指南 · 魁北克法律

魁北克第 25 号法案：对有广告的网站更严格的隐私规定

第 25 号法案使魁北克的数据保护现代化，并为识别、定位或对个人建立画像的技术（如广告 Cookie）制定了专门规则。本指南介绍每个阶段发生了什么变化、法律对网站有什么要求，以及出错的代价。

立即审核我的网站阅读指南

✓基于魁北克的法律和 Commission d'accès à l'information 的文件
✓针对 Cookie 和广告的实用示例
✓读取网站，不修改任何内容

3个生效阶段，从 2022 年到 2024 年

1000 万加元，对企业的行政处罚上限

2%全球营业额的一定比例，当该金额大于 1000 万时

2023大部分义务开始生效的年份

是什么

改革魁北克隐私制度的法律

第 25 号法案是魁北克使个人信息保护规则现代化的那部法律的通称。它于 2021 年 9 月通过，修订了多部法律，其中包括适用于企业的《私营部门个人信息保护法》。

魁北克是加拿大拥有自己的私营部门法律的省份之一。因此，对于魁北克的访问者和客户，第 25 号法案通常是主要规则，而不是联邦的 PIPEDA。

负责监督的是 Commission d'accès à l'information（CAI）。有了第 25 号法，CAI 获得了更多权力，包括实施金钱性行政处罚的权力。

这部法律比 PIPEDA 更接近欧洲的 GDPR。它要求明确的同意、透明度、风险评估，以及企业内部负责数据保护的人员。

清单

你需要做到的事项

魁北克私营部门法律对接待该省访客的、带广告的网站有哪些要求。

1
告知存在跟踪，并让访客自行启用
在使用可识别、定位或建立画像的技术收集数据之前，要告知使用了这项技术，以及有哪些方式可以启用这些功能。使用 Google 标签时，Consent Mode 可以只对魁北克默认设为拒绝。
示例
我们使用会根据您的兴趣建立画像的 cookie 来投放广告。只有您启用后，它们才会生效。
```
gtag('consent', 'default', {
  'ad_storage': 'denied',
  'ad_user_data': 'denied',
  'ad_personalization': 'denied',
  'wait_for_update': 500,
  'region': ['CA-QC']
});
```
高质量的同意
同意必须是明确的、自愿的、知情的，并针对具体目的给出。请用简单清晰的措辞征求，并与其他信息分开。
示例
个性化广告：启用或不启用。受众测量：启用或不启用。
对敏感数据要有明确的“同意”
当信息属于敏感信息（如健康或财务）时，同意必须以明示的方式给出。
网站上的保密政策
通过技术手段收集数据的一方，必须用简单清晰的措辞发布保密政策。Google 还要求政策说明，包括 Google 在内的第三方会使用 cookie 来展示广告。
公布负责人的职务和联系方式
负责个人信息保护的人员的职务和联系方式必须公布，例如公布在网站上。
示例
个人信息保护负责人：总经理。联系方式：privacy@yoursite.com
14 岁以下的未成年人
未经享有亲权的人同意，不得收集 14 岁以下未成年人的信息，明显有利于该未成年人的情况除外。
在 30 天内答复
访问或更正请求须在 30 天内以书面形式答复。在此期限内没有答复的，该请求视为被拒绝。
有严重风险的事件
如果保密事件存在造成严重伤害的风险，企业必须及时通知 CAI。

实际案例

正确与错误示例

错误所有内容都默认启用，访客还得自己找在哪里关闭。
正确个性化广告默认关闭，由访客选择是否启用。
错误标签在访客看到任何通知之前就建立了画像。
正确对于魁北克，个性化广告标签会等待访客做出选择。
错误政策冗长、含糊，没有说明谁对这些数据负责。
正确保密政策简单、清晰，并写明负责人的联系方式。

