Що PIPEDA насправді вимагає для згоди на файли cookie

PIPEDA застосовується до збору, використання та розкриття персональної інформації федерально регульованими організаціями та іншими організаціями в ході комерційної діяльності, де організація знаходиться у провінції без суттєво схожого законодавства. Територіальний охоплення є широким та охоплює більшість видавців, що обслуговують канадських читачів, при цьому найбільш поширений граничний випадок — не-канадський видавець без канадської інфраструктури, але з канадськими відвідувачами — вирішується шляхом посилання на тест реального та суттєвого зв'язку OPC, який видавець, що активно орієнтується на канадських читачів, як правило, задовольняє.

Персональна інформація широко визначається як інформація про ідентифіковану особу. Управління підтвердило в кількох висновках, що IP-адреси, постійні ідентифікатори файлів cookie, ідентифікатори пристроїв та поведінкові дані, пов'язані з цими ідентифікаторами, є персональною інформацією відповідно до PIPEDA. Згода є основоположною правовою підставою відповідно до Закону — немає еквівалента правовій підставі законного інтересу GDPR для загальної обробки — і ця згода повинна бути значущою, що Управління визначило як вимогу до особи розуміти, яка персональна інформація збирається, з ким вона буде поділена, цілі, для яких вона буде використовуватися, та наслідки надання або відмови від згоди.

Явна та мовчазна згода і рекомендації Управління 2018 року

PIPEDA розрізняє явну та мовчазну згоду. Явна згода вимагається, коли персональна інформація є чутливою, коли обробка виходить за межі розумних очікувань особи або коли обробка створює значний залишковий ризик шкоди. Мовчазна згода допустима для обробки в межах розумних очікувань особи, яка не активує ці тригери. Рекомендації Управління 2018 року щодо отримання значущої згоди встановлюють сучасну базу: організації повинні представляти сім ключових елементів у момент збору — дані, що збираються, сторони, з якими вони будуть поділені, цілі, наслідки надання згоди та будь-який залишковий ризик — і повинні полегшити відмову та відкликання згоди. Управління застосовувало ці рекомендації до банерів файлів cookie у наступних розслідуваннях, з послідовним висновком про те, що попередньо встановлені прапорці, мовчазна згода через продовження перегляду та об'єднані банери згоди не відповідають стандарту значущої згоди.

Як позиція PIPEDA щодо файлів cookie відрізняється від GDPR

Три відмінності є важливими при налаштуванні CMP для трафіку PIPEDA. По-перше, PIPEDA не має окремого положення у стилі ePrivacy щодо файлів cookie і не вимагає конкретної архітектури банера opt-in — юридична вимога полягає в тому, щоб згода була значущою, і технічна реалізація, яка забезпечує значущу згоду для європейських відвідувачів, зазвичай забезпечує її і для канадських відвідувачів, але поріг, який застосовує Управління, є функціонально схожим, не будучи ідентичним. По-друге, PIPEDA не має еквівалента режиму рішення про адекватність GDPR; транскордонна передача персональної інформації з Канади не вимагає визначення адекватності, але контролер залишається відповідальним за персональну інформацію незалежно від місця її обробки, і повідомлення про конфіденційність повинно бути прозорим щодо транскордонної передачі в термінах, зрозумілих для особи. По-третє, архітектура правозастосування PIPEDA є розслідуванням і висновком, а не адміністративними штрафами в розумінні GDPR — Управління видає висновки, надає рекомендації та може звертатися до Federal Court за наказами, але не може безпосередньо накладати штрафи відповідно до чинного статуту. Запропонований Consumer Privacy Protection Act, якщо і коли буде прийнятий як федеральна модернізація, запровадив би прямі адміністративні штрафи; до цього часу основним впливом OPC є репутаційний та через Federal Court.

Як виглядає сумісний банер файлів cookie відповідно до PIPEDA

Технічні вимоги збігаються з тим, що кожна сучасна CMP вже виробляє, але маркування, повідомлення про конфіденційність та журнал згод повинні відображати специфіку PIPEDA. Банер першого рівня повинен надати відвідувачу реальний вибір — прийняти, відхилити, керувати — і повинен надати достатньо інформації на першому рівні, щоб відвідувач розумів, на що він погоджується, без необхідності заглиблюватися в глибші рівні. Другий рівень повинен дозволяти opt-in для кожної категорії, що охоплює принаймні аналітику, рекламу та будь-яку обробку, яку Управління вважало б такою, що виходить за межі розумних очікувань відвідувача. Категорії повинні бути за замовчуванням вимкненими для будь-якої обробки, що вимагає явної згоди; банер не повинен завантажувати теги, поки відвідувач не увімкнув їх стверджувально.

