Wat is er nieuw in het privacylandschap van Canada in 2023

Het Canadese privacylandschap anno 2023 evolueert. In dit artikel geven we u een overzicht van de laatste ontwikkelingen in het Canadese gegevensbeschermingslandschap. Daarbij behandelen we de komende privacyvereisten in Quebec, de nieuwe AI-regelgeving, met name onder de Consumer Privacy Act (Bill C-27), en verdere privacy-updates van andere Canadese provincies met betrekking tot de regulering van AI.

Als u een Canadese ingezetene bent of zaken doet in Canada, moet u er mogelijk voor zorgen dat uw bedrijf voldoet aan de komende wijzigingen in de Canadese wetgeving.

Hieronder vindt u een overzicht van de details en de mogelijke impact op uw bedrijf.

Nieuwe fase van de privacyvereisten van Quebec vanaf 22 september 2023

Quebec’s Private Sector Personal Information Protection Act (“PPIPS” ) wordt in een tweede ronde bijgewerkt door Bill 64 , nu Law 25 , en zal naar verwachting op 22 september 2023 in werking treden. Bedrijven die zakendoen in Québec moeten tegen die tijd onder andere voldoen aan de volgende belangrijke vereisten:

• Het uitvoeren van een Privacy Impact Assessment (PIA) is nu verplicht: Organisaties moeten nu voor elke privacygevoelige activiteit een PIA uitvoeren. Dat wil zeggen als uw onderneming zich bezighoudt met privacygevoelige activiteiten waarbij onder meer sprake is van het verzamelen, verwerken of opslaan van persoonsgegevens, het verwerken van biometrische gegevens of het delen en openbaar maken van informatie.
• Het beleid moet worden bijgewerkt: bedrijven moeten gebruikers nu de mogelijkheid geven om hun persoonlijke gegevens te behouden of te verwijderen. Het geüpdatete beleid moet nu de rollen en verantwoordelijkheden uitleggen van werknemers die gedurende de hele levenscyclus met persoonlijke informatie omgaan, en ook hoe het bedrijf omgaat met klachten.
• Andere rechten voor personen : Wet 25 stelt rechten vast voor personen, waaronder het recht op gegevensoverdraagbaarheid, geautomatiseerde besluitvorming, gegevensprofilering en om vergeten te worden. Individuen hebben aanvullende rechten om verdere verwerking en openbaarmaking van hun persoonsgegevens in te trekken.
• Verwerkersovereenkomsten met dienstverleners die specifieke bepalingen bevatten: Wet 64 verplicht organisaties die dat nog niet hebben gedaan om schriftelijke verwerkersovereenkomsten te sluiten met dienstverleners met wie zij persoonsgegevens delen.
• Sancties: vergelijkbaar met de Europese wetgeving inzake gegevensbescherming, zoals de AVG, voorzien de nieuwe Canadese wetgeving inzake gegevensbescherming in boetes tot $ 50.000 per persoon en tot $ 10.000.000 of 2% van de wereldwijde omzet van een bedrijf in het voorgaande jaar, afhankelijk van wat het hoogste is.

Nieuwe AI-regelgeving onder de Consumer Privacy Act (Bill C-27):

Canada’s wetsvoorstel C-27, de wet op de bescherming van de privacy van consumenten, gaat in tweede lezing sinds de inwerkingtreding ervan in juni 2022. Deze wetgeving, die nog niet in werking is getreden, zou de bestaande Personal Information Protection and Electronic Documents Act (“PIPEDA”) privacywetgeving en samen de Consumer Privacy Protection Act (“CPPA”), de Personal Information and Data Protection Tribunal Act vervangen (“PIDPTA”) en de Wet op kunstmatige intelligentie en gegevens (“AIDA”).

Evenzo heeft het Office of the Privacy Commissioner of Canada (OPC) 15 belangrijke aanbevelingen gedaan over Bill C-27. Denk hierbij aan het erkennen van privacy als een grondrecht, het recht op toegang tot persoonsgegevens, het creëren van een privacycultuur in organisaties om producten en diensten te ontwikkelen op basis van het principe van “privacy by design”, en het verplichten van organisaties om hun beslissingen en het aanmaken van profielen te monitoren door geautomatiseerde besluitvormingssystemen toe te lichten op verzoek.

AIDA , een nieuwe verordening die inspeelt op het veranderende en snel evoluerende landschap van kunstmatige intelligentie (AI), zal nieuwe wetten opleggen aan het gebruik van AI-systemen. Als u zaken doet in Canada, is het daarom belangrijk dat u nu begint na te denken over hoe uw bedrijf AI gebruikt en welke maatregelen u neemt om de privacy en persoonlijke informatie van uw gebruikers te beschermen. Net als eerdere privacywetten, vereist AIDA dat u uitlegt welke gegevens u verzamelt, hoe u deze verzamelt en dat personen toegang tot die gegevens kunnen vragen. Ze moeten uitleggen hoe het algoritme werkt en bereid zijn informatie op een transparante manier vrij te geven. Dit geldt ook voor derde partijen die gebruikmaken van AI-systemen.

Het wetsvoorstel C-27 bevindt zich momenteel in de tweede lezing en zal waarschijnlijk verschillende wijzigingen ondergaan voordat het officieel wet wordt.

Andere Canadese staten volgen dit voorbeeld bij het reguleren van AI-systemen:

Sinds mei hebben Canadese privacycommissarissen en op federaal niveau privacycommissarissen uit Quebec, British Columbia en Alberta gezamenlijk een onderzoek gestart naar OpenA I, het bedrijf achter de door kunstmatige intelligentie aangedreven chatbot ChatGPT.

Het onderzoekt onder meer of OpenAI geldige en passende toestemming heeft verkregen voor het verzamelen en gebruiken van persoonsgegevens door ChatGPT van Canadese ingezetenen, of het heeft voldaan aan zijn transparantie- en verantwoordingsverplichtingen, en of de verzamelde persoonsgegevens gebaseerd zijn op de voor de gespecificeerde en beoogde doeleinden zijn beperkt tot het noodzakelijke.

Een verklaring van Philippe Dufresne, Canada’s Privacy Commissioner, geeft aan dat Canada bereid is voorop te blijven lopen op het gebied van evoluerende technologieën zoals kunstmatige intelligentie, terwijl privacy op de voorgrond wordt geplaatst.

“Kunstmatige intelligentie en de impact ervan op de privacy zijn wereldwijde kwesties die van groot belang zijn voor privacyregelgevers in Canada en de rest van de wereld. Als toezichthouders moeten we gelijke tred houden met de snelle technologische vooruitgang en deze voor blijven om de fundamentele privacyrechten van Canadezen te beschermen.”

Bron:
https://www.priv.gc.ca/en/opc-news/news-and-announcements/2023/an_230525-2/

In Canada gevestigde bedrijven kunnen nu al de weg inslaan naar uitgebreide naleving met consentmanager . Klik hier om onze speciale Canadese nalevingspagina te bekijken.