Co PIPEDA skutečně požaduje pro souhlas s cookies

PIPEDA se vztahuje na shromažďování, používání a zveřejňování osobních údajů federálně regulovanými organizacemi a dalšími organizacemi v rámci komerčních činností, kde se organizace nachází v provincii bez v podstatě podobné legislativy. Územní dosah je široký a zahrnuje většinu vydavatelů obsluhujících kanadské čtenáře; nejčastější hraniční případ — nekanaďský vydavatel bez kanadské infrastruktury, ale s kanadskými návštěvníky — se řeší odkazem na test reálného a podstatného spojení OPC, který vydavatel aktivně cílící na kanadské čtenáře obvykle splňuje.

Osobní údaje jsou široce definovány jako informace o identifikovatelném jedinci. Úřad v mnoha zjištěních potvrdil, že IP adresy, trvalé identifikátory cookies, identifikátory zařízení a behaviorální data vázaná na tyto identifikátory jsou osobní údaje dle PIPEDA. Souhlas je základním zákonným důvodem dle Zákona — neexistuje ekvivalent k základu oprávněného zájmu GDPR pro obecné zpracování — a tento souhlas musí být smysluplný, což Úřad definuje jako požadavek, aby jedinec chápal, jaké osobní údaje jsou shromažďovány, s kým budou sdíleny, pro jaké účely budou použity a jaké jsou důsledky souhlasu nebo odmítnutí.

Výslovný vs. předpokládaný souhlas a pokyny Úřadu z roku 2018

PIPEDA rozlišuje mezi výslovným a předpokládaným souhlasem. Výslovný souhlas je požadován, pokud jsou osobní údaje citlivé, pokud zpracování přesahuje přiměřená očekávání jedince nebo pokud zpracování vytváří smysluplné zbytkové riziko újmy. Předpokládaný souhlas je přípustný pro zpracování v rámci přiměřených očekávání jedince, které tyto spouštěče neaktivuje. Pokyny Úřadu z roku 2018 pro získání smysluplného souhlasu stanovují současný základ: organizace musí v bodě sběru prezentovat sedm klíčových prvků — shromažďovaná data, strany, s nimiž budou sdílena, účely, důsledky souhlasu a jakékoli zbytkové riziko — a musí usnadnit odmítnutí a odvolání souhlasu. Úřad tyto pokyny uplatnil na banery cookies v následných šetřeních s konzistentním zjištěním, že předem zaškrtnutá políčka, předpokládaný souhlas prostřednictvím pokračování v prohlížení a souhrnné banery souhlasu nesplňují standard smysluplného souhlasu.

Jak se postoj PIPEDA k cookies liší od GDPR

Při konfiguraci CMP pro provoz PIPEDA záleží na třech rozdílech. Za prvé, PIPEDA nemá samostatné ustanovení ve stylu ePrivacy o cookies a nevyžaduje specifickou architekturu baneru pro přihlášení — zákonným požadavkem je smysluplnost souhlasu a technická implementace, která poskytuje smysluplný souhlas pro evropské návštěvníky, ho typicky poskytuje i pro kanadské návštěvníky, ale prahová hodnota, kterou Úřad aplikuje, je funkčně podobná, aniž by byla totožná. Za druhé, PIPEDA nemá ekvivalent k systému rozhodnutí o přiměřenosti GDPR; přeshraniční přenos osobních údajů z Canada nevyžaduje označení přiměřenosti, ale správce zůstává odpovědný za osobní údaje bez ohledu na místo jejich zpracování a oznámení o ochraně soukromí musí být transparentní ohledně přeshraničního přenosu ve výrazech, které jedinec může pochopit. Za třetí, architektura vymáhání PIPEDA je šetření a zjištění spíše než správní sankce ve smyslu GDPR — Úřad vydává zjištění, vydává doporučení a může požádat Federal Court o příkazy, ale nemůže přímo ukládat pokuty dle stávajícího zákona. Navrhovaný Consumer Privacy Protection Act, pokud a kdy bude přijat jako federální modernizace, by zavedl přímé správní sankce; do té doby je primárním pákovým efektem OPC reputační páka a cesta Federal Court.

Jak vypadá vyhovující baner cookies dle PIPEDA

Technické požadavky se sbližují s tím, co každý moderní CMP již produkuje, ale označování, oznámení o ochraně soukromí a protokol souhlasu musí odrážet specifika PIPEDA. Baner první vrstvy musí návštěvníkovi prezentovat skutečnou volbu — přijmout, odmítnout, spravovat — a musí v první vrstvě prezentovat dostatek informací, aby návštěvník pochopil, s čím souhlasí, aniž by se musel ponořit do hlubších vrstev. Druhá vrstva musí umožňovat přihlášení podle kategorií pokrývající minimálně analytiku, reklamu a jakékoli zpracování, které by Úřad považoval za mimo přiměřená očekávání návštěvníka. Kategorie musí být pro jakékoli zpracování vyžadující výslovný souhlas ve výchozím nastavení vypnuty; baner nesmí načítat tagy, dokud je návštěvník nevypne kladně.