Повідомлення про конфіденційність, що відображається з банера, повинно ідентифікувати контролера, категорії зібраної персональної інформації, цілі кожного виду обробки простою мовою, сторони, з якими інформація буде поділена, включаючи партнерів у сфері реклами та аналітики, розкриття транскордонної передачі там, де застосовується, права суб'єкта даних відповідно до PIPEDA та контактні дані Управління для скарг. Управління особливо чітко зазначило, що розпливчасті описи цілей — для покращення наших послуг, для надання кращого досвіду — не відповідають стандарту значущої згоди.

Інтеграційний зразок, який витримує розслідування OPC

Референтна реалізація має чотири рухомі частини. Перша — це CMP, що підтримує opt-in для кожної категорії за замовчуванням вимкненим для будь-якої обробки явної згоди та надає вибір відвідувача через структурований запис згоди, який видавець може зберігати. Друга — це рівень завантаження тегів — серверний менеджер тегів або нативний шлюз CMP — який строго застосовує стан згоди до встановлення будь-якого несуттєвого файлу cookie. Третя — це журнал згод, що зберігається на сервері, який реєструє для кожної події згоди вибір відвідувача за категорією, мітку часу, версію банера та мовну версію, яку відвідувач бачив. Четверта — це шлях відкликання, принаймні такий же простий, як і первинне надання — як правило, постійне посилання для повторного відкриття банера у нижньому колонтитулі.

• Аналітичні теги — Google Analytics 4, Adobe Analytics, Matomo, Amplitude, Mixpanel, PostHog, Heap — повинні завантажуватися лише після надання аналітичної категорії. Кожна платформа підтримує конфігурацію з контролем згоди, яка запобігає будь-якому запису файлів cookie до перемикання шлюзу.
• Рекламні теги — Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight, програматичні учасники торгів заголовків — повинні бути заблоковані за сигналом згоди на маркетинг, і там, де рекламний партнер передає персональну інформацію за межі Канади, юрисдикція одержувача та заява про відповідальність за транскордонну передачу повинні з'явитися в повідомленні про конфіденційність.
• Інструменти для відтворення сеансів та теплові карти — Hotjar, Microsoft Clarity, FullStory, Contentsquare — повинні знаходитися за явною згодою, оскільки Управління чітко зазначило, що відтворення полів введення та поведінкових деталей у такій роздільній здатності виходить за межі розумних очікувань більшості відвідувачів.
• Специфічна обробка для Квебеку — для відвідувачів, виявлених у Квебеку, інтеграція повинна перейти на стандарти Закону 25, включаючи підвищену прозорість, обов'язкове розкриття офіцера конфіденційності та оцінку транскордонної передачі, специфічну для Квебеку. Банер лише PIPEDA не відповідатиме Закону 25 для відвідувачів із Квебеку.

Валідація та позиція аудиту на 2026 рік

Захищена канадська розробка у 2026 році повинна пройти чотири технічні перевірки. По-перше, чиста сесія браузера, що обслуговується з канадської IP-адреси, повинна генерувати нуль несуттєвих файлів cookie до того, як банер буде активований. По-друге, шлях відхилення повинен генерувати ту саму позицію, що й сеанс без дій — без аналітичних тегів, без рекламних тегів, без сценаріїв відтворення сеансів. По-третє, шлях прийняття повинен генерувати лише теги, на які відвідувач надав згоду, і журнал згод повинен містити відповідний запис. По-четверте, відкликання повинно негайно зупинити подальше спрацьовування тегів, закінчити термін дії файлів cookie, встановлених під час погодженого сеансу, та ініціювати будь-які нижчі сигнали видалення або відмови, яких вимагають партнери-одержувачі.

Очікування аудиторського сліду відповідно до PIPEDA прив'язане до моделі розслідування та висновків Управління. Типове розслідування OPC починається зі скарги, продовжується запитом документації організації та досягає свого висновку в публічному висновку. Документація, яку запитує Управління, — це повідомлення про конфіденційність, механізм збору згоди, журнал згод, схема потоку даних, що ідентифікує одержувачів та транскордонні передачі, та програма управління конфіденційністю, яка пов'язує технічну реалізацію з системою підзвітності організації. Правильно налаштована CMP із серверним журналом, рівнем завантаження тегів, що застосовує стан згоди, повідомленням про конфіденційність, що називає кожного нижнього одержувача та позицію транскордонної передачі, та програмою управління конфіденційністю на рівні організації у файлі — це те, що перетворює PIPEDA з регуляторної невизначеності на захищену частину позиції згоди видавця в Північній Америці — і те, що позиціонує розробку для майбутньої федеральної модернізації, коли адміністративні штрафи увійдуть у режим.