A política de cookies exigida no Canadá não nasce de um artigo de lei que mande publicá-la. Ela nasce de uma obrigação de compreensão: a seção 6.1 da PIPEDA diz que o consentimento só é válido se for razoável esperar que a pessoa entenda a natureza, a finalidade e as consequências do tratamento. Sem documento, não há como sustentar que ela entendeu.

Na prática isso inverte a lógica de quem está acostumado com modelo pronto. No Canadá, o documento vale pelo que ele consegue explicar, e não pelas cláusulas que consegue empilhar. Se você quer o enquadramento completo da lei antes de escrever, comece por PIPEDA Canadá e cookies.

Três peças sustentam o documento, e é útil saber qual faz o quê.

A primeira é o princípio 4.3 do Anexo 1 da PIPEDA, que exige conhecimento e consentimento do indivíduo para coletar, usar ou divulgar dado pessoal. A palavra conhecimento vem antes de consentimento no texto, e não é por acaso: sem informação, o consentimento não existe.

A segunda é o princípio 4.8, o da transparência, que exige que a organização torne prontamente disponíveis informações específicas sobre suas políticas e práticas de gestão de dado pessoal. É a base direta da publicação de um documento acessível.

A terceira é a seção 5(3), que funciona como filtro anterior ao consentimento: só se pode tratar dado pessoal para finalidades que uma pessoa razoável consideraria apropriadas nas circunstâncias. Nenhuma cláusula de política supera esse filtro.

A PIPEDA não tem dispositivo equivalente ao artigo 5(3) da Diretiva ePrivacy europeia. Não há regra federal canadense que exija consentimento prévio específico para gravar ou ler informação no dispositivo do usuário.

Muita gente lê isso e conclui que a política pode ser genérica. É o contrário. Como não existe a regra formal de clique prévio, o que sobra para provar conformidade é a qualidade da informação e do registro. O documento passa a carregar mais peso, não menos.

O detalhamento operacional dessa diferença aparece na comparação com GDPR e cookies, em que o consentimento prévio é regra explícita, e com cookies e LGPD, em que existe um rol de bases legais alternativas.

A pergunta certa não é qual cookie exige consentimento, e sim qual tratamento envolve dado pessoal. A seção 2(1) define dado pessoal como informação sobre indivíduo identificável, e essa definição alcança identificador que permita reconhecer o mesmo visitante entre sessões.

Na prática, o corte funciona assim:

• Cookie estritamente necessário ao funcionamento do serviço pedido pelo usuário, como sessão autenticada, carrinho e balanceamento de carga, opera dentro da expectativa razoável e não demanda consentimento separado
• Cookie de preferência, como idioma e região escolhidos pelo próprio usuário, também costuma ficar na expectativa razoável, desde que declarado
• Cookie de medição e analytics já sai da zona confortável, porque envolve identificador persistente e finalidade que o usuário não pediu
• Cookie de publicidade e de perfilamento é o caso claro de consentimento, e cai na policy position do OPC sobre publicidade comportamental

Repare que não estou usando a palavra isenção. A PIPEDA não tem uma lista de isenções como as leis europeias. O que existe é o conceito de expectativa razoável, que a cláusula 4.3.5 do Anexo 1 traz e que as guidelines do OPC desenvolvem.

A policy position do OPC sobre publicidade comportamental online, com emissão registrada em dezembro de 2015 e última modificação em 11 de agosto de 2025, aceita o consentimento por opt-out. Mas ela lista seis condições que precisam existir juntas:

1. O indivíduo é informado das finalidades de maneira clara e compreensível
2. Ele recebe essa informação no momento da coleta ou antes dela, com identificação das partes envolvidas
3. Ele consegue fazer opt-out facilmente, idealmente no momento da coleta ou antes
4. O opt-out produz efeito imediato e é persistente
5. A informação é limitada, na medida do praticável, a informação não sensível
6. A informação é destruída assim que possível ou efetivamente desidentificada

A condição 2 é a que amarra o documento ao banner. A informação tem que chegar antes da coleta, o que significa que a política precisa estar acessível a partir do próprio aviso, e não apenas no rodapé.

A condição 4 é a que amarra o documento à implementação técnica. Se a sua política promete que a recusa bloqueia o rastreador e a tag dispara assim mesmo, o documento deixou de ser proteção e virou prova contra você.

O mesmo documento do OPC afirma que técnicas fora do controle do usuário não devem ser permitidas neste momento, e nomeia zombie cookies, supercookies, cookies de terceiros disfarçados e fingerprinting de dispositivo. Se algum deles estiver no seu site, não adianta declarar na política: o problema é a técnica.

O OPC orienta evitar rastrear crianças conscientemente e evitar rastreamento em sites dirigidos a crianças, porque obter consentimento significativo nesse contexto é difícil. Se o seu produto tem público infantil ou adolescente, isso precisa aparecer na política como decisão declarada, e não como omissão.

