Што PIPEDA фактычна патрабуе для згоды на cookie

PIPEDA прымяняецца да збору, выкарыстання і раскрыцця персанальнай інфармацыі арганізацыямі федэральнага рэгулявання і іншымі арганізацыямі ў ходзе камерцыйнай дзейнасці, дзе арганізацыя знаходзіцца ў правінцыі без істотна падобнага заканадаўства. Тэрытарыяльны ахоп шырокі і ахоплівае большасць выдаўцоў, якія абслугоўваюць канадскіх чытачоў, прычым самы распаўсюджаны кравы выпадак — неканадскі выдавец без канадскай інфраструктуры, але з канадскімі наведвальнікамі — вырашаецца спасылкай на тэст OPC аб рэальнай і істотнай сувязі, які выдавец, актыўна нацэлены на канадскіх чытачоў, звычайна задавальняе.

Персанальная інфармацыя вызначаецца шырока як інфармацыя аб ідэнтыфікуемай фізічнай асобе. Офіс пацвердзіў у мностве заключэнняў, што IP-адрасы, пастаянныя ідэнтыфікатары cookie, ідэнтыфікатары прылад і паводзінскія даныя, прывязаныя да гэтых ідэнтыфікатараў, з'яўляюцца персанальнай інфармацыяй па PIPEDA. Згода — гэта асноватворная прававая аснова па Законе — няма эквівалента аснове законнага інтарэсу GDPR для агульнай апрацоўкі — і гэта згода павінна быць асэнсаванай, што Офіс вызначыў як патрабуючае, каб асоба разумела, якая персанальная інфармацыя збіраецца, з кім яна будзе перададзена, мэты, для якіх яна будзе выкарыстоўвацца, і наступствы згоды ці адмовы.

Відавочная супраць падразумяванай згоды і кіраўніцтва Офіса 2018 года

PIPEDA адрознівае відавочную і падразумяваную згоду. Відавочная згода патрабуецца, калі персанальная інфармацыя адчувальная, калі апрацоўка выходзіць за рамкі разумных чаканняў асобы ці калі апрацоўка стварае значны астаткавы рызыку шкоды. Падразумяваная згода дапушчальная для апрацоўкі ў рамках разумных чаканняў асобы, якая не задзейнічае гэтыя трыгеры. Кіраўнічыя прынцыпы Офіса 2018 года па атрыманні асэнсаванай згоды ўсталявалі сучасную базавую лінію: арганізацыі павінны выявіць сем ключавых элементаў у кропцы збору — збіраемыя даныя, бакі, з якімі яны будуць перададзены, мэты, наступствы згоды і любы астаткавы рызыка — і павінны зрабіць згоду лёгкай для адмовы і адклікання. Офіс прымяніў гэтыя кіраўнічыя прынцыпы да банераў cookie ў наступных расследаваннях, з паслядоўным заключэннем, што папярэдне адзначаныя сцяжкі, няяўная згода праз працяг прагляду і звязаныя банеры згоды не задавальняюць стандарту асэнсаванай згоды.

