PIPEDA Canada | Conformité grâce à Cookiebot CMP

Résumé rapide

Le PIPEDA du Canada, en bref

Le Canada dispose de plusieurs lois fédérales sur la protection des données et d’un nombre encore plus important de lois provinciales, qui constituent toutes un réseau imbriqué pour la protection des données dans le pays.

La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) – plus connu sous le nom de PIPEDA pour Personal Information Protection and Electronic Documents Act – est la loi fédérale sur la protection des données qui régit l’utilisation commerciale des renseignements personnels des résidents canadiens.

Dans le PIPEDA, les renseignements personnels sont définis comme tout type de données permettant d’identifier une personne, y compris les données que la plupart des cookies et des traceurs recueillent sur les utilisateurs de votre site web, comme les adresses IP, les identifiants uniques, les historiques de recherche et de navigation.

Saviez-vous que les sites web utilisent en moyenne 20 cookies ?

Scannez gratuitement votre site web pour les détecter et les contrôler tous.

Le PIPEDA est entrée en vigueur en 2000 et a été modifié à plusieurs reprises pour s’adapter aux changements qui ont balayé nos paysages numériques au cours des deux dernières décennies.

Il est notamment prévu que le PIPEDA fasse l’objet d’une révision majeure en 2021 et devienne la Loi sur la protection des renseignements personnels des consommateurs – le Consumer Privacy Protection Act (CPPA) – ce qui élargira les droits des résidents canadiens et actualisera le régime de consentement actuel, dans le cadre d’application de la Charte numérique du Canada.

Le PIPEDA canadien a reçu une décision d’adéquation de la part de la Commission européenne, garantissant la libre circulation des données personnelles entre le Canada et l’UE (remarque : seule le PIPEDA a été jugé adéquat, et ce sont donc uniquement les transferts de données vers et depuis le secteur commercial et privé du Canada qui sont sécurisés avec l’UE).

En bref, le PIPEDA canadien régit la collecte, l’utilisation et la communication de renseignements personnels dans le secteur privé selon 10 principes, dont le principal est l’obligation d’informer les utilisateurs en détail de la collecte de données sur votre site web et d’obtenir leur consentement préalable et valable.

Le PIPEDA est mise en œuvre par le Commissaire à la protection de la vie privée du Canada et s’applique à tous les sites web et à toutes les entreprises du monde qui traitent les renseignements personnels de résidents canadiens à des fins commerciales.

Scannez gratuitement votre site web pour savoir si vous avez des utilisateurs canadiens.

Analyse rapide du PIPEDA canadien –

• Le PIPEDA canadien est entré en vigueur en avril 2000 et a été modifié pour la dernière fois en 2018. Une révision de la loi est prévue pour 2021, abrogeant et remplaçant les parties essentielles du PIPEDA par la nouvelle Loi sur la protection de la vie privée des consommateurs (CPPA).
• Le PIPEDA canadien régit toute la collecte, l’utilisation et la communication à des fins commerciales des renseignements personnels des résidents canadiens. L’utilisation des renseignements personnels par le gouvernement fédéral est régie par une loi fédérale distincte, la Loi sur la protection des renseignements personnels.
• Le PIPEDA canadien définit les renseignements personnels comme des renseignements sur une personne identifiable, ce qui comprend les adresses IP, les recherches et l’historique du navigateur recueillis par la plupart des sites web par des cookies et traceurs tiers. Certaines données peuvent être considérées comme plus sensibles que d’autres, par exemple les données médicales et l’orientation sexuelle, et nécessitent le consentement valable des utilisateurs.
• Le PIPEDA canadien s’applique à tout site web dans le monde qui traite les informations personnelles de résidents canadiens à des fins commerciales.
• Le PIPEDA canadien donne aux utilisateurs canadiens le droit d’accéder à leurs informations personnelles, de les corriger et de contester la conformité PIPEDA de votre site web par l’intermédiaire du Commissaire à la protection de la vie privée du Canada..
• Le PIPEDA canadien fonctionne selon 10 principes, qui régissent la conformité des sites web, des entreprises et des organisations qui traitent les informations personnelles des résidents canadiens. Ils comprennent l’obligation d’informer les utilisateurs de toutes les opérations de collecte de données et d’obtenir le consentement explicite ou implicite des utilisateurs, selon la nature des données que vous collectez.
• Le PIPEDA canadien n’interdit pas le transfert de renseignements personnels à l’extérieur du Canada, mais il vous tient responsable des atteintes à la vie privée et de la non-conformité.
• Le PIPEDA canadien est régi par le Commissaire à la protection de la vie privée du Canada.
• La non-conformité au PIPEDA canadien peut entraîner des amendes allant jusqu’à 100 000 CAD.

