Legge 25 del Québec (Law 25): banner dei cookie e requisiti di consenso
Dal 22 settembre 2023, la Legge 25 del Québec richiede che le funzioni di una tecnologia in grado di identificare, localizzare o profilare un visitatore siano disattivate per impostazione predefinita finché il visitatore non decide di attivarle.
Ciò riguarda molti cookie e altre tecnologie di tracciamento utilizzati per analisi, pubblicità, personalizzazione e profilazione.
Le caselle preselezionate e i banner del tipo «continuando a navigare accetti» non valgono.
Questa pagina spiega cosa deve fare un banner dei cookie conforme alla Legge 25, a chi si applica la legge, quali sanzioni possono essere applicate in caso di non conformità e come CookieHub gestisce i visitatori del Québec.
Cosa dice la Legge 25 sui cookie
La Legge 25, in precedenza disegno di legge 64 (Bill 64), ha modernizzato la legge del Québec sulla protezione delle informazioni personali nel settore privato (Act respecting the protection of personal information in the private sector).
Le sue disposizioni sono entrate in vigore gradualmente tra settembre 2022 e settembre 2024 e la loro applicazione è affidata alla Commission d’accès à l’information du Québec (CAI).
La disposizione più rilevante per i cookie è l'articolo 8.1, in vigore dal 22 settembre 2023.
Quando un'organizzazione raccoglie informazioni personali tramite una tecnologia con funzioni in grado di identificare, localizzare o profilare una persona, deve informare la persona interessata.
Secondo le indicazioni della CAI, tali funzioni devono inoltre essere disattivate per impostazione predefinita. La persona deve compiere un'azione per attivarle.
Il Québec non utilizza esattamente lo stesso criterio dell'Europa, dove le tecnologie sono generalmente suddivise in «strettamente necessarie» e non essenziali.
Ai sensi della Legge 25, ciò che conta soprattutto è cosa fa la tecnologia.
I cookie e le tecnologie simili in grado di identificare, localizzare o profilare un visitatore non devono avere tali funzioni attivate per impostazione predefinita.
In pratica, molti strumenti di analisi, pubblicità, personalizzazione e tracciamento comportamentale devono quindi restare inattivi finché il visitatore non compie una scelta.
Al contrario, un cookie utilizzato solo per mantenere un carrello o una sessione di accesso, senza alcuna funzione di identificazione, localizzazione o profilazione ai sensi dell'articolo 8.1, non è soggetto a questo requisito di attivazione.
Cosa deve fare un banner dei cookie conforme alla Legge 25
Un banner configurato solo per i requisiti generali sulla privacy del Canada potrebbe non essere sufficiente in Québec.
Un banner conforme alla Legge 25 dovrebbe, in particolare:
Mantenere disattivate le funzioni di identificazione, localizzazione e profilazione finché il visitatore non le attiva:
Le tecnologie interessate non devono attivarsi finché il visitatore non decide espressamente di attivarle. Un banner che si limita a informare il visitatore, senza controllare le tecnologie di tracciamento, non è sufficiente.
Spiegare chiaramente le finalità:
Il visitatore deve capire perché le sue informazioni vengono raccolte e utilizzate. Dovrebbe inoltre poter ottenere facilmente maggiori informazioni sulle tecnologie utilizzate, sulle terze parti coinvolte e sul trattamento dei dati.
Consentire decisioni separate per finalità specifiche:
Il consenso deve essere richiesto per finalità specifiche e chiaramente definite. Quando finalità diverse richiedono il consenso, i visitatori dovrebbero poter prendere le decisioni corrispondenti anziché essere costretti ad accettare tutto il tracciamento.
Non presumere mai il consenso:
Niente caselle preselezionate, niente consenso ricavato dal fatto che il visitatore continua a navigare o scorre la pagina e niente formule del tipo «continuando a utilizzare questo sito accetti». Non compiere alcuna azione non costituisce un consenso valido.
Consentire la revoca del consenso:
Il visitatore deve poter modificare la propria scelta in un secondo momento. Il sito dovrebbe offrire un modo facilmente accessibile per riaprire le impostazioni del consenso.