官方工具

经认证的 CMP 与官方链接

Google 对魁北克没有要求使用认证 CMP，也没有专门的消息，所以配置由发布者自行负责，以下是官方参考链接。

适用对象

第 25 号法案何时适用于你的网站

该法律针对收集、保存、使用或传达魁北克人个人信息的企业。

魁北克的企业

任何在魁北克经营的企业都要遵守该法律，无论规模大小。

在魁北克有受众的外地企业

其他省份或其他国家、与魁北克居民有业务往来的网站也可能被涵盖。这需要从法律角度分析。

个人信息

任何能直接或间接识别自然人的个人信息，比如用于广告的标识符。

追踪技术

识别、定位或对个人建立画像的工具有专门规则，直接涉及广告 Cookie 和广告标签。

时间线

第 25 号法案的三个阶段

生效分三年逐步进行，从 2022 年 9 月 22 日开始。

2021 年 9 月
法律通过
魁北克国民议会通过了使个人信息保护现代化的法律。
2022 年 9 月 22 日
第一阶段
个人信息保护负责人制度以及保密事件规则开始生效。
2023 年 9 月 22 日
第二阶段，也是最大的一个阶段
大部分义务开始生效：用户同意、保密政策、追踪技术、影响评估，以及 CAI 的新权力，包括行政罚款。
2024 年 9 月 22 日
第三阶段
可携带权开始生效，个人可以以结构化、常用的技术格式获取自己的数据。

Cookie 和追踪

识别、定位或建立画像的技术

私营部门法第 8.1 条规定，在使用能够识别、定位或对个人建立画像的技术收集信息之前，企业必须告知其使用了该技术，以及有哪些方式可以启用这些功能。

在法律上，画像是指利用个人信息来评估个人的特征，比如经济状况、健康、偏好或兴趣。个性化广告的 Cookie 正是这样做的。

法律说的是启用这些功能的方式。最常见的理解是，这些功能一开始是关闭的，只有当个人选择启用时才会运作。因此，对魁北克的访问者来说，最稳妥的模式与欧洲类似：只有在得到“同意”之后才投放个性化广告。

还有第 9.1 条，要求具有隐私参数的技术产品和服务默认采用最高级别的保密性。该条本身把 Cookie 参数排除在此点之外，Cookie 仍适用透明度和用户同意的规则。

