Ley de Protección de Información Personal y Documentos Electrónicos

La Ley de Protección de Información Personal y Documentos Electrónicos ( PIPEDA ; en francés : Loi sur la protection des renseignements personnels et les documents électroniques ) es una ley canadiense relativa a la privacidad de datos . ^{[ 2 ]} Regula la forma en que las organizaciones del sector privado recopilan, utilizan y divulgan información personal en el curso de sus actividades comerciales. Además, la Ley contiene diversas disposiciones para facilitar el uso de documentos electrónicos . La PIPEDA entró en vigor el 13 de abril de 2000 para promover la confianza del consumidor en el comercio electrónico . La ley también tenía como objetivo garantizar a la Unión Europea que la ley canadiense de privacidad era adecuada para proteger la información personal de los ciudadanos europeos . De conformidad con el artículo 29 de la PIPEDA, la Parte I de la Ley («Protección de la Información Personal en el Sector Privado») debe ser revisada por el Parlamento cada cinco años. ^{[ 3 ]} La primera revisión parlamentaria tuvo lugar en 2007. ^{[ 4 ]}

La PIPEDA incorpora y hace obligatorias las disposiciones del Código Modelo de la Asociación Canadiense de Normas para la Protección de la Información Personal, desarrollado en 1995. Sin embargo, existen varias excepciones al Código que permiten recopilar, usar y divulgar información sin el consentimiento del individuo. Algunos ejemplos incluyen razones de seguridad nacional, asuntos internacionales y emergencias. Conforme a la Ley , la información personal también puede divulgarse sin conocimiento ni consentimiento en investigaciones relacionadas con la aplicación de la ley , ya sea federal, provincial o extranjera. ^{[ 5 ]} También existen excepciones a la regla general de que se debe otorgar a un individuo acceso a su información personal. Estas excepciones pueden incluir información que probablemente revele información personal sobre un tercero, información que no puede divulgarse por ciertas razones legales , de seguridad o de propiedad comercial, e información sujeta al privilegio abogado-cliente . ^{[ 6 ]}

La "Información Personal", tal como se especifica en la PIPEDA, es la siguiente: información sobre una persona identificable, pero no incluye el nombre, el cargo, la dirección comercial ni el número de teléfono de un empleado de una organización.

La Ley otorga a los individuos el derecho a

• saber por qué una organización recopila, utiliza o divulga su información personal ;
• Se espera que una organización recopile, utilice o divulgue su información personal de manera razonable y apropiada, y que no utilice la información para ningún otro propósito que no sea aquel para el que hayan dado su consentimiento;
• saber quién en la organización es responsable de proteger su información personal;
• Se espera que una organización proteja su información personal mediante la adopción de medidas de seguridad adecuadas;
• esperan que la información personal que una organización tenga sobre ellos sea precisa, completa y esté actualizada;
• obtener acceso a su información personal y solicitar correcciones si fuera necesario; y
• Pueden presentar una queja sobre cómo una organización maneja su información personal si consideran que no se han respetado sus derechos de privacidad.

La Ley exige a las organizaciones que

• obtienen el consentimiento cuando recopilan, utilizan o divulgan su información personal;
• suministrar a una persona un producto o servicio incluso si se niega a dar su consentimiento para la recopilación, el uso o la divulgación de su información personal, a menos que esa información sea esencial para la transacción;
• recopilar información por medios justos y legales; y
• Contar con políticas de información personal que sean claras, comprensibles y fácilmente accesibles.

La implementación de PIPEDA se produjo en tres etapas. ^{[ 7 ]} A partir de 2001, la ley se aplicó a las industrias reguladas federalmente (como aerolíneas , banca y radiodifusión ). En 2002, la ley se amplió para incluir el sector de la salud. Finalmente, en 2004, cualquier organización que recopile información personal en el curso de una actividad comercial quedó cubierta por PIPEDA, excepto en las provincias que tienen leyes de privacidad "sustancialmente similares" ^{[ 8 ]} . A octubre de 2018, siete provincias tienen leyes de privacidad que el Gobernador en Consejo federal ha declarado sustancialmente similares a PIPEDA: ^{[ 9 ]}

• Ley relativa a la protección de la información personal en el sector privado (Quebec) ^{[ 10 ]}
• Ley de Protección de Información Personal (Columbia Británica) ^{[ 11 ]}
• Ley de Protección de Información Personal (Alberta) ^{[ 12 ]}
• La Ley de Protección de la Información Sanitaria Personal (Ontario), "con respecto a los custodios de la información sanitaria"
• La Ley de Privacidad y Acceso a la Información de Salud Personal (Nuevo Brunswick), ^{[ 13 ]} "con respecto a los custodios de información de salud personal"
• La Ley de Información de Salud Personal ( Terranova y Labrador ), ^{[ 14 ]} "con respecto a los custodios de información de salud"
• La Ley de Información de Salud Personal (Nueva Escocia), "con respecto a los custodios de información de salud"
• Memorando de Entendimiento ^{[ 15 ]}

El 18 de junio de 2015, la Ley de Privacidad Digital (Proyecto de Ley del Senado S-4 ^{[ 18 ]} ) se convirtió en ley, modificando la PIPEDA ^{[ 19 ]} para incluir una exención de transacciones comerciales, requisitos obligatorios de notificación de violaciones, poderes ampliados para el Comisionado de Privacidad y otras actualizaciones.