Essayez la plateforme de gestion des consentements Cookiebot CMP

Scannez votre site web pour voir quels sont les cookies et les traceurs utilisés.

Conformité au PIPEDA avec Cookiebot CMP

La plateforme de gestion des consentements Cookiebot CMP by Usercentrics est la première solution au monde qui permet de contrôler les cookies et les traceurs sur votre site web afin de garantir la conformité avec toutes les principales lois de protection des données de la planète, notamment le PIPEDA du Canada, le RGPD de l’UE, le RGPD du Royaume-Uni, le CCPA de Californie, la LGPD du Brésil, le POPIA d’Afrique du Sud et bien d’autres.

Comme le PIPEDA vous oblige à informer les utilisateurs et à obtenir leur consentement, la conformité au PIPEDA implique de connaître et de contrôler tous les cookies et traceurs utilisés sur votre site web, et de disposer d’une solution pour recueillir les consentements valables des utilisateurs pour tous les cookies que vous utilisez.

Il s’agit d’une tâche longue et difficile pour un site web, quelles que soient sa taille et sa forme.

Heureusement, Cookiebot CMP est une solution prête à l’emploi – plug-and-play – qui a complètement automatisé l’ensemble du processus de conformité au PIPEDA pour vous et votre site web.

Construit autour d’un puissant scanner qui détecte chaque cookie et toute technologie de suivi similaire, Cookiebot CMP vous donne un aperçu total des activités de traitement des informations personnelles de votre domaine.

Cookiebot CMP vous donne des informations détaillées sur chaque cookie de votre site web, y compris son objectif, sa durée, ses spécifications techniques et son fournisseur – des éléments dont vous devez informer vos utilisateurs pour une conformité au PIPEDA.

Grâce à des bandeaux de consentement hautement personnalisables qui peuvent répondre aux exigences de conformité propres à la loi de protection des données de n’importe quelle région, y compris le PIPEDA du Canada, Cookiebot CMP offre un moyen simple de recueillir le consentement valable et éclairé des utilisateurs.

Cookiebot CMP stocke en toute sécurité les consentements recueillis, renouvelle automatiquement et régulièrement le consentement et permet aux utilisateurs de votre site web de retirer leur consentement aussi facilement qu’ils l’ont donné.

Essayez Cookiebot CMP pour la conformité au PIPEDA dès aujourd’hui

Scannez gratuitement votre site web pour voir quels cookies et traceurs sont utilisés

Consultez le site du Commissariat à la protection de la vie privée du Canada pour en savoir plus sur la conformité au PIPEDA

Lancez-vous avec Cookiebot CMP et le mode consentement de Google

Le PIPEDA canadien, en détail

Examinons de plus près le PIPEDA canadien et ses 10 principes, ainsi que son interaction avec les lois provinciales sur la protection des données au Canada (par exemple au Québec, en Alberta et en Ontario), et comparons-le au RGPD de l’UE.

Voir le texte intégral de la loi sur la protection des renseignements personnels et les documents électroniques (PIPEDA)

Les 10 principes du PIPEDA

Le PIPEDA canadien s’articule autour des dix principes dits de l’équité dans le traitement de l’information qui énoncent les règles et règlements relatifs à l’utilisation des renseignements personnels à des fins commerciales.

La définition de la finalité commerciale dans le PIPEDA comprend des actes tels que la vente ou l’échange des données de vos utilisateurs, par exemple en échange de services d’analyse ou de programmes de marketing.