Чым поза PIPEDA па cookie адрозніваецца ад GDPR

Тры адрозненні маюць значэнне пры падключэнні CMP для трафіку PIPEDA. Па-першае, PIPEDA не мае асобнага палажэння ў стылі ePrivacy аб cookie і не патрабуе спецыфічнай архітэктуры банера opt-in — прававое патрабаванне заключаецца ў тым, каб згода была асэнсаванай, і тэхнічная рэалізацыя, якая забяспечвае асэнсаваную згоду для еўрапейскіх наведвальнікаў, звычайна забяспечвае яе і для канадскіх наведвальнікаў, але парог, які прымяняе Офіс, функцыянальна падобны, не будучы ідэнтычным. Па-другое, PIPEDA не мае эквівалента рэжыму рашэнняў аб адэкватнасці GDPR; трансгранічная перадача персанальнай інфармацыі з Канады не патрабуе абазначэння адэкватнасці, але кантролер застаецца падсправаздачным за персанальную інфармацыю незалежна ад таго, дзе яна апрацоўваецца, і апавяшчэнне аб прыватнасці павінна быць празрыстым адносна трансгранічнай перадачы ў тэрмінах, зразумелых асобе. Па-трэцяе, архітэктура праваахоўвання PIPEDA — гэта расследаванне-і-заключэнне, а не адміністрацыйнае пакаранне ў сэнсе GDPR — Офіс выпускае заключэнні, робіць рэкамендацыі і можа звярнуцца ў Федэральны суд за загадамі, але не можа напрамую накладаць штрафы па дзеючым законе. Прапанаваны Закон аб ахове прыватнасці спажыўцоў, калі і калі ён будзе прыняты як федэральная мадэрнізацыя, увядзе прамыя адміністрацыйныя пакаранні; да таго часу асноўны рычаг OPC — рэпутацыйны і трэк Федэральнага суда.

Як выглядае адпаведны банер cookie па PIPEDA

Тэхнічныя патрабаванні сыходзяцца з тым, што ўжо вырабляе кожны сучасны CMP, але маркіроўка, апавяшчэнне аб прыватнасці і журнал згоды павінны адлюстроўваць спецыфіку PIPEDA. Банер першага слоя павінен прадаставіць наведвальніку рэальны выбар — прыняць, адхіліць, кіраваць — і павінен выявіць дастаткова інфармацыі на першым слоі, каб наведвальнік зразумеў, на што ён згаджаецца, без неабходнасці паглыбляцца ў больш глыбокія слаі. Другі слой павінен дазваляць opt-in па катэгорыях, які ахоплівае як мінімум аналітыку, рэкламу і любую апрацоўку, якую Офіс палічыў бы выходзячай за рамкі разумных чаканняў наведвальніка. Катэгорыі павінны па змаўчанні быць выключанымі для любой апрацоўкі, якая патрабуе відавочнай згоды; банер не павінен загружаць тэгі, пакуль наведвальнік сцвярджальна не ўключыць іх.

Апавяшчэнне аб прыватнасці, выводнае з банера, павінна ідэнтыфікаваць кантролера, катэгорыі збіраемай персанальнай інфармацыі, мэты кожнай апрацоўкі на простай мове, бакі, з якімі інфармацыя будзе перададзена, уключаючы ніжэйстаячых рэкламных і аналітычных партнёраў, раскрыццё трансгранічнай перадачы, дзе прымяняльна, правы суб'екта даных па PIPEDA і кантактныя даныя Офіса для скаргаў. Офіс быў асабліва ясны ў тым, што расплывістыя апісанні мэтаў — каб палепшыць нашы паслугі, каб прадаставіць лепшы вопыт — не задавальняюць стандарту асэнсаванай згоды.

Шаблон інтэграцыі, які перажывае расследаванне OPC

Эталонная рэалізацыя мае чатыры рухомыя часткі. Першая — CMP, які падтрымлівае opt-in па катэгорыях з выключэннем па змаўчанні для любой апрацоўкі відавочнай згоды і прадастаўляе выбар наведвальніка праз структураваны запіс згоды, які выдавец можа захаваць. Другая — слой загрузкі тэгаў — серверны менеджэр тэгаў ці натыўны шлюз CMP — які строга прымяняе стан згоды да таго, як усталяваны любы неэсенцыяльны cookie. Трэцяя — журнал згоды, які захоўваецца на серверным баку, які запісвае для кожнай падзеі згоды выбар наведвальніка па катэгорыях, часавую метку, версію банера і моўную версію, якую ўбачыў наведвальнік. Чацвёртая — шлях адклікання, прынамсі такі ж лёгкі, як першапачатковае прадастаўленне — звычайна пастаянная спасылка паўторнага адкрыцця банера ў падвале.