La PIPEDA establece las normas básicas sobre cómo las organizaciones del sector privado pueden recopilar, usar o divulgar información personal en el curso de sus actividades comerciales. La PIPEDA también se aplica a las obras, empresas y negocios federales con respecto a la información personal de los empleados. La ley otorga a las personas el derecho a acceder a la información personal que estas organizaciones hayan recopilado sobre ellas y a solicitar su corrección.

En general, la PIPEDA se aplica a las actividades comerciales de las organizaciones en todas las provincias, excepto a aquellas que recopilan, utilizan o divulgan información personal exclusivamente dentro de provincias que cuentan con sus propias leyes de privacidad, las cuales han sido declaradas sustancialmente similares a la ley federal. En tales casos, se aplicará la ley provincial sustancialmente similar en lugar de la PIPEDA, si bien esta última continúa aplicándose a las obras, empresas o negocios federales y a las transferencias interprovinciales o internacionales de información personal.

Recientemente, la Oficina del Comisionado de Privacidad de Canadá, así como académicos y miembros de la sociedad civil, han afirmado que no aborda suficientemente los desafíos modernos de la legislación sobre privacidad, y han pedido una reforma de la PIPEDA en vista de la IA. ^{[ 20 ]} El gobierno canadiense respondió a estos llamados con un proyecto de reforma integral que actualmente se encuentra en debate parlamentario. ^{[ 21 ]}

En R. v. Bykovets (2024), la Corte Suprema de Canadá dictaminó que las personas tienen una expectativa razonable de privacidad respecto a sus direcciones IP en relación con las búsquedas realizadas conforme al artículo 8 de la Carta Canadiense de Derechos y Libertades . La Corte determinó que las direcciones IP pueden revelar información sumamente privada al vincular a los usuarios de internet con sus actividades en línea, otros datos en línea y, en última instancia, sus identidades. La Corte sostuvo además que el acceso a la información de direcciones IP requiere autorización judicial previa, respaldada por pruebas suficientes para justificar la solicitud. ^{[ 22 ] [ 23 ]} Los comentaristas jurídicos han señalado la importancia de la decisión para el derecho a la privacidad personal, reconociendo que refuerza la idea de que una dirección IP puede usarse para identificar a una persona, y la identificabilidad es una característica fundamental de la definición de información personal de la PIPEDA. ^{[ 24 ]}

La Ley no crea un derecho automático a demandar por violaciones de las obligaciones legales. En cambio, la PIPEDA sigue un modelo de defensor del pueblo en el que las quejas se presentan ante la Oficina del Comisionado de Privacidad de Canadá . El Comisionado debe investigar la queja y emitir un informe al concluir la investigación. El informe no es vinculante para las partes, sino que constituye más bien una recomendación. El Comisionado no tiene facultades para ordenar el cumplimiento, otorgar indemnizaciones ni imponer sanciones. La organización denunciada no está obligada a seguir las recomendaciones. El denunciante, con el informe en mano, puede entonces llevar el caso ante el Tribunal Federal de Canadá . La organización demandada no puede llevar el caso a los tribunales, ya que el informe no es una decisión y la PIPEDA no le otorga explícitamente ese derecho.

La PIPEDA, en su artículo 14, otorga al denunciante el derecho a solicitar ante el Tribunal Federal de Canadá una audiencia sobre el objeto de la denuncia. El Tribunal tiene la facultad de ordenar a la organización que corrija sus prácticas, que publique las medidas que adoptará para corregirlas y que otorgue una indemnización por daños y perjuicios. ^{[ 25 ]}

Como resultado de una brecha central y de larga data en las protecciones de privacidad de Canadá, ^{[ 26 ]} el proyecto de ley C-475 fue propuesto en febrero de 2013 por Charmaine Borg , diputada, proponiendo varias enmiendas a la Ley . ^{[ 27 ]} El proyecto de ley C-475 fue rechazado en enero de 2014. ^{[ 28 ]}

• Ley para combatir el spam en Internet y redes inalámbricas
• ley de privacidad de la información
• Privacidad de la información

• Ley de Protección de Información Personal y Documentos Electrónicos
• Ejemplo de una solicitud de PIPEDA para obtener grabaciones de videovigilancia.
• Blog sobre Derecho a la Privacidad en Canadá: Un blog que se actualiza periódicamente sobre temas relacionados con el derecho a la privacidad y la PIPEDA, escrito por David TS Fraser, abogado canadiense especializado en privacidad.