Si votre site web recueille des renseignements personnels auprès de résidents canadiens, comme les adresses IP ou l’historique des recherches, et qu’il échange ensuite ces renseignements avec un service tiers en échange de services de suivi des utilisateurs ou de services de marketing, vous êtes tenu de vous conformer au PIPEDA – quelque soit l’endroit du monde où vous et votre site web opérez.

Saviez-vous que les sites web utilisent en moyenne 20 cookies ?Scannez gratuitement votre site web pour les détecter et les contrôler tous.

Les 10 principes du PIPEDA sont les suivants :

• Responsabilité
• Détermination des fins de la collecte des renseignements
• Consentement
• Limitation de la collecte
• Limitation de l’utilisation, de la communication et de la conservation
• Exactitude
• Mesures de sécurité
• Transparence
• Accès aux renseignements personnels
• Possibilité de porter plainte à l’égard du non-respect des principes

Principe 1 du PIPEDA – Responsabilité

Le premier principe du PIPEDA indique clairement que vous êtes responsable de tous les renseignements personnels que votre site web recueille et que vous devez avoir un représentant désigné chargé d’assurer votre conformité au PIPEDA.

En outre, vous devez élaborer et mettre en œuvre des politiques et des pratiques de protection de la vie privée, qui doivent être facilement accessibles à vos utilisateurs.

Pour en savoir plus, consultez le site du Commissariat à la protection de la vie privée du Canada.

Principe 2 du PIPEDA – Détermination des fins de la collecte des renseignements

Pourquoi votre site web recueille-t-il les renseignements personnels qu’il recueille ?

C’est la question à laquelle le deuxième principe du PIPEDA vous oblige à répondre – en détail et avant de recueillir des renseignements personnels auprès de vos utilisateurs.

Pour en savoir plus, consultez le site du Commissariat à la protection de la vie privée du Canada.

Principe 3 du PIPEDA – Consentement

Il s’agit du principe du PIPEDA le plus important de tous.

En bref, vous devez obtenir le consentement valable des utilisateurs avant de recueillir, d’utiliser et de partager leurs renseignements personnels.

Le « consentement valable » au sens du PIPEDA implique d’informer vos utilisateurs de ce à quoi ils consentent, par exemple en leur disant quels cookies votre site web utilise, pourquoi et à quoi vont servir les données.

Le PIPEDA stipule que le consentement n’est valable que s’il est « raisonnable de s’attendre » à ce que vos utilisateurs comprennent la nature, l’objectif et les conséquences du traitement des informations personnelles sur votre site web.

De plus, en vertu du PIPEDA, le consentement peut être implicite ou explicite.

Le consentement implicite signifie que votre site web peut collecter des informations personnelles auprès des utilisateurs en partant du principe qu’ils y consentiront, sans que leur consentement actif et explicite soit nécessaire.

Toutefois, pour que le consentement implicite soit valable, vous devez informer vos utilisateurs avant la collecte des informations sur les points suivants :

• quels types de renseignements personnels votre site web va collecter,
• à quelles fins votre site web collecte ces données,
• avec qui vous partagez ces données (par exemple, des tiers tels que Google ou Facebook),
• et quels sont les risques et les conséquences pour les utilisateurs.

Essayez Cookiebot CMP pour la conformité au PIPEDA dès aujourd’hui.

Le consentement explicite désigne l’action active et explicite de l’utilisateur qui constitue un consentement, comme par exemple cliquer sur un bouton ou cocher une case pour signaler qu’il autorise la collecte ultérieure de ses renseignements personnels.

Cette forme de consentement est obligatoire lors du traitement de renseignements personnels qui peuvent être considérés comme sensibles par nature – par exemple, des données médicales et de santé, des informations sur l’orientation sexuelle ou les convictions religieuses d’une personne.

Cependant, s’assurer que vous recueillez toujours le consentement explicite de tous les utilisateurs de votre site web est un moyen sûr d’éviter toute zone grise de non-conformité au PIPEDA.

Les autres exigences relatives à un consentement valable sont les suivantes :

• Informer les utilisateurs d’une manière facilement accessible, par exemple dans la politique de confidentialité de votre site web.
• Les utilisateurs doivent pouvoir révoquer leur consentement à tout moment, aussi facilement qu’ils l’ont donné.
• Réobtenir le consentement des utilisateurs lorsque vous apportez des modifications importantes à la configuration des cookies de votre site web, à ses pratiques en matière de confidentialité ou lorsque vous introduisez de nouvelles utilisations et de nouveaux objectifs pour la collecte des données, entre autres.
• Obtenir le consentement explicite d’un parent ou d’un tuteur pour les enfants de moins de 13 ans.

