Kanadan yksityisyysmaisema vuonna 2023 kehittyy. Tässä artikkelissa annamme sinulle yleiskatsauksen Kanadan tietosuoja-alan viimeisimmästä kehityksestä. Näin tehdessämme katamme tulevat Quebecin tietosuojavaatimukset, uudet tekoälysäännöt, erityisesti Consumer Privacy Actin (Bill C-27), sekä muut Kanadan muiden provinssien tietosuojapäivitykset tekoälyn sääntelystä.
Jos asut Kanadassa tai harjoitat liiketoimintaa Kanadassa, sinun on ehkä varmistettava, että yrityksesi on Kanadan lainsäädännön tulevien muutosten mukainen.
Alla on yleiskatsaus yksityiskohtiin ja mahdollisiin vaikutuksiin yritykseesi.
Quebecin tietosuojavaatimusten uusi vaihe astuu voimaan 22.9.2023
Quebecin yksityisen sektorin henkilötietojen suojalakia (”PPIPS” ) päivitetään toisella kierroksella lakiehdotuksella 64 , nyt laki 25 , ja sen on määrä tulla voimaan 22. syyskuuta 2023. Siihen mennessä Québecissä liiketoimintaa harjoittavien yritysten on täytettävä muun muassa seuraavat keskeiset vaatimukset:
- Yksityisyysvaikutusten arvioinnin (PIA) suorittaminen on nyt pakollista: Organisaatioiden on nyt suoritettava PIA jokaisesta yksityisyyden kannalta arkaluonteisesta toiminnasta. Eli jos yrityksesi harjoittaa yksityisyyden kannalta arkaluontoista toimintaa, joka sisältää muun muassa henkilötietojen keräämisen, käsittelyn tai tallentamisen, biometristen tietojen käsittelyn tai tietojen jakamisen ja luovuttamisen.
- Käytäntöjä on päivitettävä: yritysten on nyt annettava käyttäjille mahdollisuus säilyttää tai poistaa henkilötietonsa. Päivitetyssä käytännössä on nyt selitettävä henkilötietoja käsittelevien työntekijöiden roolit ja vastuut koko niiden elinkaaren ajan sekä myös se, miten yritys käsittelee valituksia.
- Muut yksilöiden oikeudet : Laki 25 määrittelee yksilöiden oikeudet, mukaan lukien oikeus tietojen siirrettävyyteen, automaattiseen päätöksentekoon, tietojen profilointiin ja oikeus tulla unohdetuksi. Yksityishenkilöillä on lisäoikeus peruuttaa henkilötietojensa käsittely ja luovuttaminen.
- Tietojenkäsittelysopimukset palveluntarjoajien kanssa, jotka sisältävät erityismääräyksiä: Laki 64 edellyttää, että organisaatiot, jotka eivät ole vielä tehneet niin, tekevät kirjalliset tietojenkäsittelysopimukset palveluntarjoajien kanssa, joiden kanssa ne jakavat henkilötietoja.
- Rangaistukset: Samoin kuin eurooppalaiset tietosuojalait, kuten GDPR, Kanadan uudet tietosuojalait määräävät sakkoja enintään 50 000 dollaria henkilöä kohti ja enintään 10 000 000 dollaria tai 2 % yrityksen edellisen vuoden maailmanlaajuisista tuloista sen mukaan, kumpi on suurempi.
Uudet tekoälysäännöt Consumer Privacy Actin (laki C-27) mukaisesti:
Kanadan lakiesitys C-27, Consumer Privacy Protection Act, on menossa toiseen käsittelyyn sen jälkeen, kun se annettiin kesäkuussa 2022. Tämä lainsäädäntö, joka ei ole vielä tullut voimaan, korvaisi voimassa olevan henkilötietojen suojaa ja sähköisiä asiakirjoja koskevan lain (”PIPEDA”) tietosuojalainsäädännön ja yhdessä kuluttajansuojalain (”CPPA”), henkilötieto- ja tietosuojatuomioistuinlain. (”PIDPTA”) ja tekoäly- ja tietolaki (”AIDA”).
Samoin Kanadan tietosuojavaltuutetun toimisto (OPC) on antanut 15 tärkeää suositusta lakiehdotukseen C-27. Näitä ovat yksityisyyden tunnustaminen perusoikeudeksi, oikeus päästä käsiksi henkilötietoihin, yksityisyyden suojakulttuurin luominen organisaatioihin kehittämään tuotteita ja palveluita ”sisäänrakennetun yksityisyyden” periaatteella sekä organisaatioiden velvoittaminen seuraamaan päätöksiään ja profiilien luomista automaattiset päätöksentekojärjestelmät selittäviksi pyynnöstä.
AIDA , uusi asetus, joka vastaa muuttuvaan ja nopeasti kehittyvään tekoälyn (AI) maisemaan, asettaa uusia lakeja tekoälyjärjestelmien käytölle. Siksi, jos harjoitat liiketoimintaa Kanadassa, on tärkeää, että alat miettiä nyt, kuinka yrityksesi käyttää tekoälyä ja mitä toimenpiteitä aiot suojella käyttäjien yksityisyyttä ja henkilökohtaisia tietoja. Aiempien tietosuojalakien tapaan AIDA vaatii sinua selittämään, mitä tietoja keräät, miten keräät niitä ja että henkilöt voivat pyytää pääsyä näihin tietoihin. Heidän on selitettävä algoritmin toiminta ja oltava valmiita paljastamaan tietoja läpinäkyvästi. Tämä koskee myös tekoälyjärjestelmiä käyttäviä kolmansia osapuolia.
C-27-laki on parhaillaan toisessa käsittelyssä, ja se todennäköisesti käy läpi useita muutoksia ennen kuin siitä tulee virallinen laki.
Muut Kanadan osavaltiot seuraavat esimerkkiä tekoälyjärjestelmien säätelyssä:
Toukokuusta lähtien Kanadan tietosuojavaltuutetut ja liittovaltion tietosuojavaltuutetut Quebecistä, British Columbiasta ja Albertasta ovat yhdessä käynnistäneet tutkimuksen OpenA I:stä , tekoälyllä toimivan ChatGPT-chatbotin takana olevasta yrityksestä.
Siinä selvitetään muun muassa, onko OpenAI saanut pätevän ja asianmukaisen suostumuksen ChatGPT:lle Kanadan asukkaiden henkilötietojen keräämiseen ja käyttöön, onko se täyttänyt avoimuus- ja vastuuvelvollisuutensa ja perustuvatko kerätyt henkilötiedot määriteltyihin ja käyttötarkoituksia rajoitetaan siinä määrin kuin on tarpeen.
Kanadan tietosuojavaltuutetun Philippe Dufresnen lausunto osoittaa Kanadan halukkuuden pysyä kehityksen kärjessä tekoälyn kaltaisissa kehittyvissä teknologioissa ja asettaa yksityisyyden etusijalle.
”Tekoäly ja sen vaikutukset yksityisyyteen ovat maailmanlaajuisia kysymyksiä, jotka ovat keskeisiä huolenaiheita tietosuojaviranomaisille Kanadassa ja ympäri maailmaa. Sääntelyviranomaisina meidän on pysyttävä nopean teknologisen kehityksen tahdissa ja sen edellä suojellaksemme kanadalaisten perusoikeuksia yksityisyyteen.”
Lähde:
https://www.priv.gc.ca/en/opc-news/news-and-announcements/2023/an_230525-2/
Kanadassa toimivat yritykset voivat jo lähteä tielle kohti kattavaa suostumusmanagerin noudattamista. Napsauta tätä nähdäksesi Kanadan vaatimustenmukaisuussivumme.