Conservare la prova del consenso:
L'organizzazione deve essere in grado di dimostrare che è stato ottenuto un consenso valido. La legge non prescrive un metodo tecnico particolare, ma un registro dei consensi che annoti la scelta, il momento e il contesto è un modo pratico per documentarlo.
Offrire l'interfaccia in francese:
Indipendentemente dalla Legge 25, le norme linguistiche del Québec richiedono generalmente che i contenuti commerciali rivolti ai consumatori del Québec siano disponibili in francese. L'interfaccia del consenso dovrebbe quindi essere offerta anche in francese.
Chi deve conformarsi alla Legge 25?
La Legge 25 si applica in modo ampio alle imprese del settore privato che svolgono attività in Québec.
Anche un'azienda con sede al di fuori del Québec può esservi soggetta quando le sue attività hanno un collegamento sufficiente con il Québec, in particolare quando offre attivamente prodotti o servizi a persone in Québec o ne raccoglie le informazioni personali.
Ciò può includere:
imprese che svolgono attività commerciali in Québec, di qualsiasi dimensione;
aziende con sede in altre parti del Canada o all'estero che servono attivamente clienti del Québec o raccolgono informazioni personali da persone in Québec;
organizzazioni senza scopo di lucro, studi professionali e fornitori di servizi, qualora siano soggetti alla legge.
Una volta che la legge si applica, non esiste alcuna esenzione generale per le piccole imprese né alcuna soglia di fatturato.
I diritti delle persone ai sensi della Legge 25
La Legge 25 conferisce alle persone in Québec diversi diritti sulle proprie informazioni personali.
Un banner dei cookie non copre tutti questi diritti, ma è spesso il primo punto di contatto del visitatore con le modalità di trattamento delle informazioni personali di un sito.
I principali diritti comprendono:
Diritto di essere informati
Sapere quali informazioni vengono raccolte, perché e, a seconda delle circostanze, a chi vengono comunicate.
Diritto di accesso
Chiedere l'accesso alle informazioni personali che un'organizzazione detiene su di loro.
Diritto di rettifica
Chiedere la correzione di informazioni inesatte, incomplete o equivoche.
Diritto di revocare il consenso
Revocare il consenso dato in precedenza, nel rispetto delle norme applicabili.
Diritto alla cessazione della diffusione o alla deindicizzazione
In determinate circostanze, chiedere che un'organizzazione cessi di diffondere informazioni personali o deindicizzi un collegamento ipertestuale che vi dà accesso.
Diritto alla portabilità dei dati
Da settembre 2024, chiedere determinate informazioni personali informatizzate in un formato tecnologico strutturato e di uso comune, fatte salve le eccezioni previste dalla legge.
Diritto di essere informati sulle decisioni automatizzate
Essere informati quando una decisione si basa esclusivamente su un trattamento automatizzato di informazioni personali e ottenere determinate informazioni su tale trattamento.
Diritto di essere informati di determinati incidenti di riservatezza
Quando un incidente presenta un rischio di pregiudizio grave, le persone interessate devono esserne informate in conformità alle norme applicabili.
Il consenso ai cookie è obbligatorio nel resto del Canada?
Al di fuori del Québec, i requisiti canadesi in materia di privacy variano in base alla provincia, all'organizzazione e alla natura del trattamento.
La legge federale PIPEDA e le leggi sul settore privato di Alberta e Columbia Britannica possono consentire il consenso implicito in circostanze appropriate, a seconda di fattori come la sensibilità delle informazioni e le ragionevoli aspettative della persona.
Il Québec adotta un approccio più specifico per le tecnologie di cui all'articolo 8.1: le loro funzioni di identificazione, localizzazione e profilazione devono essere disattivate per impostazione predefinita.
Questa differenza può rendere meno preciso un unico banner per tutto il Canada.
Una configurazione basata solo sull'opt-out potrebbe non essere sufficiente in Québec quando una tecnologia identifica, localizza o profila i visitatori.
Al contrario, una configurazione opt-in rigorosa applicata in tutto il Canada può chiedere un consenso esplicito in situazioni in cui le norme applicabili consentirebbero un approccio diverso.
Una piattaforma di gestione del consenso può quindi adattare il comportamento del banner alla regione del visitatore.