Oznámení o ochraně soukromí prezentované z baneru musí identifikovat správce, kategorie shromažďovaných osobních údajů, účely každé zpracovatelské činnosti v srozumitelném jazyce, strany, s nimiž budou informace sdíleny, včetně partnerů v oblasti reklamy a analýzy po celém procesu, přeshraniční přenos tam, kde to je relevantní, práva subjektu údajů dle PIPEDA a kontaktní údaje Úřadu pro stížnosti. Úřad byl zvláště jednoznačný, že vágní popisy účelů — zlepšit naše služby, poskytnout lepší zážitek — nesplňují standard smysluplného souhlasu.

Integrační vzor, který přežije šetření OPC

Referenční implementace má čtyři pohyblivé části. První je CMP podporující přihlášení podle kategorií ve výchozím nastavení vypnuté pro jakékoli zpracování vyžadující výslovný souhlas a zpřístupňující volbu návštěvníka prostřednictvím strukturovaného záznamu souhlasu, který může vydavatel uchovávat. Druhá je vrstva načítání tagů — správce tagů na straně serveru nebo nativní brána CMP — která přísně vynucuje stav souhlasu před nastavením jakéhokoli nepodstatného cookie. Třetí je protokol souhlasu uložený na straně serveru, který zaznamenává pro každou událost souhlasu volbu návštěvníka podle kategorie, časové razítko, verzi baneru a jazykovou verzi, kterou návštěvník viděl. Čtvrtá je cesta odvolání alespoň tak snadná jako původní udělení — typicky trvalý odkaz na opětovné otevření baneru v zápatí.

• Analytické tagy — Google Analytics 4, Adobe Analytics, Matomo, Amplitude, Mixpanel, PostHog, Heap — musí se načítat pouze po udělení kategorie analytiky. Každá platforma podporuje konfiguraci řízenou souhlasem, která zabraňuje jakémukoli zápisu cookie před přepnutím brány.
• Reklamní tagy — Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight, programatičtí biddeři záhlaví — musí být zablokovány za signálem souhlasu s marketingem a kde reklamní partner přenáší osobní údaje mimo Canada, musí přijímající jurisdikce a prohlášení o odpovědnosti za přeshraniční přenos být uvedeny v oznámení o ochraně soukromí.
• Nástroje pro přehrávání relací a tepelné mapy — Hotjar, Microsoft Clarity, FullStory, Contentsquare — by měly být za výslovným souhlasem, protože Úřad byl jednoznačný, že vykreslování vstupních polí a behaviorálních detailů v tomto rozlišení je mimo přiměřená očekávání většiny návštěvníků.
• Specifické zacházení pro Quebec — pro návštěvníky zjistitelně v Quebec musí integrace eskalovat na standardy Law 25 zahrnující zvýšenou transparentnost, povinné zveřejnění pověřence pro ochranu soukromí a hodnocení přeshraničního přenosu specifické pro Quebec. Baner pouze s PIPEDA nebude pro návštěvníky z Quebec splňovat Law 25.

Ověření a auditní postoj pro rok 2026

Obhajitelné kanadské nasazení v roce 2026 musí projít čtyřmi technickými kontrolami. Za prvé, čistá relace prohlížeče obsluhovaná z kanadské IP adresy musí před aktivací baneru produkovat nulové nepodstatné cookies. Za druhé, cesta odmítnutí musí produkovat stejný postoj jako relace bez akce — žádné analytické tagy, žádné reklamní tagy, žádné skripty pro přehrávání relací. Za třetí, cesta přijetí musí produkovat pouze tagy, se kterými návštěvník souhlasil, a protokol souhlasu musí obsahovat odpovídající záznam. Za čtvrté, odvolání musí okamžitě zastavit další střelbu tagů, vypršet cookies nastavené během odsouhlasené relace a spustit jakékoli následné signály mazání nebo odhlášení vyžadované přijímajícími partnery.

Očekávání auditní stopy dle PIPEDA je zakotveno v modelu šetření a zjištění Úřadu. Typické šetření OPC začíná stížností, pokračuje žádostí o dokumentaci organizace a dospívá k závěru ve veřejném zjištění. Dokumentace, o kterou Úřad žádá, je oznámení o ochraně soukromí, mechanismus sběru souhlasu, protokol souhlasu, diagram toku dat identifikující příjemce a přeshraniční přenosy a program správy soukromí, který spojuje technickou implementaci s rámcem odpovědnosti organizace. Správně nakonfigurovaný CMP s protokolem na straně serveru, vrstvou načítání tagů vynucující stav souhlasu, oznámením o ochraně soukromí pojmenovávajícím každého příjemce po celém procesu a přeshraniční přenosovou pozici a programem správy soukromí na úrovni organizace na záznamech je to, co přeměňuje PIPEDA z regulační nejistoty na obhajitelnou část severoamerického postoje souhlasu vydavatele — a co pozicuje nasazení pro nadcházející federální modernizaci, až správní sankce vstoupí do systému.