同意

第 25 号法案中的用户同意应该是什么样

法律要求高质量的同意：针对每个目的分别征求，并使用简明的语言。

明确表示

个人的意愿必须清楚。沉默或不作为不够。

自由且知情

个人在没有压力的情况下选择，并且明白自己接受的是什么。

针对特定目的

针对每个目的分别提出请求，与其他信息分开，用简单清晰的语言。

敏感数据需明示同意

敏感信息，如健康或财务数据，需要明示同意。

网站的义务

企业需要具备什么

除了横幅，第 25 号法案还要求有组织架构和文件。

数据保护负责人

默认情况下，由企业中权力最高的人担任。该职责可以书面委托，职位和联系方式必须在网站上公布。

保密政策

通过技术手段收集数据的人，必须在网站上发布用简单清晰的语言写成的保密政策。

影响评估

涉及个人信息的系统项目，以及向魁北克以外传输数据，都需要评估对隐私的影响因素。

保密事件

存在严重伤害风险的事件，必须向 CAI 和受影响的人报告，所有事件都必须记录在案。

治理规则

企业采用关于数据保存和销毁、职责和责任，以及投诉处理的内部规则。

保存和销毁

目的结束后，数据按法律规定被销毁或匿名化。

权利

个人可以提出什么请求

第 25 号法案扩大了数据被企业处理的个人所享有的权利。

访问和更正

查看被保存的数据，并要求更正错误的内容。

撤回同意

随时改变主意，针对依赖同意的用途撤回同意。

取消索引

在一定条件下，要求某条信息不再被传播，或要求带有本人姓名的链接不再指向它。

可携带性

自 2024 年 9 月 22 日起，以结构化、常用的格式获取数据。

执法和处罚

CAI 可以处以高额罚款

自第二阶段起，CAI 可以处以行政罚款。对企业来说，最高金额为 1000 万加元，或上一财政年度全球营业额的 2%，以较高者为准。对自然人，上限为 5 万加元。

2023 年 5 月，CAI 发布了一个总体框架，说明其决定何时处罚、处罚多少，以及何时倾向于走刑事途径的标准。较严重的案件可能走这条路径，有各自的罚款。

法律还让个人更有力量通过法院寻求赔偿。对有广告的网站来说，实际风险来自三个方面：访问者的投诉、CAI 的调查，以及对声誉的影响。

AdSense 和 Ad Manager

对 Google 广告有什么变化

Google 并不要求加拿大使用认证的 CMP 或 TCF 消息。欧盟用户同意政策只适用于欧洲经济区、英国和瑞士。也就是说，魁北克的配置由发布商自己负责。

在实践中，许多发布商用 CMP 向魁北克显示一条消息，让用户在个性化广告之前做出明确选择。对于拒绝的用户，网站可以在 Google 标签中请求非个性化广告，保住部分收入。

Google 发布商政策仍然适用：隐私政策必须说明第三方会写入和读取 Cookie 以投放广告，并且面向儿童的内容不能投放基于兴趣的广告。

实际案例

对魁北克访问者可以做什么，不可以做什么

有广告的网站上常见的配置示例。

可以

只向魁北克的访问者显示用户同意消息
让画像功能保持关闭，直到用户启用
对未接受的用户投放非个性化广告
公布数据保护负责人的职位和联系方式
用清晰简单的法语撰写保密政策
提供固定链接，随时更改选择

不可以

在做出任何选择之前就启用画像 Cookie
只说网站使用 Cookie、却没有启用与否选项的提示
把所有目的合并成一个“同意”
保密政策被藏起来，或只有另一种语言
未经明示同意，将健康数据用于广告
不评估法律，就对魁北克采用与加拿大其他地区相同的配置

在 ConsentMode 中

审核对魁北克访问者检查什么

以魁北克访问者的身份打开网站，并用截图显示是否有用户同意消息，以及提供哪些选项。
检查 Cookie 和个性化广告标签是否在选择之前就加载。
识别 CMP，并把魁北克的消息与加拿大其他地区以及欧洲的消息进行比较。
阅读保密政策，指出是否缺少负责人、追踪技术和合作伙伴。
提供按优先级排序的修正计划，但不能替代法律分析。

开始审核查看所有检查项

关于第 25 号法案的常见问题

魁北克需要 Cookie 横幅吗？

法律要求让个人知情，并有方式启用识别、定位和画像功能。在实践中，最简单的做法是显示一条用户同意消息，并默认关闭画像功能。

分析类 Cookie 也包括在内吗？

取决于它们做什么。如果它们识别个人或对其建立画像，就适用第 8.1 条。汇总的、不含画像的衡量，风险较小。建议与法务一起评估每个工具。

最高罚款是多少？

CAI 对企业的行政罚款最高为 1000 万加元，或上一年度全球营业额的 2%，以较高者为准。刑事途径有各自的罚款。

我可以使用与 GDPR 相同的配置吗？

它通常能满足第 25 号法案的大部分要求，因为它同样要求在追踪之前先得到“同意”。但魁北克不要求欧洲的 TCF 消息，而且保密政策必须提到该法律和当地的负责人。

ConsentMode 能代替影响评估吗？

不能。审核会通过截图和修正计划，展示网站对魁北克访问者做了什么。影响评估和法律分析仍由你的团队负责。

资料库

官方来源

本指南根据以下官方页面编写。请直接阅读原文：

看看魁北克访问者眼中的你的网站

审核会检查消息、Cookie、CMP 和保密政策，并告诉你要修正什么。

开始审核