Indice dei contenuti

Consenso CPPA: quali sono i principali requisiti?

CPPA del Canada, Consumer Privacy Protection Act, è attualmente in seconda lettura alla Camera dei Comuni con il disegno di legge C-27. Il testo completo è già disponibile. Tuttavia, potrebbe ancora subire cambiamenti significativi.

Uno degli aspetti più interessanti della nuova legge canadese sulla privacy riguarda sicuramente il consenso degli individui, che rappresenterebbe la base primaria per molte attività di raccolta e trattamento dei dati personali da parte delle organizzazioni.

In questa breve guida, esamineremo i principali requisiti relativi al consenso CPPA, in modo da essere pronti quando la legge entrerà in vigore!

Consenso ai sensi della legge sulla protezione della privacy dei consumatori

Secondo la legge canadese sulla protezione della privacy dei consumatori, se raccogliete, utilizzate e/o divulgate informazioni personali, dovete ottenere il consenso esplicito e valido dei vostri utenti.

È necessario raccogliere il consenso al momento o prima della raccolta delle informazioni personali e utilizzare un “linguaggio semplice” che gli utenti possano comprendere facilmente.

Affinché il consenso sia valido, gli utenti devono essere informati su:

👉 quali dati personali raccoglierete, elaborerete o divulgherete;
👉 le modalità di raccolta, utilizzo e divulgazione;
👉 il vostro scopo dietro tali attività;
👉 una valutazione degli effetti “ragionevolmente prevedibili” legati alla raccolta, all’uso o alla divulgazione;
👉 le categorie o l’identità dei terzi a cui potrebbero essere comunicate le informazioni personali.

Una volta ottenuto il consenso dei vostri utenti, potrete utilizzare le loro informazioni personali solo per gli scopi da voi descritti e dovrete anche dare loro la possibilità di ritirare il consenso in qualsiasi momento.

Inoltre, se si raccoglie il consenso attraverso “pratiche ingannevoli o fuorvianti”, come ad esempio schemi oscuri, tali consensi sono considerati non validi.

Consenso ai sensi del CPPA e del PIPEDA

Il CPPA si basa sul PIPEDA, che richiede alle organizzazioni di ottenere un consenso esplicito prima di trattare le informazioni personali.

Tuttavia, con il CPPA, le aziende devono fornire agli individui dettagli più specifici sulle attività di raccolta e trattamento dei dati, come già menzionato in precedenza.

Inoltre, il CPPA approfondisce il concetto di consenso implicito e fornisce ulteriori informazioni al riguardo. Spieghiamo questo punto nel prossimo paragrafo.

Esistono eccezioni al consenso ai sensi del CPRA (emendamento CCPA)?

Sì, la nuova legge canadese sulla privacy prevede alcune eccezioni al consenso.

Ecco alcuni casi, tra gli altri, in cui non è necessario il consenso degli utenti:

la raccolta o l’utilizzo avvenga ai fini di un’attività commerciale e:
- gli utenti si aspettano che i loro dati vengano raccolti o utilizzati nel contesto di tale attività commerciale; e
- le informazioni personali non vengono raccolte o utilizzate allo scopo di influenzare il comportamento o le decisioni dell’individuo;
la raccolta o l’utilizzo avvengono in base al legittimo interesse della vostra azienda, che supera i potenziali impatti sull’individuo.

Sono considerate attività commerciali ai sensi del CPPA quelle di seguito elencate:

necessari per fornire un prodotto o un servizio che gli utenti hanno richiesto alla vostra azienda;
necessarie per la sicurezza delle informazioni aziendali, del sistema o della rete;
necessario per la sicurezza di un prodotto o di un servizio fornito dall’azienda.

✉️