Requisitos legales para sitios web y aplicaciones: Canadá

Los sitios web canadienses requieren una evaluación federal y provincial: PIPEDA, leyes provinciales de privacidad y consumo aplicables, y CASL para mensajes comerciales electrónicos. Quebec añade requisitos importantes de privacidad y de lengua francesa. Si a esto le sumamos las normas provinciales de accesibilidad, los requisitos de lengua francesa de Quebec y la legislación provincial sobre consumo, el patrón queda claro: en Canadá, la provincia importa más que el país. Si solo recuerdas una cosa: no puedes enviar correos electrónicos a los canadienses sin un consentimiento que puedas demostrar. El consentimiento puede ser expreso o implícito bajo una condición legal calificable; algunos mensajes están exentos. Una lista comprada o un contacto de una conferencia no constituyen un permiso automático. Guarda pruebas, respeta los límites de tiempo y proporciona una opción para cancelar la suscripción que funcione. Lo segundo: la Ley 25 de Quebec se aplica a cualquiera que haga negocios en Quebec, independientemente de dónde estés establecido, y exige privacidad por defecto: cualquier tecnología que identifique, localice o cree perfiles de una persona debe estar desactivada por defecto. Este es el capítulo sobre Canadá de nuestra lista de verificación legal antes del lanzamiento. Ejecuta esa secuencia de comandos primero y luego aplica esto.

Conclusiones clave

• PIPEDA se aplica a la información personal recopilada en actividades comerciales, incluyendo un formulario de contacto, un sistema de reservas o análisis.
• La Ley 25 de Quebec es la más estricta: oficial de privacidad, evaluaciones de impacto de la privacidad, consentimiento para información confidencial, tecnologías de creación de perfiles desactivadas por defecto, portabilidad de datos, sanciones de hasta 25 millones de dólares o el 4 % de la facturación mundial.
• CASL generalmente requiere consentimiento expreso o implícito calificable para mensajes comerciales electrónicos, con pruebas y fechas de caducidad aplicables. Las sanciones alcanzan los 10 millones de dólares por infracción para las empresas.
• Notificación de brechas: notifica al Comisionado de Privacidad y a las personas afectadas cuando exista un "riesgo real de daño significativo" y mantén un registro de cada brecha durante 24 meses.
• La accesibilidad es provincial: la AODA de Ontario requiere WCAG 2.0 AA para organizaciones con más de 50 empleados; los sectores regulados federalmente siguen la Ley de Accesibilidad de Canadá.
• Las normas de lengua francesa de Quebec se aplican a los sitios web comerciales ofrecidos a los consumidores de Quebec.
• La reforma de la privacidad federal se estancó cuando el Proyecto de Ley C-27 murió a principios de 2025; la PIPEDA sigue siendo la ley.

PIPEDA: la base federal

La PIPEDA se aplica a las organizaciones que recopilan, utilizan o divulgan información personal en el curso de una actividad comercial. Alberta, Columbia Británica y Quebec tienen sus propias leyes del sector privado consideradas sustancialmente similares, que prevalecen para la actividad intraprovincial.

Los diez principios de información justa, en la versión que importa para un producto pequeño:

• Responsabilidad. Designa a alguien responsable del cumplimiento de la privacidad y nombra a esa persona o su rol en tu política. Incluso si esa persona eres tú.
• Identificación de propósitos. Indica por qué estás recopilando cada dato, en el momento de la recopilación o antes.
• Consentimiento significativo. El consentimiento debe ser comprensible para tus usuarios reales. El Comisionado de Privacidad espera que los elementos clave (qué recopilas, con quién lo compartes, los propósitos y el riesgo de daño) sean destacados, no ocultos. Consentimiento expreso para información sensible; el consentimiento implícito puede funcionar para lo obvio.
• Limitación de la recopilación, uso y retención. Recopila lo que necesites; guárdalo solo el tiempo necesario; documenta un período de retención.
• Precisión y salvaguardias. Mantén los datos correctos; protégelos en proporción a su sensibilidad.
• Transparencia y acceso. Una política de privacidad clara y localizable, y una forma para que las personas vean lo que tienes y lo corrijan (generalmente dentro de los 30 días).

Notificación de brechas. Desde 2018, las brechas que impliquen un riesgo real de daño significativo deben notificarse a la Oficina del Comisionado de Privacidad y a las personas afectadas tan pronto como sea posible. Por separado, debes llevar un registro de cada brecha, sea perjudicial o no, durante 24 meses y presentarlo bajo petición. Ese registro es un pequeño archivo que la mayoría de los equipos nunca crean hasta que lo necesitan.

Reforma federal. El Proyecto de Ley C-27, que habría reemplazado a la PIPEDA con la CPPA e introducido un estatuto de IA, murió cuando el Parlamento se prorrogó en enero de 2025. La PIPEDA sigue siendo la ley federal operativa; espera que la reforma regrese, y no construyas nada basado en un proyecto de ley que no existe.