Essayez Cookiebot CMP gratuitement pendant 14 jours – ou pour toujours si vous avez un petit site web.

Scannez votre site web pour voir quels cookies et traceurs sont utilisés.

Pour en savoir plus, consultez le site du Commissariat à la protection de la vie privée du Canada.

Principe 4 du PIPEDA – Limitation de la collecte

Le cœur du quatrième principe du PIPEDA est le suivant : votre site web n’est pas autorisé à recueillir des renseignements personnels d’une manière qui excède ou dépasse les fins énoncées, auxquelles vos utilisateurs ont déjà consenti.

Si vous souhaitez utiliser des renseignements personnels à des fins différentes, vous devez réécrire votre politique de confidentialité pour inclure ces nouvelles fins – et renouveler le consentement de vos utilisateurs.

Pour en savoir plus, consultez le site du Commissariat à la protection de la vie privée du Canada.

Principe 5 du PIPEDA – Limitation de l’utilisation, de la communication et de la conservation

Tout comme le quatrième principe, le cinquième principe du PIPEDA exige que vous n’utilisiez et ne communiquiez les renseignements personnels que de la manière indiquée dans votre politique de confidentialité et à laquelle vos utilisateurs ont déjà consenti.

Vous n’êtes également autorisé à conserver les renseignements personnels (ce que l’on appelle la « conservation ») qu’aussi longtemps que nécessaire pour atteindre les objectifs dont vous avez informé vos utilisateurs et pour lesquels ils ont donné leur consentement.

Comme pour le principe précédent, si vous modifiez la manière dont vous souhaitez utiliser ou partager les renseignements personnels sur votre site web, vous devez à nouveau en informer les utilisateurs et réobtenir leur consentement.

Pour en savoir plus, consultez le site du Commissariat à la protection de la vie privée du Canada.

Principe 6 du PIPEDA – Exactitude

La conformité au PIPEDA exige que les renseignements personnels recueillis sur votre site web soient exacts, complets et à jour.

Les résidents canadiens ont le droit d’accéder aux données recueillies à leur sujet et de les faire corriger, s’ils les trouvent inexactes.

Pour en savoir plus, consultez le site du Commissariat à la protection de la vie privée du Canada.

Principe 7 du PIPEDA – Mesures de sécurité

Il vous incombe de veiller à la protection et la sécurité des renseignements personnels recueillis.

Bien que le PIPEDA ne précise pas exactement le type de mesures de sécurité que vous devez prendre sur votre site web afin de protéger les renseignements personnels de vos utilisateurs, ce principe du PIPEDA vous donne un aperçu des mesures de protection requises.

Parmi les mesures de protection proposées dans le PIPEDA, citons les suivantes :

• Les technologies de cryptage, les pare-feu et les systèmes de sécurité les plus récents,
• Des pratiques et des contrôles organisationnels pour le traitement des renseignements personnels,
• Un examen régulier des mesures de sécurité et de cryptage,

Les renseignements personnels doivent être protégés par une sécurité appropriée en fonction de leur sensibilité. Si les données recueillies sont de nature plus sensible, par exemple des données sur l’orientation sexuelle de vos utilisateurs, elles nécessiteront des mesures de protection plus strictes que des données moins sensibles.

Pour en savoir plus, consultez le site du Commissariat à la protection de la vie privée du Canada.

