Ley 25 de Quebec (Law 25): banner de cookies y requisitos de consentimiento
Desde el 22 de septiembre de 2023, la Ley 25 de Quebec exige que las funciones de una tecnología que permitan identificar, localizar o elaborar perfiles de un visitante estén desactivadas por defecto hasta que el visitante decida activarlas.
Esto abarca muchas cookies y otras tecnologías de seguimiento utilizadas con fines de analítica, publicidad, personalización y elaboración de perfiles.
Las casillas premarcadas y los banners del tipo «si continúa navegando, acepta» no cuentan.
Esta página explica qué debe hacer un banner de cookies conforme con la Ley 25, a quién se aplica la Ley, qué sanciones pueden imponerse por incumplimiento y cómo gestiona CookieHub a los visitantes de Quebec.
Qué dice la Ley 25 sobre las cookies
La Ley 25, anteriormente el proyecto de ley 64 (Bill 64), modernizó la Ley sobre la protección de la información personal en el sector privado de Quebec.
Sus disposiciones entraron en vigor de forma escalonada entre septiembre de 2022 y septiembre de 2024, y su aplicación corresponde a la Commission d’accès à l’information du Québec (CAI).
La disposición más relevante para las cookies es el artículo 8.1, en vigor desde el 22 de septiembre de 2023.
Cuando una organización recopila información personal mediante una tecnología con funciones que permiten identificar, localizar o elaborar perfiles de una persona, debe informar de ello a esa persona.
Según las orientaciones de la CAI, esas funciones también deben estar desactivadas por defecto. La persona tiene que realizar una acción para activarlas.
Quebec no utiliza exactamente el mismo criterio que Europa, donde las tecnologías se dividen, por lo general, en «estrictamente necesarias» y no esenciales.
En virtud de la Ley 25, lo que importa ante todo es lo que hace la tecnología.
Las cookies y tecnologías similares que permiten identificar, localizar o elaborar perfiles de un visitante no deben tener esas funciones activadas por defecto.
En la práctica, muchas herramientas de analítica, publicidad, personalización y seguimiento del comportamiento deben, por tanto, permanecer inactivas hasta que el visitante tome una decisión.
En cambio, una cookie utilizada únicamente para mantener un carrito de compra o una sesión iniciada, sin ninguna función de identificación, localización o elaboración de perfiles en el sentido del artículo 8.1, no está sujeta a este requisito de activación.
Qué debe hacer un banner de cookies conforme con la Ley 25
Un banner configurado únicamente para los requisitos generales de privacidad de Canadá puede no ser suficiente en Quebec.
Un banner conforme con la Ley 25 debería, en particular:
Mantener desactivadas las funciones de identificación, localización y elaboración de perfiles hasta que el visitante las active:
Las tecnologías afectadas no deben activarse hasta que el visitante decida activarlas de forma expresa. Un banner que solo informa al visitante, sin controlar las tecnologías de seguimiento, no es suficiente.
Explicar claramente los fines:
El visitante debe entender por qué se recopila y se utiliza su información. También debería poder obtener fácilmente más información sobre las tecnologías utilizadas, los terceros implicados y el tratamiento de los datos.
Permitir decisiones separadas para fines específicos:
El consentimiento debe solicitarse para fines específicos y claramente definidos. Cuando distintos fines requieran consentimiento, los visitantes deberían poder tomar las decisiones correspondientes en lugar de verse obligados a aceptar todo el seguimiento.
No presumir nunca el consentimiento:
Sin casillas premarcadas, sin consentimiento por seguir navegando o desplazarse por la página y sin fórmulas del tipo «si continúa utilizando este sitio, acepta». No realizar ninguna acción no constituye un consentimiento válido.
Permitir la retirada del consentimiento:
El visitante debe poder cambiar su elección más adelante. El sitio debería ofrecer una forma fácilmente accesible de volver a abrir la configuración de consentimiento.