Um documento que atende PIPEDA cobre, no mínimo, sete blocos. A ordem abaixo é a que funciona melhor para leitura, não uma ordem legal.

Nome da organização, endereço e canal para pedidos relacionados a privacidade. A cláusula 4.1.2 do Anexo 1 determina que a identidade da pessoa designada para supervisionar a conformidade seja informada quando solicitada, então deixar o contato acessível já resolve o pedido antes dele chegar.

Se a sua estrutura terceiriza esse papel, o raciocínio é o mesmo discutido em terceirizar o DPO: a responsabilidade não sai da organização, o que muda é quem executa.

Parece supérfluo e não é. O sétimo princípio norteador das guidelines de consentimento significativo pede considerar a perspectiva do consumidor. Uma explicação curta do que é um cookie, o que é um pixel e o que é armazenamento local sustenta o requisito de compreensão da seção 6.1.

Vale distinguir as tecnologias, porque a política precisa cobrir todas elas e não apenas o cookie clássico. A diferença entre cookie, local storage e session storage é justamente o tipo de item que o usuário não sabe e que o documento deve explicar.

Este é o coração do documento. Cada entrada precisa de nome, domínio que grava, finalidade em linguagem clara, tipo (próprio ou de terceiro), duração e, quando aplicável, o destinatário do dado.

A finalidade é o campo que mais gente preenche mal. Escrever analytics não informa nada. Escrever medir quantas pessoas chegam a cada página e de onde vieram, sem identificar o visitante para fins de publicidade, informa. As guidelines do OPC pedem linguagem significativa e evitar vagueza.

A tabela também é o teste de honestidade do projeto. Se ela foi montada a partir da lista que o time acredita ter, e não a partir de um escaneamento real do site, ela vai divergir da realidade em algumas semanas. Foi por isso que o inventário de rastreadores virou parte da plataforma e não uma planilha à parte.

O segundo dos quatro elementos-chave das guidelines de consentimento significativo é justamente identificar com quais partes a informação é compartilhada. Não basta dizer parceiros de publicidade. Nomeie.

Isso inclui a plataforma de anúncios, a ferramenta de medição, o serviço de chat, o mapa de calor e qualquer script de terceiro que o site carrega. Se você não consegue listar, você não consegue declarar, e se não consegue declarar, o consentimento não é significativo.

A cláusula 4.5.2 recomenda desenvolver diretrizes e procedimentos de retenção, incluindo períodos mínimo e máximo. A 4.5.3 recomenda destruir, apagar ou anonimizar o dado que não serve mais à finalidade identificada.

As duas usam should, o que pela seção 5(2) da PIPEDA significa recomendação e não obrigação. Mesmo assim, declarar prazo de retenção por categoria é a maneira mais barata de demonstrar accountability, e é o que o sétimo princípio norteador das guidelines cobra.

Existe uma obrigação de retenção que não é recomendação: a seção 8(8) manda reter a informação objeto de um pedido de acesso pelo tempo necessário para o titular esgotar seus recursos. Isso conversa direto com o portal do titular sob PIPEDA.

O documento precisa dizer, com verbo de ação, como a pessoa muda de ideia. Três caminhos, e os três devem estar lá:

• Reabrir o painel de preferências do próprio site, com o caminho exato
• Ajustar as configurações do navegador, sabendo que isso é mais grosseiro e afeta todos os sites
• Usar os mecanismos de opt-out setoriais, quando existirem para a finalidade

O segundo caminho merece uma explicação honesta, porque muita gente acha que apagar cookies e cache do navegador resolve o rastreamento. Resolve parcialmente e temporariamente. Dizer isso na política aumenta a credibilidade do documento inteiro.

O sexto princípio norteador das guidelines trata o consentimento como processo dinâmico e contínuo. Documento sem data e sem histórico não sustenta essa afirmação. Registre a data da versão vigente e mantenha o que mudou entre versões.

Isso importa mais do que parece quando chega uma queixa. A pergunta que o regulador faz não é o que a sua política diz hoje, e sim o que ela dizia quando aquele visitante consentiu.

Se a etapa de redigir está travando o projeto, um gerador de política resolve o primeiro rascunho em minutos e deixa você concentrar o tempo no que realmente decide, que é o inventário. Conheça a AdOpt.

Se o seu tráfego canadense passa por Quebec, e ele quase sempre passa, o padrão sobe. A Loi 25 modernizou a Loi sur la protection des renseignements personnels dans le secteur privé, a P-39.1, com vigência escalonada em 22 de setembro de 2022, 2023 e 2024.

O artigo 14 define o consentimento: manifesto, livre, esclarecido e dado para fins específicos, pedido para cada finalidade, em termos simples e claros. Para informação sensível, ele precisa ser formulado de maneira expressa.

