Мой кабинет

Руководство · Закон Квебека

Закон 25 Квебека: более строгая конфиденциальность для тех, у кого есть реклама

Закон 25 модернизировал защиту данных в Квебеке и ввел собственные правила для технологий, которые идентифицируют, определяют местоположение или создают профили людей, например рекламных cookie. Это руководство показывает, что изменилось на каждом этапе, чего закон требует от сайта и сколько стоит ошибка.

Проверить мой сайт сейчасЧитать руководство
  • ✓Основано на законе Квебека и документах Commission d'accès à l'information
  • ✓Практические примеры для cookie и рекламы
  • ✓Чтение сайта без каких-либо изменений
3этапа вступления в силу, с 2022 по 2024 год
10 млнканадских долларов: верхний предел административного штрафа для компаний
2%от мирового оборота, если эта сумма больше 10 миллионов
2023год, когда вступила в силу большая часть обязанностей

Что это

Закон, реформировавший конфиденциальность в Квебеке

Закон 25 это распространенное название закона Квебека, который модернизировал правила защиты персональной информации. Он принят в сентябре 2021 года и изменил несколько законов, среди них Закон о защите персональной информации в частном секторе, который действует для компаний.

Квебек это одна из канадских провинций с собственным законом для частного сектора. Поэтому для посетителей и клиентов из Квебека Закон 25 обычно является основным правилом, а не федеральный PIPEDA.

Контроль осуществляет Commission d'accès à l'information (CAI). С Законом 25 CAI получила больше полномочий, в том числе право применять административные денежные санкции.

Закон ближе к европейскому GDPR, чем PIPEDA. Он требует четкого согласия, прозрачности, оценки рисков и ответственного за защиту данных внутри компании.

Чек-лист

Что нужно выполнить

Что требует закон Квебека о частном секторе от сайта с рекламой, который принимает посетителей из провинции.

  1. Сообщите об отслеживании и дайте человеку возможность включить его

    Прежде чем собирать данные с помощью технологии, которая идентифицирует, определяет местоположение или создаёт профили, сообщите, что используете такую технологию, и какие есть способы включить эти функции. С тегами Google Consent Mode может начинать с отказа только для Квебека.

    Пример

    Мы используем cookie, которые создают профиль ваших интересов для рекламы. Они работают, только если вы их включите.

    gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'wait_for_update': 500,
  'region': ['CA-QC']
});

  2. Качественное согласие

    Согласие должно быть явным, свободным, осознанным и данным для конкретных целей. Запрашивайте его простыми и понятными словами, отдельно от другой информации.

    Пример

    Персонализированная реклама: Включить или Не включать. Измерение аудитории: Включить или Не включать.

  3. Явное «да» для чувствительных данных

    Когда информация чувствительная, например о здоровье или финансах, согласие должно быть дано в явной форме.

  4. Политика конфиденциальности на сайте

    Тот, кто собирает данные технологическими средствами, должен опубликовать политику конфиденциальности простыми и понятными словами. Google также требует, чтобы в ней говорилось, что третьи стороны, например Google, используют cookie для показа рекламы.

  5. Опубликованы должность и контакт ответственного

    Должность и контакт лица, ответственного за защиту персональной информации, должны быть опубликованы, например на сайте.

    Пример

    Ответственный за защиту персональной информации: генеральный директор. Контакт: privacy@yoursite.com

  6. Лица младше 14 лет

    Информацию о лице младше 14 лет нельзя собирать у него без согласия того, кто имеет родительскую власть, кроме случаев, когда сбор явно в его интересах.

  7. Отвечайте в течение 30 дней

    На запросы о доступе или исправлении нужно отвечать письменно в течение 30 дней. Если в этот срок ответа нет, запрос считается отклонённым.

  8. Инциденты с серьёзным риском

    Если инцидент с конфиденциальностью создаёт риск серьёзного вреда, компания должна оперативно уведомить CAI.

На практике

Как правильно и как неправильно

Официальные инструменты

Сертифицированные CMP и официальные ссылки

Google не требует сертифицированную CMP и не имеет отдельного сообщения для Квебека, поэтому настройка остаётся за издателем, а это официальные ссылки для справки.

К кому относится

Когда Закон 25 охватывает ваш сайт

Закон касается компаний, которые собирают, хранят, используют или передают персональную информацию людей в Квебеке.

Компании в Квебеке

Любая компания, работающая в Квебеке, обязана соблюдать закон, независимо от размера.

Иностранные компании с аудиторией в Квебеке

Сайты из других провинций или стран, которые ведут дела с жителями Квебека, могут подпадать под закон. Этот анализ юридический.