Principe 8 du PIPEDA – Transparence

Votre site web doit être transparent, honnête et clair quant aux types de renseignements personnels qu’il recueille, l’usage qu’il en fait et les façons dont il les recueille et les partage. Ce huitième principe du PIPEDA précise que vos politiques de confidentialité et les informations que vous fournissez aux utilisateurs doivent être faciles à comprendre et rédigées dans un langage simple (c’est-à-dire pas de longs textes juridiques). Les informations à communiquer aux utilisateurs de votre site web sont notamment les suivantes :

• la personne responsable des politiques et des pratiques de confidentialité de votre site web,
• les coordonnées des personnes à contacter par les utilisateurs pour envoyer des demandes d’accès,
• des informations sur la manière dont vos utilisateurs peuvent obtenir l’accès aux renseignements personnels que votre site web a recueillis sur eux,
• les moyens par lesquels les utilisateurs peuvent se plaindre auprès de vous,
• des informations sur les types de renseignements personnels que vous partagez avec des tiers à partir de votre site web, ainsi que les objectifs visés.

Pour en savoir plus, consultez le site du Commissariat à la protection de la vie privée du Canada.

Principe 9 du PIPEDA – Accès aux renseignements personnels

Les résidents canadiens ont le droit d’accéder aux renseignements personnels que votre site web a recueillis à leur sujet, ainsi que le droit de les faire corriger si les données ne sont pas exactes ou complètes.

Ce neuvième principe du PIPEDA explique comment vous devez répondre aux demandes des utilisateurs, notamment en indiquant aux utilisateurs :

• les renseignements personnels que votre site web a recueillis auprès d’eux,
• comment votre site web a recueilli ces données (par quels moyens),
• comment votre site web a utilisé les données collectées,
• avec qui les données ont été partagées.

Pour en savoir plus, consultez le site du Commissariat à la protection de la vie privée du Canada.

Principe 10 du PIPEDA – Possibilité de porter plainte à l’égard du non-respect des principes

Si les utilisateurs estiment que vous n’êtes pas conforme au PIPEDA, par exemple parce que vous ne respectez pas l’un des neuf principes du PIPEDA mentionnés ci-dessus, ils sont légalement autorisés à contester votre statut de conformité.

Le dernier principe du PIPEDA précise comment ces plaintes doivent être émises et comment vous devez y répondre, c’est-à-dire en fournissant aux utilisateurs un moyen simple de déposer leur plainte et en les informant de leur droit de s’adresser au Commissariat à la protection de la vie privée du Canada.

En savoir plus sur le Commissariat à la protection de la vie privée du Canada.

Le PIPEDA et les lois provinciales sur la protection des données

PIPEDA et l’Alberta, PIPEDA et la Colombie-Britannique, PIPEDA et le Québec

Bien que le PIPEDA soit une loi fédérale sur la protection des données, plusieurs provinces canadiennes ont des lois similaires sur la protection des données qui sont en vigueur parallèlement au PIPEDA.

Les lois provinciales suivantes sur la protection des données sont considérées comme équivalentes au PIPEDA. Par conséquent, si vous vous conformez à ces lois, vous n’avez pas à vous conformer en plus au PIPEDA.

Premièrement, le Personal Information Protection Act (PIPA) de l’Alberta régit l’utilisation commerciale des renseignements personnels dans cette province. Il est mis en application et supervisé par le Commissariat à l’information et à la protection de la vie privée de l’Alberta.

Deuxièmement, le Personal Information Protection Act (PIPA) de la Colombie-Britannique régit l’utilisation commerciale des renseignements personnels dans cette province. Il est mis en application et supervisé par le Commissariat à l’information et à la protection de la vie privée de la Colombie-Britannique.

Enfin, la Loi sur la protection des renseignements personnels dans le secteur privé du Québec régit l’utilisation commerciale des renseignements personnels au Québec. Elle est mise en application et supervisée par la Commission d’accès à l’information du Québec.

Essayez Cookiebot CMP gratuitement dès aujourd’hui

Scannez votre site web pour voir quels cookies sont utilisés

PIPEDA vs RGPD

Le PIPEDA est en vigueur depuis 2000 et reflète une époque de protection des données antérieure au RGPD (bien que le PIPEDA ait été modifié à plusieurs reprises en réponse aux changements dans la confidentialité des données au niveau mondial).