Ley 25 de Quebec: la más estricta

Se aplica a cualquier empresa que haga negocios en Quebec, independientemente de dónde esté establecida. Totalmente vigente desde septiembre de 2023, con la portabilidad de datos añadida en septiembre de 2024.

• Oficial de privacidad. Requerido por defecto; si no designas a alguien, es la persona con mayor autoridad en la organización. Su título y contacto deben ser publicados.
• Evaluaciones de impacto de la privacidad para proyectos que involucren sistemas de información o prestación de servicios electrónicos, y antes de transferir información personal fuera de Quebec.
• El consentimiento debe ser claro, libre, informado, otorgado para propósitos específicos y solicitado por separado de otros términos. Consentimiento expreso para información sensible.
• Privacidad por defecto. Cualquier tecnología que permita identificar, localizar o crear perfiles de una persona debe tener esas funciones desactivadas por defecto. En la práctica: sin perfiles automáticos, sin rastreo de ubicación activado por defecto, sin resolución de identidad entre sitios a menos que el usuario lo active.
• Decisiones automatizadas. Si una decisión sobre alguien se toma exclusivamente mediante procesamiento automatizado, debes informarle y, bajo petición, explicar la información personal utilizada, las razones y los factores principales, y dejar que presente observaciones.
• Derechos. Acceso, corrección, desindexación en algunas circunstancias y portabilidad de la información personal computarizada en un formato estructurado y de uso común.
• Incidentes. Notifica los incidentes de confidencialidad que presenten un riesgo de lesión grave a la Commission d'accès à l'information y a las personas afectadas, y mantén un registro de incidentes.
• Sanciones. Sanciones administrativas monetarias de hasta 10 millones de dólares o el 2 % de la facturación mundial; multas penales de hasta 25 millones de dólares o el 4 %. También existe un derecho de acción privado con daños estatutarios mínimos por infracciones intencionales o por negligencia grave.

CASL: la más costosa

La legislación antispam de Canadá regula los mensajes comerciales electrónicos (correo electrónico, SMS y mensajes a través de plataformas sociales) enviados a o accedidos desde una computadora canadiense.

• El consentimiento expreso utiliza opt-in. El consentimiento expreso requiere una solicitud clara que indique quién eres, por qué lo pides y cómo retirarlo; nunca una casilla premarcada, y nunca incluido en los términos de servicio.
• El consentimiento implícito es limitado y caduca: normalmente dos años a partir de una compra o contrato, seis meses a partir de una consulta, además de direcciones comerciales publicadas visiblemente utilizadas para mensajes relevantes.
• Cada mensaje debe identificar al remitente, proporcionar una dirección postal y un método de contacto funcional, e incluir un mecanismo de cancelación de suscripción que funcione durante al menos 60 días y se respete dentro de los 10 días hábiles.
• Mantén registros. Ante una queja por CASL, la carga de la prueba recae en ti para demostrar el consentimiento (cuándo, cómo y qué vio la persona). Conserva la redacción, la fuente y el momento, además de la relación relevante y la caducidad si te basas en el consentimiento implícito; ningún campo por sí solo es una defensa completa.
• CASL tiene disposiciones separadas para la instalación de software. Revisa su alcance y excepciones; no asumas que toda instalación de aplicaciones iniciada por el usuario requiere el mismo consentimiento adicional.
• Sanciones: hasta 10 millones de dólares por infracción para las organizaciones, 1 millón de dólares para los individuos, con funcionarios y directores potencialmente responsables.

Conserva las pruebas necesarias para explicar tus prácticas de mensajería; el riesgo depende de cómo se obtuvo y utilizó la lista.

Accesibilidad

No existe un único estándar nacional de accesibilidad web para empresas privadas. Lo que se aplica:

• Ley de Accesibilidad de Canadá — sectores regulados federalmente (banca, telecomunicaciones, radiodifusión, transporte interprovincial): planes de accesibilidad, procesos de retroalimentación e informes de progreso.
• Ontario (AODA) — las organizaciones privadas y sin fines de lucro con 50 o más empleados deben hacer que los sitios web y el contenido web cumplan con WCAG 2.0 Nivel AA, y presentar informes de cumplimiento periódicos.
• Manitoba, Nueva Escocia y Columbia Británica tienen legislación sobre accesibilidad en varias etapas, y otras provincias están siguiendo el ejemplo.
• La ley de derechos humanos se aplica en todas partes: un servicio inaccesible puede ser objeto de una queja por discriminación independientemente del número de empleados.

Utiliza pruebas WCAG junto con los requisitos provinciales o federales aplicables. Un resultado WCAG por sí solo no establece el cumplimiento de todos los deberes de accesibilidad.

Lengua francesa y normas de consumo

La Carta de la Lengua Francesa de Quebec exige que las publicaciones comerciales, sitios web, catálogos y contratos ofrecidos a los consumidores de Quebec estén disponibles en francés, en términos al menos tan favorables como cualquier otro idioma. Esto se aplica y es exigible a las empresas fuera de Quebec que comercializan allí.