Личная информация

Любая информация о физическом лице, позволяющая прямо или косвенно его идентифицировать, например идентификаторы, используемые для рекламы.

Технологии отслеживания

Инструменты, которые идентифицируют, определяют местоположение или создают профили людей, подчиняются отдельным правилам, напрямую затрагивающим cookie и рекламные теги.

Хронология

Три этапа Закона 25

Вступление в силу было растянуто на три года, начиная с 22 сентября 2022 года.

  1. Сентябрь 2021 года

    Закон принят

    Национальная ассамблея Квебека принимает закон, модернизирующий защиту персональной информации.

  2. 22 сентября 2022 года

    Первый этап

    Начинают действовать должность ответственного за защиту персональной информации и правила об инцидентах конфиденциальности.

  3. 22 сентября 2023 года

    Второй этап, самый крупный

    Вступает в силу большая часть обязанностей: согласие, политика конфиденциальности, технологии отслеживания, оценки воздействия и новые полномочия CAI, включая административные санкции.

  4. 22 сентября 2024 года

    Третий этап

    Начинает действовать право на переносимость, позволяющее человеку получить свои данные в структурированном, широко используемом технологическом формате.

Cookie и отслеживание

Технологии, которые идентифицируют, определяют местоположение или создают профили

Статья 8.1 закона о частном секторе гласит, что перед сбором информации с помощью технологии, способной идентифицировать, определять местоположение или создавать профиль человека, компания должна сообщить, что использует эту технологию, и о способах активации этих функций.

Профилирование, с точки зрения закона, это использование персональной информации для оценки характеристик человека, например экономического положения, здоровья, предпочтений или интересов. Именно это делают cookie персонализированной рекламы.

Закон говорит о способах активации этих функций. Наиболее распространенное прочтение: они изначально выключены и начинают работать, только когда человек решает их включить. Поэтому для посетителей из Квебека самая безопасная модель похожа на европейскую: персонализированная реклама только после согласия.

Есть также статья 9.1, которая требует по умолчанию наивысшего уровня конфиденциальности в технологических продуктах и услугах с параметрами конфиденциальности. Сама статья исключает из этого пункта параметры cookie, которые по-прежнему подчиняются правилам прозрачности и согласия.

Согласие

Каким должно быть согласие по Закону 25

Закон требует качественного согласия, запрашиваемого для каждой цели и простыми словами.

Явное

Воля человека должна быть ясной. Молчания или бездействия недостаточно.

Свободное и осознанное

Человек выбирает без давления и понимает, с чем соглашается.

Для конкретных целей

Запрос делается для каждой цели, отдельно от другой информации, простым и понятным языком.

Прямое для чувствительных данных

Чувствительная информация, например о здоровье или финансовые данные, требует прямого согласия.

Обязанности сайта

Что должно быть у компании

Кроме баннера, Закон 25 требует структуры и документов.

Ответственный за защиту данных

По умолчанию это лицо с наивысшими полномочиями в компании. Функцию можно делегировать письменно, а должность и контакт нужно опубликовать на сайте.

Политика конфиденциальности

Тот, кто собирает данные технологическими средствами, должен опубликовать на сайте политику конфиденциальности простыми и понятными словами.

Оценка воздействия

Проекты систем, связанные с персональной информацией, и передача данных за пределы Квебека требуют оценки факторов, касающихся частной жизни.

Инциденты конфиденциальности

Об инцидентах, создающих риск серьезного вреда, нужно сообщать в CAI и пострадавшим, а все инциденты должны фиксироваться.

Правила управления

Компания принимает внутренние правила о хранении и уничтожении данных, ролях и обязанностях и рассмотрении жалоб.

Хранение и уничтожение

Когда цель исчерпана, данные уничтожаются или анонимизируются в соответствии с законом.

Права

Что может запросить человек

Закон 25 расширил права тех, чьи данные обрабатывают компании.

Доступ и исправление

Увидеть хранящиеся данные и потребовать исправить неверные.

Отозвать согласие

В любой момент передумать относительно использований, которые зависят от согласия.

Деиндексация

Потребовать, чтобы информация перестала распространяться или чтобы ссылка с именем человека перестала вести к ней, при определенных условиях.

Переносимость

С 22 сентября 2024 года получать данные в структурированном, широко используемом формате.

Контроль и санкции

CAI может налагать высокие штрафы

Со второго этапа CAI может налагать денежные административные санкции. Для компаний максимальная сумма составляет 10 миллионов канадских долларов или 2% мирового оборота за предыдущий финансовый год, в зависимости от того, что больше. Для физических лиц потолок составляет 50 тысяч долларов.