Sanzioni per la non conformità alla Legge 25
La Legge 25 ha rafforzato considerevolmente i poteri di applicazione della Commission d’accès à l’information.
A seconda della natura della violazione, le conseguenze possono includere:
Sanzioni amministrative pecuniarie: fino a 10 milioni di CAD o al 2% del fatturato mondiale dell'esercizio precedente, se superiore.
Ammende penali: fino a 25 milioni di CAD o al 4% del fatturato mondiale per determinati reati, con importi che possono essere aumentati in caso di recidiva.
Azioni private: quando una violazione illecita di un diritto tutelato dalla legge causa un pregiudizio e deriva da una colpa intenzionale o grave, possono essere riconosciuti danni punitivi di almeno 1.000 CAD.
Le decisioni e i provvedimenti della CAI possono inoltre essere resi pubblici.
Come rendere il tuo sito web conforme alla Legge 25
Per quanto riguarda i cookie e le altre tecnologie di tracciamento, il processo si riduce a pochi passaggi:
Scansiona:
Individua i cookie, i tracker e le tecnologie che il tuo sito utilizza effettivamente, compresi quelli aggiunti da script di terze parti, tag manager e contenuti incorporati.
Classifica:
Stabilisci la finalità di ciascuna tecnologia e individua quelle in grado di identificare, localizzare o profilare i visitatori.
Blocca fino all'attivazione:
Assicurati che le funzioni interessate restino disattivate finché il visitatore non le attiva.
Chiedi il consenso nel modo corretto:
Mostra un banner chiaro, in francese, che consenta al visitatore di comprendere le proprie scelte e di modificarle.
Documenta:
Conserva le prove dei consensi, mantieni aggiornate le informazioni sui cookie e sulle loro finalità e pubblica un'informativa sulla privacy adeguata.
Designa un responsabile:
L'azienda deve individuare il responsabile della protezione delle informazioni personali, come richiesto dalla legge.
Come CookieHub gestisce i visitatori del Québec
CookieHub è una piattaforma di gestione del consenso utilizzata su decine di migliaia di siti web.
Ti consente di applicare un comportamento di consenso adatto ai visitatori del Québec e del resto del Canada.
Consenso preventivo per il Canada
CookieHub rileva la regione del visitatore e applica il comportamento di consenso configurato per tale regione. Per impostazione predefinita, i nuovi domini utilizzano il consenso opt-in per tutti i visitatori, compresi quelli del Québec, quindi le tecnologie interessate restano inattive finché il visitatore non compie la propria scelta. È inoltre possibile aggiungere impostazioni specifiche per regione, ad esempio con il gruppo «Recommended opt-in», che include il Canada.
Scelta per categoria, revoca semplice
I visitatori possono accettare o rifiutare diverse categorie di cookie. Le categorie non sono attivate per impostazione predefinita quando è richiesto il consenso preventivo, e i visitatori possono riaprire le proprie preferenze in un secondo momento.
Francese e inglese, automaticamente
CookieHub supporta molte lingue, tra cui il francese e l'inglese, e può adattare la lingua del banner a quella del browser del visitatore. I testi possono inoltre essere personalizzati.
Prove e monitoraggio dei cookie
Le scelte dei visitatori possono essere registrate per fornire la prova del consenso e della sua revoca. Lo scanner di CookieHub aiuta a rilevare i cookie utilizzati sul sito e a mantenere aggiornata la dichiarazione sui cookie man mano che il sito cambia.
Semplifica la conformità alla Legge 25
Aggiungi CookieHub al tuo sito, esegui la scansione delle tecnologie che utilizza e configura un banner adatto ai visitatori del Québec.
CookieHub può impedire alle tecnologie interessate di attivarsi prima del consenso, registrare le scelte dei visitatori e mantenere aggiornata la tua dichiarazione sui cookie.
Gratuito per i siti web di piccole dimensioni, nessuna carta di credito richiesta.
Domande frequenti sulla Legge 25 e i cookie
Se il tuo sito utilizza una tecnologia con funzioni in grado di identificare, localizzare o profilare un visitatore, devi tenere conto dei requisiti dell'articolo 8.1.
