Zákon č. 25 v Québecu (dříve Bill 64): Vše, co potřebujete vědět

Dne 21. září 2021 byl Národním shromážděním Québecu přijat zákon o modernizaci legislativních ustanovení v oblasti ochrany osobních údajů (The Privacy Legislation Modernization Act) – jinak známý jako Zákon č. 25. Tento zákon upravuje ochranu osobních údajů a zavádí významné aktualizace v řízení ochrany soukromí v Québecu. Jedná se o „zákon s ostrými zuby", v souladu s evropskými požadavky na ochranu soukromí, jako je obecné nařízení o ochraně osobních údajů (GDPR), a to jak v soukromé, tak ve veřejné jurisdikci.

Aplikace více nových ustanovení nového zákona je rozprostřena na tři roky, vždy 22. září každého roku, až do roku 2024. Za prosazování zákona je odpovědná Commission d'accès à l'information du Québec (CAI).

Nová ustanovení pro rok 2022

Zde je přehled nových ustanovení, která vstoupila v platnost v září:

• Jmenovat pověřence pro ochranu soukromí: Určit osobu odpovědnou za ochranu osobních údajů a zveřejnit kontaktní údaje této osoby.
• Povinné hlášení úniků: Hlásit incidenty důvěrnosti zahrnující osobní údaje představující riziko vážného poškození CAI a vést registr incidentů důvěrnosti, který musí být CAI sdělen na vyžádání.
• Biometrika: Před použitím jakékoli biometrické techniky k ověření nebo potvrzení identity osoby informovat CAI. Zveřejnit ověření nebo potvrzení identity provedené pomocí biometrických technik.

Do 22. září 2023

• Zásady ochrany osobních údajů: Mít na svém webu zveřejněny komplexní zásady ochrany osobních údajů. Ty musí stanovit vaše zásady a postupy ochrany dat jasným a jednoduchým jazykem a poskytovat dostatečné informace pro spotřebitele (například o správě osobních údajů, hlášení úniků, souhlasu, žádostech o přístup a automatizovaném rozhodování) ke splnění povinností transparentnosti.
• Posouzení dopadů na soukromí: Nyní je povinné provádět Posouzení dopadů na soukromí při komunikování jakýchkoli osobních údajů mimo Québec, při vytváření nebo získávání jakýchkoli digitálních systémů zahrnujících soukromá data nebo před zveřejněním jakýchkoli osobních údajů bez souhlasu pro výzkumné účely. Budete potřebovat mít zavedené pokyny řídící, jak je tento požadavek spuštěn, a také jasné komunikační postupy pro zaměstnance.
• Účel, shromažďování a souhlas: Vaše organizace by měla provést komplexní revizi svých stávajících mechanismů pro shromažďování, ukládání a šíření spotřebitelských informací. Ty by nyní měly být aktualizovány tak, aby splňovaly nový rámec práv spotřebitelů, a věnovat zvláštní pozornost následujícím bodům:
  
   
  • Deaktivovat jakoukoli technologii sběru dat na svém webu ve výchozím nastavení, aniž by bylo vyžadováno potvrzení uživatelů. Místo toho můžete poskytnout výslovný „opt-in" mechanismus. To vylučuje použití cookies.
  • Aktualizovat své formuláře souhlasu a přístup k informačním systémům. Zajistit, abyste na požádání mohli poskytnout podrobnosti o kategoriích osob ve vaší společnosti, které mají přístup k osobním údajům jakéhokoli daného zákazníka, jakož i kontaktní údaje vašeho pověřence pro ochranu soukromí.
  • Identifikovat všechny přeshraniční jurisdikce, do kterých může vaše organizace přenášet osobní údaje, a provést PIA(s) pro tyto lokality.
  • Zajistit, abyste měli zavedené postupy pro řízení výjimky důvěrnosti pro úmrtí. Můžete předat osobní údaje týkající se osoby, která zemřela, jejímu manželovi/manželce nebo blízkým příbuzným – ale pouze pokud jim to pravděpodobně pomůže v procesu truchlení a pokud zesnulý za svého života neodvolal souhlas.
  • Zajistit, aby vaše organizace již neshromažďovala žádné osobní údaje týkající se dítěte mladšího 14 let bez souhlasu rodičů.
  • Zajistit, aby vaše zásady ochrany osobních údajů poskytovaly podrobnosti o automatizovaných rozhodovacích procesech vaší organizace, včetně přístupu k informacím a odvolání.
    
    
    
    
• Zničení osobních údajů: Musí být zaveden systém buď ke zničení osobních údajů, jakmile byly dosaženy účely, pro které byly shromážděny, nebo k jejich anonymizaci, pokud je to možné. Pokud implementujete nebo aktualizujete anonymizační systém, musí splňovat vysoký standard zajišťující, že dotčená osoba již nemůže být přímo nebo nepřímo identifikována.
• Právo být zapomenut: Organizace musí přizpůsobit své postupy ke splnění žádostí jednotlivců, kteří chtějí zastavit šíření svých osobních údajů.

Do 22. září 2024

• Přenositelnost dat: Organizace budou povinny mít zavedenou technologii a školení, aby mohly vytvořit digitální kopii všech osobních údajů, které drží v souvislosti s jakýmkoli jednotlivcem, pokud je to požadováno.
  
  

Sankce

Organizace, které nedodrží Zákon č. 25 a související předpisy, budou čelit přísnějším sankcím než podle současného režimu. Tyto se budou lišit v závislosti na velikosti podniku, ale obecně zahrnují:

• 20 milionů USD nebo dvě procenta celosvětového obratu organizace za předchozí fiskální rok pro soukromé organizace, které nedodržují předpisy.
• Čtyři procenta z prodejů organizace – nebo mezi 15 000 a 25 000 000 USD – pro soukromé organizace, které čelí trestním sankcím.
• Dvě úrovně pro veřejné instituce za nedodržení předpisů:
  
  • 3 000 a 30 000 USD
  • 15 000 a 150 000 USD
• Mezi 5 000 a 50 000 USD za porušení provedená fyzickou osobou.

Jak Safetica pomáhá dosáhnout souladu se Zákonem č. 25 v Québecu

Safetica vám poskytuje přehled o vašich citlivých datech i o toku informací a monitoruje uživatelské operace v celé organizaci, takže víte, jak jsou osobní údaje zpracovávány. S tímto řešením můžete klasifikovat svá data a nastavit konkrétní bezpečnostní zásady pro splnění Zákona č. 25 v Québecu. Safetica upozorňuje vaše zaměstnance na rizikové operace a zmírňuje rizika zneužití nebo náhodného porušení zásad.

Cloudové řešení Safetica zahrnuje vestavěnou šablonu pro klasifikaci a ochranu dat, speciálně navrženou pro soulad se Zákonem č. 25 v Québecu. Zjednodušuje a urychluje soulad vaší organizace se zákonem při správě a zabezpečení osobních údajů.

Privacy and personal data protection should be an absolute right of everyone in the modern world. That's why we at Safetica place these protections at the heart of each of our products and help every company protect their reputation, resources, and employees

CISO Radim Trávníček

Proč Safetica

Prevence úniku dat (DLP) je v centru našeho podnikání více než deset let, a díky našim zákazníkům víme, jaké jsou největší výzvy v oblasti ochrany dat. Safetica patří mezi nejlepší poskytovatele DLP řešení a zákazníci obzvláště oceňují, jak snadné je používání a jak dobře je podporujeme.