В мае 2023 года CAI опубликовала общую схему с критериями, по которым она решает, когда применять санкцию и в каком размере, а когда предпочесть уголовный путь. Более серьезные случаи могут идти по этому пути, со своими штрафами.

Закон также дает людям больше возможностей добиваться возмещения в суде. Для сайта с рекламой практический риск идет с трех сторон: жалобы посетителей, расследование CAI и влияние на репутацию.

AdSense и Ad Manager

Что меняется в рекламе Google

Google не требует сертифицированной CMP или сообщения TCF для Канады. Политика Google о согласии пользователей из ЕС действует только для ЕЭЗ, Великобритании и Швейцарии. То есть настройка для Квебека лежит на ответственности издателя.

На практике многие издатели используют CMP, чтобы показывать посетителям из Квебека сообщение с четким выбором перед персонализированной рекламой. Для отказавшихся сайт может запрашивать в тегах Google неперсонализированную рекламу, сохраняя часть дохода.

Политики Google для издателей продолжают действовать: политика конфиденциальности должна объяснять, что третьи лица записывают и читают cookie для показа рекламы, а контент для детей не может получать рекламу на основе интересов.

На практике

Что можно и что нельзя для посетителей из Квебека

Примеры настроек, которые встречаются на сайтах с рекламой.

Можно

  • Показывать сообщение о согласии только посетителям из Квебека
  • Держать функции профилирования выключенными, пока человек их не включит
  • Показывать неперсонализированную рекламу тем, кто не согласился
  • Опубликовать должность и контакт ответственного за защиту данных
  • Иметь политику конфиденциальности на ясном и простом французском языке
  • Постоянная ссылка, чтобы менять выбор в любой момент

Нельзя

  • Включать профильные cookie до какого-либо выбора
  • Уведомление, которое лишь сообщает об использовании cookie, без возможности включить или нет
  • Объединять все цели в одно общее «да»
  • Политика конфиденциальности, спрятанная или только на другом языке
  • Использовать данные о здоровье для рекламы без прямого согласия
  • Применять к Квебеку ту же настройку, что и к остальной Канаде, не оценив закон

В ConsentMode

Что аудит проверяет для посетителей из Квебека

  • Открывает сайт как посетитель из Квебека и показывает на скриншоте, есть ли сообщение о согласии и какие варианты оно предлагает.
  • Проверяет, загружаются ли cookie и теги персонализированной рекламы до выбора.
  • Определяет CMP и сравнивает сообщение для Квебека с сообщением для остальной Канады и для Европы.
  • Читает политику конфиденциальности и указывает, не хватает ли ответственного лица, технологий отслеживания и партнеров.
  • Дает план исправлений в порядке приоритета, не заменяя юридический анализ.
Запустить аудитПосмотреть всё, что проверяется

Частые вопросы о Законе 25

Нужен ли мне баннер cookie для Квебека?

Закон требует, чтобы человека проинформировали и дали ему способы активировать функции идентификации, определения местоположения и профилирования. На практике самый простой способ это выполнить: сообщение о согласии с выключенными по умолчанию функциями профилирования.

Относятся ли сюда аналитические cookie?

Зависит от того, что они делают. Если они идентифицируют человека или создают его профиль, они подпадают под статью 8.1. Агрегированные измерения без профилирования несут меньший риск. Каждый инструмент стоит оценить вместе с юристом.

Каков максимальный штраф?

Административная санкция CAI для компаний достигает 10 миллионов канадских долларов или 2% мирового оборота за предыдущий год, в зависимости от того, что больше. У уголовного пути свои штрафы.

Могу ли я использовать ту же настройку, что и для GDPR?

Она обычно покрывает значительную часть Закона 25, потому что тоже требует согласия до отслеживания. Но европейское сообщение TCF в Квебеке не требуется, а политика конфиденциальности должна ссылаться на закон и местного ответственного.

Заменяет ли ConsentMode оценку воздействия?

Нет. Аудит показывает, что сайт делает для посетителя из Квебека, со скриншотами и планом исправлений. Оценка воздействия и юридический анализ остаются за вашей командой.

Библиотека

Официальные источники

Это руководство составлено по этим официальным страницам. Читайте прямо в источнике:

Посмотрите на свой сайт глазами посетителя из Квебека

Аудит проверяет сообщение, cookie, CMP и политику конфиденциальности и показывает, что исправить.

Начать аудит