Conservar la prueba del consentimiento:
La organización debe poder demostrar que se obtuvo un consentimiento válido. La Ley no prescribe ningún método técnico concreto, pero un registro de consentimientos que recoja la elección, el momento y el contexto es una forma práctica de documentarlo.
Ofrecer la interfaz en francés:
Independientemente de la Ley 25, las normas lingüísticas de Quebec exigen, por lo general, que el contenido comercial dirigido a los consumidores de Quebec esté disponible en francés. Por lo tanto, la interfaz de consentimiento también debería ofrecerse en francés.
¿Quién debe cumplir la Ley 25?
La Ley 25 se aplica ampliamente a las empresas del sector privado que realizan actividades en Quebec.
Una empresa con sede fuera de Quebec también puede estar sujeta a ella cuando sus actividades tienen una conexión suficiente con Quebec, en particular cuando ofrece activamente productos o servicios a personas en Quebec o recopila su información personal.
Esto puede incluir:
empresas que realizan actividades comerciales en Quebec, cualquiera que sea su tamaño;
empresas con sede en otras partes de Canadá o en el extranjero que atienden activamente a clientes de Quebec o recopilan información personal de personas en Quebec;
organizaciones sin fines de lucro, despachos profesionales y proveedores de servicios, cuando estén sujetos a la Ley.
No existe ninguna exención general para pequeñas empresas ni ningún umbral de ingresos una vez que la Ley es aplicable.
Derechos de las personas según la Ley 25
La Ley 25 otorga a las personas en Quebec varios derechos sobre su información personal.
Un banner de cookies no abarca todos estos derechos, pero a menudo es el primer punto de contacto del visitante con las prácticas de un sitio en materia de información personal.
Los principales derechos incluyen:
Derecho a ser informado
A saber qué información se recopila, por qué y, según las circunstancias, a quién se comunica.
Derecho de acceso
A solicitar el acceso a la información personal que una organización tiene sobre ellas.
Derecho de rectificación
A solicitar la corrección de la información inexacta, incompleta o equívoca.
Derecho a retirar el consentimiento
A retirar el consentimiento dado anteriormente, de conformidad con las normas aplicables.
Derecho al cese de la difusión o a la desindexación
En determinadas circunstancias, a solicitar a una organización que deje de difundir información personal o que desindexe un hipervínculo que dé acceso a ella.
Derecho a la portabilidad de los datos
Desde septiembre de 2024, a solicitar determinada información personal informatizada en un formato tecnológico estructurado y de uso común, con sujeción a las excepciones previstas en la Ley.
Derecho a ser informado de las decisiones automatizadas
A ser informadas cuando una decisión se base exclusivamente en un tratamiento automatizado de información personal, y a obtener determinada información sobre dicho tratamiento.
Derecho a ser notificado de determinados incidentes de confidencialidad
Cuando un incidente presente un riesgo de perjuicio grave, las personas afectadas deben ser notificadas de conformidad con las normas aplicables.
¿Se exige el consentimiento de cookies en el resto de Canadá?
Fuera de Quebec, los requisitos de privacidad canadienses varían según la provincia, la organización y la naturaleza del tratamiento.
La PIPEDA federal y las leyes del sector privado de Alberta y Columbia Británica pueden permitir el consentimiento implícito en circunstancias apropiadas, en función de factores como la sensibilidad de la información y las expectativas razonables de la persona.
Quebec adopta un enfoque más específico para las tecnologías a las que se refiere el artículo 8.1: sus funciones de identificación, localización y elaboración de perfiles deben estar desactivadas por defecto.
Esa diferencia puede hacer que un único banner para todo Canadá resulte menos preciso.
Una configuración basada únicamente en el opt-out puede no ser suficiente en Quebec cuando una tecnología identifica, localiza o elabora perfiles de los visitantes.
A la inversa, una configuración estricta de opt-in aplicada en todo Canadá puede solicitar un consentimiento explícito en situaciones en las que las normas aplicables permitirían un enfoque diferente.
Por ello, una plataforma de gestión del consentimiento puede adaptar el comportamiento del banner a la región del visitante.