La protección del consumidor es provincial. La Ley de Protección al Consumidor de Quebec tiene normas particularmente detalladas para los contratos a distancia: divulgación precontractual obligatoria, un contrato escrito enviado posteriormente y derechos de cancelación cuando no se cumplen las normas de divulgación. La modernizada Ley de Protección al Consumidor de 2023 de Ontario ha sido aprobada pero espera sus reglamentos para entrar en vigor; sus disposiciones sobre suscripciones (consentimiento afirmativo para renovar, cancelación en cualquier momento, sin barreras innecesarias, aviso previo de renovación) apuntan en la misma dirección que todos los demás mercados en este sitio, así que diséñala pensando en ello desde ahora.

Impuesto sobre las ventas. El registro de GST/HST es obligatorio una vez que se supera el umbral de pequeño proveedor, y las empresas digitales no residentes que venden a consumidores canadienses tienen obligaciones de registro simplificadas desde 2021. Quebec, Columbia Británica, Saskatchewan y Manitoba tienen regímenes provinciales separados. Pregunta a tu contador con anticipación.

La solicitud específica para Canadá

Ejecuta esto después de las diez solicitudes en la lista de verificación principal:

Add Canadian compliance mechanics to this app. Implement each item and report exactly what changed:

1. A privacy policy that names a privacy officer role and contact, states the purpose of each collection at or before the point it happens, gives retention periods, lists every third party that receives personal information and the countries where it is stored, and explains how to request access or correction with a 30-day response commitment.
2. Point-of-collection notices: on every form, a short line stating what the data is used for. Do not rely on the policy page alone.
3. Email consent that satisfies CASL: an unticked opt-in checkbox with wording that states who is sending, what they will send, and how to unsubscribe; a stored record of the consent timestamp, the IP or account, and the exact wording shown; sender identification and a mailing address in every message; and an unsubscribe link that works without login and takes effect immediately. Show me where the consent record is stored.
4. A breach register: an internal table recording every security incident involving personal information with its date, description, data affected, and whether it was reported. This must exist even for incidents we decide not to report.
5. Quebec Law 25 mode: any feature that identifies, locates or profiles a user — analytics identity, location, personalisation, recommendation profiling — must be OFF by default and require an affirmative action to enable. List every such feature and its current default.
6. If any decision about a user is made solely by automated processing, add a notice at the point of the decision and a way for the user to request an explanation and submit observations.
7. Data portability: an export of the user's personal information in a structured, commonly used, machine-readable format.
8. If we serve Quebec: a French version of all consumer-facing text — interface, legal pages, emails, error messages — on terms at least as favourable as English, with a language switcher. Mark any string you could not translate.
9. An accessibility pass against WCAG 2.1 Level AA — report findings by severity before fixing anything.

For each item report PASS or explain what blocked it.
Copiar prompt

Lista de verificación antes del lanzamiento: Canadá

• La política de privacidad nombra a una persona responsable y establece propósitos, retención y destinatarios.
• Avisos en el punto de recopilación en cada formulario.
• CASL: consentimiento opt-in capturado con un registro almacenado de cuándo, cómo y con qué redacción.
• La cancelación de suscripción funciona sin inicio de sesión, se respeta rápidamente y es válida por 60 días.
• Existe un registro de brechas; definida la ruta de escalada al Comisionado de Privacidad.
• Quebec: oficial de privacidad publicado, proceso de PIA para nuevos sistemas y transferencias transfronterizas, funciones de perfiles desactivadas por defecto.
• Quebec: versión en francés de todo el contenido orientado al consumidor.
• Decisiones automatizadas reveladas con una ruta de explicación.
• Exportación de datos en un formato legible por máquina.
• Accesibilidad auditada contra WCAG 2.1 AA (AODA se aplica a 50+ empleados en Ontario).

Lo que establecen las comprobaciones de construcción

Las solicitudes son requerimientos de implementación, no una certificación legal. Los controles de dos clics y los valores predeterminados de consentimiento primero son opciones de diseño prácticas, no requisitos legales universales. Confirma la jurisdicción, excepciones, retención y contratos con proveedores por separado. Verifica los controles con cuentas de prueba y el comportamiento real del navegador/red; un PASS basado solo en la inspección del código es una evidencia incompleta.

Fuentes oficiales y alcance de la revisión

Actualizado el 14 de septiembre de 2026. Las fuentes vinculadas respaldan el alcance y las correcciones discutidas aquí; esta es una revisión editorial, no una opinión legal exhaustiva ni una certificación de tu producto. Verifica la norma operativa al actuar.

• Guía de consentimiento de CRTC
• Requisitos de PIPEDA
• Cambios de la Ley 25 de Quebec

• Estado de la ley de consumo de Ontario

En Canadá, la provincia es la jurisdicción, y la lista de correo electrónico es el riesgo. Ejecuta la lista de verificación antes del lanzamiento, luego la solicitud de Canadá anterior. ¿Vendes en otros lugares? Mira Estados Unidos, la Unión Europea, el Reino Unido, Australia, Brasil e Israel. Puedes construir esto.