Det canadiske privatlivslandskab i 2023 er under udvikling. I denne artikel giver vi dig et overblik over den seneste udvikling i det canadiske databeskyttelseslandskab. Derved dækker vi de kommende privatlivskrav i Quebec, de nye AI-regler, især under Consumer Privacy Act (Bill C-27), og yderligere opdateringer om privatlivets fred fra andre canadiske provinser vedrørende reguleringen af AI.
Hvis du er canadisk bosiddende eller driver forretning i Canada, skal du muligvis sikre dig, at din virksomhed er i overensstemmelse med kommende ændringer i canadisk lovgivning.
Nedenfor er en oversigt over detaljerne og den potentielle indflydelse på din virksomhed.
Ny fase af Quebec-krav til beskyttelse af personlige oplysninger med virkning fra 22. september 2023
Quebecs Private Sector Personal Information Protection Act (“PPIPS” ) opdateres i en anden runde af lovforslag 64 , nu lov 25 , og er planlagt til at træde i kraft den 22. september 2023. Inden da skal virksomheder, der driver forretning i Québec, blandt andet opfylde følgende nøglekrav:
- Udførelse af en PIA (Privacy Impact Assessment) er nu obligatorisk: Organisationer skal nu udføre en PIA for hver privatlivsfølsom aktivitet. Det vil sige, hvis din virksomhed engagerer sig i privatlivsfølsomme aktiviteter, der blandt andet involverer indsamling, behandling eller opbevaring af persondata, behandling af biometriske data eller deling og videregivelse af oplysninger.
- Politikker skal opdateres: Virksomheder skal nu give brugerne mulighed for at beholde eller slette deres personlige data. Den opdaterede politik skal nu forklare roller og ansvar for medarbejdere, der håndterer personoplysninger i hele sin livscyklus, og også hvordan virksomheden håndterer klager.
- Andre rettigheder for enkeltpersoner : Lov 25 fastlægger rettigheder for enkeltpersoner, herunder retten til dataportabilitet, automatiseret beslutningstagning, dataprofilering og til at blive glemt. Enkeltpersoner har yderligere rettigheder til at trække yderligere behandling og videregivelse af deres personoplysninger tilbage.
- Databehandleraftaler med tjenesteudbydere, der indeholder specifikke bestemmelser: Lov 64 pålægger organisationer, der endnu ikke har gjort det, at indgå skriftlige databehandleraftaler med tjenesteudbydere, som de deler personoplysninger med.
- Sanktioner: I lighed med europæiske databeskyttelseslove, såsom GDPR, giver Canadas nye databeskyttelseslove bøder på op til $50.000 pr. person og op til $10.000.000 eller 2 % af en virksomheds tidligere års globale omsætning, alt efter hvad der er størst.
Nye AI-regler under Consumer Privacy Act (Bill C-27):
Canadas lovforslag C-27, Consumer Privacy Protection Act, går ind i sin andenbehandling siden starten i juni 2022. Denne lovgivning, som endnu ikke er trådt i kraft, vil erstatte den eksisterende lov om beskyttelse af personlige oplysninger og elektroniske dokumenter (“PIPEDA”) privatlivslovgivning og tilsammen Consumer Privacy Protection Act (“CPPA”), loven om personoplysninger og databeskyttelse. (“PIDPTA”) og Artificial Intelligence and Data Act (“AIDA”).
Ligeledes har Office of the Privacy Commissioner of Canada (OPC) fremsat 15 vigtige anbefalinger om lovforslag C-27. Disse omfatter anerkendelse af privatlivets fred som en grundlæggende rettighed, retten til at få adgang til personlige data, skabe en privatlivskultur i organisationer for at udvikle produkter og tjenester baseret på princippet om “privacy by design”, og at forpligte organisationer til at overvåge deres beslutninger og oprettelse af profiler automatiserede beslutningssystemer til at forklare efter anmodning.
AIDA , en ny forordning, der reagerer på det skiftende og hurtigt udviklende landskab med kunstig intelligens (AI), vil indføre nye love om brugen af AI-systemer. Derfor, hvis du driver forretning i Canada, er det vigtigt, at du nu begynder at tænke på, hvordan din virksomhed bruger AI, og hvilke foranstaltninger du tager for at beskytte dine brugeres privatliv og personlige oplysninger. I lighed med tidligere privatlivslove kræver AIDA, at du forklarer, hvilke data du indsamler, hvordan du indsamler dem, og at enkeltpersoner kan anmode om adgang til disse data. De skal forklare, hvordan algoritmen fungerer, og være villige til at videregive information på en gennemsigtig måde. Dette gælder også for tredjepartsudbydere, der bruger AI-systemer.
C-27 lovforslaget er i øjeblikket under andenbehandling og vil sandsynligvis gennemgå flere ændringer, før det officielt bliver lov.
Andre canadiske stater følger trop med at regulere AI-systemer:
Siden maj har canadiske privatlivskommissærer og, på føderalt niveau, privatlivskommissærer fra Quebec, British Columbia og Alberta i fællesskab iværksat en undersøgelse af OpenA I, virksomheden bag den kunstig intelligens-drevne chatbot ChatGPT.
Den undersøger blandt andet, om OpenAI har indhentet gyldigt og passende samtykke til ChatGPTs indsamling og brug af persondata fra canadiske beboere, om det har opfyldt sine gennemsigtigheds- og ansvarlighedsforpligtelser, og om de indsamlede personlige data er baseret på de for de specificerede og tilsigtede formål er begrænset i det omfang, det er nødvendigt.
En erklæring fra Philippe Dufresne, Canadas privatlivskommissær, signalerer Canadas vilje til at være på forkant med udviklingen af teknologier som kunstig intelligens, og samtidig sætte privatlivets fred i højsædet.
“Kunstig intelligens og dens indvirkning på privatlivets fred er globale spørgsmål, som er af central betydning for privatlivsregulatorer i Canada og rundt om i verden. Som regulatorer skal vi holde trit med og være på forkant med hurtige teknologiske fremskridt for at beskytte canadiernes grundlæggende privatlivsrettigheder.”
Kilde:
https://www.priv.gc.ca/en/opc-news/news-and-announcements/2023/an_230525-2/
Virksomheder baseret i Canada kan allerede gå ind på vejen til omfattende overholdelse af consentmanager . Bare klik her for at se vores dedikerede canadiske overholdelsesside.