Sanciones por incumplimiento de la Ley 25
La Ley 25 reforzó considerablemente las facultades de aplicación de la Commission d’accès à l’information.
Según la naturaleza de la infracción, las consecuencias pueden incluir:
Sanciones administrativas pecuniarias: hasta 10 millones de CAD o el 2 % de la facturación mundial del ejercicio anterior, la cantidad que sea mayor.
Multas penales: hasta 25 millones de CAD o el 4 % de la facturación mundial por determinadas infracciones, con importes que pueden aumentarse en caso de reincidencia.
Reclamaciones privadas: cuando una vulneración ilícita de un derecho protegido por la Ley causa un perjuicio y se debe a una falta intencionada o grave, pueden concederse daños punitivos de al menos 1000 CAD.
Las decisiones y órdenes de la CAI también pueden hacerse públicas.
Cómo hacer que su sitio web cumpla la Ley 25
En lo que respecta a las cookies y otras tecnologías de seguimiento, el proceso se reduce a unos pocos pasos:
Escanear:
Encuentre las cookies, los rastreadores y las tecnologías que su sitio utiliza realmente, incluidos los añadidos por scripts de terceros, gestores de etiquetas y contenidos incrustados.
Clasificar:
Determine el fin de cada tecnología e identifique las que permiten identificar, localizar o elaborar perfiles de los visitantes.
Bloquear hasta la activación:
Asegúrese de que las funciones afectadas permanezcan desactivadas hasta que el visitante las active.
Solicitar el consentimiento correctamente:
Muestre un banner claro, en francés, que permita al visitante entender sus opciones y cambiarlas.
Documentar:
Conserve la prueba de los consentimientos, mantenga actualizada la información sobre las cookies y sus fines, y publique una política de privacidad adecuada.
Designar a una persona responsable:
La empresa debe identificar a la persona responsable de la protección de la información personal, tal como exige la Ley.
Cómo gestiona CookieHub a los visitantes de Quebec
CookieHub es una plataforma de gestión del consentimiento utilizada en decenas de miles de sitios web.
Le permite aplicar un comportamiento de consentimiento adaptado a los visitantes de Quebec y del resto de Canadá.
Consentimiento previo para Canadá
CookieHub detecta la región del visitante y aplica el comportamiento de consentimiento configurado para esa región. Los nuevos dominios utilizan opt-in por defecto para todos los visitantes, incluidos los de Quebec, por lo que las tecnologías afectadas permanecen inactivas hasta que el visitante toma una decisión. También pueden añadirse configuraciones específicas por región, por ejemplo mediante el grupo «Recommended opt-in», que incluye Canadá.
Elección por categoría, retirada sencilla
Los visitantes pueden aceptar o rechazar distintas categorías de cookies. Las categorías no se activan por defecto cuando se requiere el consentimiento previo, y los visitantes pueden volver a abrir sus preferencias más adelante.
Francés e inglés, automáticamente
CookieHub admite muchos idiomas, entre ellos el francés y el inglés, y puede adaptar el idioma del banner al del navegador del visitante. Los textos también pueden personalizarse.
Pruebas y supervisión de cookies
Las elecciones de los visitantes pueden registrarse para aportar la prueba del consentimiento y de su retirada. El escáner de CookieHub ayuda a detectar las cookies utilizadas en el sitio y a mantener actualizada la declaración de cookies a medida que cambia el sitio.
Facilite el cumplimiento de la Ley 25
Añada CookieHub a su sitio, escanee las tecnologías que utiliza y configure un banner adaptado a los visitantes de Quebec.
CookieHub puede impedir que las tecnologías afectadas se activen antes del consentimiento, registrar las elecciones de los visitantes y mantener actualizada su declaración de cookies.
Gratis para sitios web pequeños, sin necesidad de tarjeta de crédito.
Preguntas frecuentes sobre la Ley 25 y las cookies
Si su sitio utiliza una tecnología con funciones que permiten identificar, localizar o elaborar perfiles de un visitante, debe tener en cuenta los requisitos del artículo 8.1.