• Аналітычныя тэгі — Google Analytics 4, Adobe Analytics, Matomo, Amplitude, Mixpanel, PostHog, Heap — павінны загружацца толькі пасля прадастаўлення катэгорыі аналітыкі. Кожная платформа падтрымлівае канфігурацыю са шлюзаваннем па згодзе, якая прадухіляе любы запіс cookie да пераключэння шлюза.
• Рэкламныя тэгі — Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight, праграмныя header-бідэры — павінны быць шлюзаваны за маркетынгавым сігналам згоды, і там, дзе рэкламны партнёр перадае персанальную інфармацыю з Канады, юрысдыкцыя-атрымальнік і заява аб падсправаздачнасці трансгранічнай перадачы павінны з'явіцца ў апавяшчэнні аб прыватнасці.
• Інструменты запісу сесій і цеплавых карт — Hotjar, Microsoft Clarity, FullStory, Contentsquare — павінны знаходзіцца за відавочнай згодай, бо Офіс быў ясны ў тым, што адрысоўка палёў уводу і паводзінскіх дэталяў на гэтым разрозненні выходзіць за рамкі разумных чаканняў большасці наведвальнікаў.
• Спецыфічная для Квебека апрацоўка — для наведвальнікаў, якія выяўляюцца ў Квебеку, інтэграцыя павінна эскалявацца да стандартаў Закона 25, уключаючы павышаную празрыстасць, абавязковае раскрыццё супрацоўніка па прыватнасці і спецыфічную для Квебека ацэнку трансгранічнай перадачы. Банер толькі PIPEDA не задаволіць Закон 25 для наведвальнікаў Квебека.

Валідацыя і аўдытарская поза на 2026 год

Абаранімае канадскае разгортванне ў 2026 годзе павінна прайсці чатыры тэхнічныя праверкі. Па-першае, чыстая сесія браўзера, абслугоўваемая з канадскага IP-адраса, павінна вырабляць нуль неэсенцыяльных cookie да таго, як банер быў актываваны. Па-другое, шлях адхілення павінен вырабляць тую ж позу, што і сесія без дзеянняў — ніякіх аналітычных тэгаў, ніякіх рэкламных тэгаў, ніякіх скрыптаў запісу сесій. Па-трэцяе, шлях прыняцця павінен вырабляць толькі тэгі, на якія наведвальнік пагадзіўся, і журнал згоды павінен змяшчаць адпаведны запіс. Па-чацвёртае, адкліканне павінна неадкладна спыніць далейшыя спрацоўванні тэгаў, скончыць cookie, усталяваныя падчас сесіі са згодай, і запусціць любыя ніжэйстаячыя сігналы выдалення ці адмовы, якія патрабуюць партнёры-атрымальнікі.

Чаканне аўдытарскага следу па PIPEDA замацавана ў мадэлі расследавання-і-заключэння Офіса. Тыповае расследаванне OPC пачынаецца са скаргі, пераходзіць да запыту дакументацыі арганізацыі і дасягае свайго вываду ў публічным заключэнні. Дакументацыя, якую Офіс запытвае, — гэта апавяшчэнне аб прыватнасці, механізм збору згоды, журнал згоды, дыяграма патоку даных, якая ідэнтыфікуе атрымальнікаў і трансгранічныя перадачы, і праграма кіравання прыватнасцю, якая звязвае тэхнічную рэалізацыю са структурай падсправаздачнасці арганізацыі. Правільна наладжаны CMP з серверным журналам, слоем загрузкі тэгаў, які прымяняе стан згоды, апавяшчэннем аб прыватнасці, якое называе кожнага ніжэйстаячага атрымальніка і пазіцыю па трансгранічнай перадачы, і праграмай кіравання прыватнасцю на ўзроўні арганізацыі ў файле — гэта тое, што ператварае PIPEDA з рэгулятарнай нявызначанасці ў абаранімую частку паўночнаамерыканскай позы згоды выдаўца — і што пазіцыянуе разгортванне для маючай адбыцца федэральнай мадэрнізацыі, калі адміністрацыйныя пакаранні ўвойдуць у рэжым.