Les plus grandes similitudes entre le PIPEDA et le RGPD sont les suivantes :

• Le PIPEDA et le RGPD portent tous deux sur le consentement de l’utilisateur comme mécanisme permettant à votre site web de collecter et d’utiliser les renseignements personnels de vos visiteurs.
• Le PIPEDA et le RGPD définissent tous deux les renseignements personnels et les données personnelles de manière large afin d’inclure les traceurs, les cookies et les autres données que votre site web recueille tous les jours.
• Le PIPEDA et le RGPD exigent tous deux que vous informiez vos utilisateurs de la collecte et de l’utilisation prévues de leurs données par votre site web.
• Le PIPEDA et le RGPD exigent tous deux que vous limitiez l’utilisation, la divulgation et la conservation des données, et que vous assuriez la sécurité et la protection des données collectées.
• Le PIPEDA et le RGPD vous obligent à n’utiliser les données que dans le but indiqué ou à renouveler le consentement de l’utilisateur. Les deux lois vous tiennent pour responsable de l’exactitude des données.
• Le PIPEDA et le RGPD confèrent tous deux aux utilisateurs le droit d’accéder aux données collectées et le droit de les faire corriger si elles sont inexactes.

Les principales différences entre le PIPEDA et le RGPD sont les suivantes :

• Le PIPEDA s’applique uniquement à l’utilisation commerciale des renseignements personnels, alors que le RGPD s’applique à l’utilisation des données personnelles dans les secteurs public et privé.
• Le PIPEDA considère que le « consentement implicite » est valable alors que le RGPD exige que vous obteniez un « consentement explicite ».
• Le PIPEDA n’a pas de mécanisme d’adéquation mais exige que chaque site web qui souhaite transférer des renseignements personnels à l’étranger utilise des clauses de confidentialité contractuelles, alors que le RGPD exige qu’un pays ait un niveau adéquat de protection des données pour que votre site web puisse transférer librement des données personnelles de l’UE vers ce pays.

Avec la révision imminente du PIPEDA en 2021, qui abrogera et remplacera de grandes parties de la loi par la nouvelle Loi sur la protection de la vie privée des consommateurs (CPPA), le régime de protection des données du Canada pourrait se rapprocher encore plus du RGPD de l’UE, apportant aux utilisateurs canadiens un niveau de protection des données encore plus élevé que celui offert actuellement par le PIPEDA.

Résumé sur le PIPEDA

Conformité au PIPEDA avec Cookiebot CMP

Le PIPEDA est une loi solide et ancienne sur la confidentialité des données qui, comme son homologue européen, le RGPD, prévoit un régime de consentement substantiel, qui donne aux résidents canadiens des droits exécutoires et applicables sur les renseignements personnels qu’ils partagent chaque jour en ligne.

Le PIPEDA exige que votre site web obtienne le consentement valable des utilisateurs avant de collecter ou d’utiliser leurs renseignements personnels, et qu’il informe les utilisateurs des détails des processus de collecte de données.

Cookiebot CMP est une solution de conformité PIPEDA prête à l’emploi qui peut automatiser toutes les exigences en matière de confidentialité des données pour votre site web.

Cookiebot CMP offre une conformité complète et automatisée non seulement avec le PIPEDA du Canada, mais aussi avec le RGPD de l’UE, le RGPD du Royaume-Uni, le CCPA/CPRA de la Californie, la LGPD du Brésil, le POPIA de l’Afrique du Sud, le PDPA de Singapour et bien d’autres.

Essayez Cookiebot CMP gratuitement pendant 14 jours – ou pour toujours si vous avez un petit site web.

Scannez votre site web pour voir quels cookies et traceurs sont utilisés.

En savoir plus sur la conformité au RGPD

FAQ

Ressources

Essayez Cookiebot CMP gratuitement pendant 14 jours – ou pour toujours si vous avez un petit site web

Le PIPEDA en bref par le Commissariat à la protection de la vie privée du Canada

Commissariat à la protection de la vie privée du Canada

Aperçu des principes du PIPEDA par le Commissariat à la protection de la vie privée du Canada

Nouvelle projet de loi, le CPPA, pour abroger et remplacer le PIPEDA

La Charte numérique du Canada

Réforme fédérale de la protection de la vie privée au Canada : La loi sur la protection de la vie privée des consommateurs (CPPA), IAPP (en anglais)

Projet du cadre de transparence et de consentement de l’IAB Canada (ouvert aux commentaires du public jusqu’au 20 mars 2021) (en anglais)