Esto puede incluir herramientas de analítica, píxeles publicitarios, mapas de calor, contenidos incrustados y otras tecnologías de seguimiento.
Si una cookie no tiene ninguna función de identificación, localización o elaboración de perfiles en el sentido del artículo 8.1, el requisito específico de desactivarla por defecto no se aplica necesariamente a esa tecnología.
Aun así, pueden aplicarse otras obligaciones de transparencia o consentimiento cuando se recopila información personal.
Las configuraciones estándar de Google Analytics que utilizan identificadores y cookies pueden incluir funciones que reconocen a un visitante de una visita o página a otra.
Esas funciones deben evaluarse a la luz del artículo 8.1 y, cuando permitan identificar, localizar o elaborar perfiles de una persona, deben estar desactivadas por defecto hasta que el visitante las active.
Los métodos de medición que no se basan en esas funciones deben evaluarse por separado.
No.
La Ley 25 y el RGPD son dos regímenes jurídicos distintos.
Sin embargo, para muchas tecnologías de seguimiento, el resultado práctico puede ser similar: determinados mecanismos de identificación y elaboración de perfiles no deben activarse automáticamente, y el consentimiento válido debe ser claro, libre y otorgado para fines específicos.
Por ello, un banner que cumpla realmente los requisitos europeos suele ser un buen punto de partida para Quebec, pero no abarca automáticamente todas las obligaciones de la Ley 25.
La Ley 25 tiene sus propias normas sobre, entre otros aspectos, la persona responsable de la protección de la información personal, las evaluaciones de impacto sobre la privacidad y determinadas comunicaciones de información personal fuera de Quebec.
Puede aplicarse.
Una empresa situada en otro lugar puede estar sujeta a la Ley cuando realiza actividades comerciales en Quebec o cuando sus actividades tienen una conexión suficiente con Quebec.
Por lo tanto, una empresa que ofrece activamente sus servicios a personas en Quebec o que recopila su información personal debería examinar seriamente si está incluida, en lugar de suponer que tener su sede fuera de la provincia basta para excluirla.
La información personal es cualquier información relativa a una persona física que permita identificarla, directa o indirectamente.
Según su uso y su contexto, puede incluir direcciones IP, identificadores de dispositivos, identificadores asociados a cookies y determinados datos de comportamiento.
La información personal es sensible cuando, por su naturaleza o por el contexto de su uso o comunicación, conlleva un alto grado de expectativa razonable de privacidad.
Puede incluir determinados datos médicos, biométricos, genéticos o financieros, así como otra información especialmente íntima.
El consentimiento para el uso de información personal sensible debe otorgarse de forma expresa.
La Commission d’accès à l’information du Québec (CAI).
Puede investigar las prácticas de las organizaciones, dictar órdenes e imponer sanciones administrativas en las situaciones previstas por la Ley.
Los organismos públicos de Quebec se rigen principalmente por un régimen legislativo distinto del que se aplica a las empresas del sector privado.
Determinadas actividades o categorías de información también pueden estar sujetas a exclusiones o normas específicas.
Sin embargo, no existe ninguna exención general para las pequeñas empresas por el simple hecho de su tamaño.
La Commission d’accès à l’information publica el texto de la Ley, directrices sobre el consentimiento e información sobre las cookies y otras tecnologías de seguimiento.
Estos recursos están disponibles en el sitio web de la CAI.
Última actualización:
Disclaimer: La información proporcionada en esta página tiene únicamente fines de referencia general y no pretende constituir asesoramiento legal o regulatorio. Las normativas de privacidad de datos son complejas y están sujetas a actualizaciones frecuentes, interpretaciones y variaciones según la jurisdicción. Aunque nos esforzamos por mantener el material preciso y actualizado, no podemos garantizar su integridad ni su aplicabilidad a sus circunstancias específicas. Para obtener orientación sobre el cumplimiento u obligaciones legales, consulte a profesionales jurídicos cualificados o a las autoridades reguladoras correspondientes.
