PIPEDA (Kanada)

PIPEDA to kanadyjska ustawa o ochronie danych osobowych w sektorze prywatnym.

Zakres kanadyjskiej ustawy

PIPEDA to Personal Information Protection and Electronic Documents Act, kanadyjska ustawa federalna regulująca zbieranie, wykorzystywanie i ujawnianie danych osobowych przez organizacje prowadzące działalność komercyjną. Nadzoruje ją urząd komisarza do spraw prywatności Kanady. Ustawa dotyczy sektora prywatnego, a nie administracji federalnej, którą obejmują odrębne przepisy. Niektóre prowincje mają własne, uznane za zasadniczo podobne, regulacje obowiązujące zamiast ustawy federalnej w obrocie wewnątrzprowincjonalnym.

Jak wypada w zestawieniu z RODO

Obie regulacje opierają się na tych samych fundamentach: celowości zbierania danych, ograniczeniu zakresu do niezbędnego minimum, prawie osoby do dostępu i sprostowania oraz obowiązku zabezpieczenia informacji. Różnią się konstrukcją. PIPEDA zbudowana jest wokół zestawu zasad uczciwego przetwarzania i mocno akcentuje zgodę, którą rozumie stopniowalnie, dopuszczając zgodę wyraźną przy danych wrażliwych i dorozumianą przy mniej wrażliwych. RODO operuje zamkniętym katalogiem podstaw prawnych, w którym zgoda jest tylko jedną z kilku, obok umowy czy uzasadnionego interesu. Kanada uzyskała od Komisji Europejskiej decyzję o odpowiednim stopniu ochrony w zakresie objętym tą ustawą, co ułatwia przekazywanie danych z Unii do kanadyjskich podmiotów komercyjnych.

Kiedy polska firma napotyka te przepisy

Najczęściej wtedy, gdy prowadzi wysyłkę handlową do klientów w Kanadzie, korzysta z kanadyjskiego dostawcy usługi w chmurze albo obsługuje kanadyjską spółkę matkę. Warto wiedzieć, że kwestię niezamówionej korespondencji handlowej reguluje w Kanadzie osobna ustawa antyspamowa, znana jako CASL, i to ona, a nie sama PIPEDA, wyznacza wymogi dotyczące zgody na wysyłkę oraz mechanizmu rezygnacji. Mylenie tych dwóch aktów prowadzi do niepełnej zgodności. Podstawową ostrożnością jest niepowielanie założenia, że skoro procedury spełniają RODO, to automatycznie spełniają wymagania kanadyjskie, oraz sprawdzenie w umowie z dostawcą, w jakim kraju fizycznie leżą serwery z danymi.

Bezpieczeństwo danych po stronie sprzętu

Zgodność z przepisami rozbija się często o rzeczy przyziemne: dysk laptopa handlowca bez szyfrowania, brak kopii zapasowej bazy kontaktów, stary komputer oddany do utylizacji bez skutecznego usunięcia danych. Zajmujemy się tą stroną w Warszawie: włączamy szyfrowanie nośników, ustawiamy kopie zapasowe, trwale kasujemy dane ze zwracanego sprzętu. Pracujemy dla firm i osób prywatnych całą dobę, przez siedem dni w tygodniu.