  • Ищет ссылку opt-out, нажимает на неё и проверяет, меняют ли поведение рекламные теги.
  • Определяет CMP и показывает, меняется ли сообщение между Квебеком, остальной Канадой и Европой.
  • Читает политику конфиденциальности и указывает, не хватает ли партнёров, cookie, контакта ответственного и способа доступа к данным.
  • Отмечает контент, который выглядит ориентированным на детей, с персонализированной рекламой.
Запустить аудитПосмотреть всё, что проверяется

Частые вопросы о PIPEDA

Нужен ли баннер cookie для Канады?

PIPEDA не требует баннера в европейском формате. Она требует осмысленного согласия. Для рекламы на основе интересов OPC принимает opt-out, если уведомление очевидно, а opt-out простой, немедленный и долговременный. Многоуровневое уведомление обычно самый простой способ это обеспечить.

В чём разница между PIPEDA и Законом 25?

PIPEDA федеральная и действует по всей стране. Закон 25 принадлежит Квебеку и строже, с высокими административными штрафами и собственными правилами для технологий отслеживания. Для посетителей из Квебека следуйте Закону 25.

Может ли OPC оштрафовать мой сайт?

По PIPEDA OPC расследует и даёт рекомендации, а дела могут передаваться в Федеральный суд. Некоторые действия, например умышленное нарушение правил об утечках, являются преступлением и могут повлечь штрафы. Законопроект C-36, всё ещё в процессе рассмотрения, предлагает изменить эту модель.

Требует ли Google сертифицированную CMP для Канады?

Нет. Требование сертифицированной CMP с TCF действует для ЕЭЗ, Великобритании и Швейцарии. Для Канады действуют общие правила Google и канадский закон.

Мой сайт бразильский. Применяется ли ко мне PIPEDA?

Может применяться, когда у сайта есть реальная связь с канадской аудиторией, например контент и реклама, ориентированные на Канаду. Этот анализ юридический. На практике предложить чёткое уведомление и opt-out канадским посетителям это простая настройка.

Библиотека

Официальные источники

Это руководство составлено по этим официальным страницам. Читайте прямо в источнике:

Проверьте, что видит канадский посетитель на вашем сайте

Аудит тестирует уведомление, opt-out, CMP и политику конфиденциальности и выдаёт план исправлений.

Начать аудит