Costruire la fiducia nella sua attività con la conformità PIPEDA

Il PIPEDA definisce le informazioni personali come qualsiasi informazione su un individuo identificabile. Possono includere dati come nome, età, sesso, razza, stato civile, indirizzo di casa, numeri di identificazione, numero di patente di guida, numero di assicurazione sociale, ecc.

Il PIPEDA richiede livelli di protezione più elevati per le informazioni personali sensibili. Sebbene la legge non definisca cosa si intende per informazioni personali sensibili, chiarisce che qualsiasi informazione può essere sensibile a seconda del contesto. Il PIPEDA cita come esempi l’anamnesi medica e i dati sul reddito.

Esistono alcune eccezioni all’applicabilità del PIPEDA. Non si applica a

• Organizzazioni governative coperte dalla Legge sulla Privacy
• La raccolta, l’uso o la divulgazione di informazioni personali da parte di un individuo per scopi strettamente personali o domestici.
• La raccolta, l’uso o la divulgazione di informazioni personali da parte di un’organizzazione, esclusivamente per scopi giornalistici, artistici o letterari.

Il PIPEDA non si applica alle organizzazioni che operano solo nelle province di Alberta, British Columbia e Quebec, in quanto sono tenute a seguire le leggi provinciali sulla privacy simili al PIPEDA.

L’Office of the Privacy Commissioner of Canada (OPC) è l’autorità di vigilanza per l’attuazione del PIPEDA. È l’unica agenzia federale responsabile della supervisione della conformità al PIPEDA, mentre ogni provincia e territorio designa la propria autorità di vigilanza in base alla legge sulla privacy applicabile.

L’OPC ha poteri investigativi per esaminare i reclami relativi alla gestione delle informazioni personali e per promuovere i diritti alla privacy delle persone. L’OPC ha anche il potere di condurre audit sulle organizzazioni e di risolvere i reclami attraverso meccanismi di risoluzione delle controversie. Tuttavia, l’OPC ha poteri correttivi limitati.

Sì, il PIPEDA consente il trasferimento di informazioni personali al di fuori del Canada. Tuttavia, il PIPEDA non contiene disposizioni specifiche relative al trasferimento transfrontaliero di dati. Tuttavia, tutti i trasferimenti di informazioni personali a qualsiasi elaboratore terzo, sia all’interno del Canada che a livello internazionale, sono soggetti al principio di responsabilità previsto dal PIPEDA. In base a questo principio, le organizzazioni sono responsabili delle informazioni personali trasferite a una terza parte e sono tenute a utilizzare strumenti contrattuali o di altro tipo per garantire che la terza parte fornisca un livello di protezione comparabile.

Il Canada non è soggetto al Regolamento Generale sulla Protezione dei Dati (GDPR), in quanto il GDPR supervisiona la privacy e la protezione dei dati dei residenti nell’UE e nel SEE. Tuttavia, il GDPR ha una portata extraterritoriale, il che significa che si applica al trattamento dei dati personali delle persone nell’UE, indipendentemente dal luogo in cui avviene il trattamento. Pertanto, può essere applicato alle aziende in Canada che offrono beni o servizi a persone nell’UE, o che monitorano il comportamento di persone nell’UE.

Ecco alcuni link a cui può fare riferimento per ulteriori letture:

• Testo ufficiale del PIPEDA 
• Guida semplificata sul PIPEDA del Canada