Ciò può includere strumenti di analisi, pixel pubblicitari, mappe di calore, contenuti incorporati e altre tecnologie di tracciamento.
Se un cookie non ha alcuna funzione di identificazione, localizzazione o profilazione ai sensi dell'articolo 8.1, il requisito specifico di disattivarlo per impostazione predefinita non si applica necessariamente a tale tecnologia.
Possono comunque applicarsi altri obblighi di trasparenza o di consenso quando vengono raccolte informazioni personali.
Le configurazioni standard di Google Analytics che utilizzano identificatori e cookie possono includere funzioni che riconoscono un visitatore da una visita o da una pagina all'altra.
Tali funzioni devono essere valutate alla luce dell'articolo 8.1 e, quando sono in grado di identificare, localizzare o profilare una persona, devono essere disattivate per impostazione predefinita finché il visitatore non le attiva.
I metodi di misurazione che non si basano su tali funzioni devono essere valutati separatamente.
No.
La Legge 25 e il GDPR sono due regimi giuridici diversi.
Per molte tecnologie di tracciamento, tuttavia, il risultato pratico può essere simile: determinati meccanismi di identificazione e profilazione non devono essere attivati automaticamente e un consenso valido deve essere chiaro, libero e dato per finalità specifiche.
Un banner che soddisfa davvero i requisiti europei è quindi spesso un buon punto di partenza per il Québec, ma non copre automaticamente tutti gli obblighi della Legge 25.
La Legge 25 prevede regole proprie, tra l'altro, sul responsabile della protezione delle informazioni personali, sulle valutazioni d'impatto sulla privacy e su determinate comunicazioni di informazioni personali al di fuori del Québec.
Può applicarsi.
Un'azienda con sede altrove può essere soggetta alla legge quando svolge attività commerciali in Québec o quando le sue attività hanno un collegamento sufficiente con il Québec.
Un'azienda che offre attivamente i propri servizi a persone in Québec o ne raccoglie le informazioni personali dovrebbe quindi valutare seriamente se vi rientra, anziché presumere che avere sede al di fuori della provincia basti a escluderla.
Le informazioni personali sono qualsiasi informazione che riguarda una persona fisica e consente di identificarla, direttamente o indirettamente.
A seconda di come vengono utilizzati e del contesto, possono rientrarvi indirizzi IP, identificatori dei dispositivi, identificatori associati ai cookie e determinati dati comportamentali.
Le informazioni personali sono sensibili quando, per la loro natura o per il contesto del loro utilizzo o della loro comunicazione, comportano un elevato grado di ragionevole aspettativa di privacy.
Ciò può includere determinati dati medici, biometrici, genetici o finanziari, nonché altre informazioni particolarmente intime.
Il consenso all'utilizzo di informazioni personali sensibili deve essere dato espressamente.
La Commission d’accès à l’information du Québec (CAI).
Può indagare sulle pratiche delle organizzazioni, emettere provvedimenti e imporre sanzioni amministrative nelle situazioni previste dalla legge.
Gli enti pubblici del Québec sono disciplinati principalmente da un regime legislativo diverso da quello che si applica alle imprese del settore privato.
Anche determinate attività o categorie di informazioni possono essere soggette a esclusioni o a regole specifiche.
Non esiste tuttavia alcuna esenzione generale per le piccole imprese per il solo fatto delle loro dimensioni.
La Commission d’accès à l’information pubblica il testo della legge, linee guida sul consenso e informazioni sui cookie e sulle altre tecnologie di tracciamento.
Queste risorse sono disponibili sul sito web della CAI.
Ultimo aggiornamento:
Disclaimer: Le informazioni fornite in questa pagina hanno solo scopo di riferimento generale e non intendono costituire consulenza legale o normativa. Le normative sulla privacy dei dati sono complesse e soggette a frequenti aggiornamenti, interpretazioni e variazioni giurisdizionali. Sebbene ci impegniamo a mantenere il materiale accurato e aggiornato, non possiamo garantirne la completezza o l'applicabilità alle vostre circostanze specifiche. Per indicazioni sulla conformità o sugli obblighi legali, si prega di consultare professionisti legali qualificati o le autorità di regolamentazione competenti.