O artigo 8.1 é o dispositivo que trata de rastreamento. Quem coleta dado usando tecnologia com funções de identificar, localizar ou perfilar a pessoa deve informar previamente o recurso a essa tecnologia e os meios oferecidos para ativar essas funções. A Commission d'accès à l'information lê esse inciso como impedimento à ativação por padrão.

Atenção a um erro que se repete em quase todo material sobre Quebec. O artigo 9.1, o da privacidade por padrão, exclui expressamente os parâmetros de confidencialidade dos témoins de connexion, ou seja, dos cookies. Fundar a regra de cookie desativado por padrão no 9.1 é citar o dispositivo que diz o contrário. O fundamento correto é a combinação do artigo 8.1 com o artigo 14.

O artigo 8.2 exige publicar no site uma política de confidencialidade redigida em termos simples e claros. Ou seja, em Quebec a publicação do documento deixa de ser boa prática e vira obrigação de texto expresso.

Você tem duas opções e uma delas é ruim. A ruim é manter dois documentos e duas experiências, uma para Quebec e outra para o resto do Canadá, com detecção por província. Isso multiplica manutenção e cria risco de servir a versão errada.

A boa é escrever um documento único no padrão mais alto, que é o de Quebec, e um aviso que já nasce com escolha real por finalidade. O custo marginal é pequeno e o risco de erro cai muito. É a mesma lógica que levou tantas operações a alinharem Brasil e Europa em um único desenho.

Um esqueleto que funciona, com o conteúdo que entra em cada parte:

1. Quem somos e como falar com a gente, com o canal de privacidade
2. O que são cookies e tecnologias semelhantes, em três parágrafos curtos
3. Por que usamos, com as finalidades agrupadas em necessários, preferências, medição e publicidade
4. Tabela completa por categoria, com nome, domínio, finalidade, duração e destinatário
5. Com quem compartilhamos, nomeando cada terceiro e o papel dele
6. Por quanto tempo guardamos, com prazo declarado por categoria
7. Como você controla, com o caminho para reabrir o painel de preferências
8. Transferência internacional, dizendo para onde o dado vai
9. Seus direitos sob a PIPEDA e, quando aplicável, sob a lei da sua província
10. Data de vigência e histórico de alterações

O item 8 costuma ser esquecido em documentos brasileiros voltados ao Canadá. Se o dado sai do país, isso precisa estar dito. Vale lembrar que as ordens de exoneração de Quebec, Alberta e Colúmbia Britânica não alcançam fluxo interprovincial e internacional, então nesses casos a PIPEDA federal continua aplicável.

O item 9. É comum ver política que promete direitos que a PIPEDA não dá. A lei federal canadense garante acesso pelo princípio 4.9 e pela seção 8, correção pela cláusula 4.9.5 e retirada de consentimento pela cláusula 4.3.8.

Não existe direito geral de apagamento e não existe direito de portabilidade na PIPEDA. Prometer isso na política cria expectativa que a sua operação não vai conseguir cumprir, e um pedido negado depois de promessa escrita é exatamente o caminho de uma queixa ao Commissioner.

Em Quebec, a portabilidade existe, pelo artigo 27 da P-39.1, em vigor desde 22 de setembro de 2024. Então a redação correta separa o que vale no âmbito federal do que vale por província.

Política de cookies envelhece mais rápido do que qualquer outro documento de privacidade, porque o site muda toda semana. Três rotinas seguram isso:

1. Escaneamento periódico do site, com comparação contra a tabela publicada
2. Revisão da política sempre que entrar um script novo, e não a cada seis meses
3. Teste com recusa, verificando se o que foi recusado realmente não dispara

A terceira rotina é a que separa conformidade real de conformidade declarada. Um banner de cookies que registra a recusa e não bloqueia o disparo entrega o pior dos mundos: você tem a prova documentada de que a pessoa disse não e o registro técnico de que o rastreador funcionou assim mesmo.

Do lado da mensuração, o desenho correto usa Consent Mode com sinais consistentes e uma categorização de tags que amarra cada tag a uma finalidade declarada no documento. É esse alinhamento que faz a política parar de ser peça jurídica e virar espelho da operação.

Quer ver a diferença entre o que a sua política declara e o que o seu site realmente carrega? Veja os planos da AdOpt.

As Guidelines for obtaining meaningful consent, publicadas pelo OPC em 24 de maio de 2018 junto com os reguladores de Alberta e da Colúmbia Britânica, passaram a ser exigidas a partir de 1º de janeiro de 2019. Elas listam quatro elementos que precisam ser destacados, e não escondidos.

O primeiro é qual informação pessoal está sendo coletada, com precisão suficiente. Na política de cookies isso vira a coluna que diz o que cada rastreador grava, e não apenas o nome do arquivo.

O segundo é com quais partes a informação é compartilhada. Vira a coluna do destinatário, com o nome real da empresa, e não a expressão parceiros selecionados.

O terceiro é para quais finalidades a informação é coletada, usada ou divulgada, em linguagem significativa. Vira a descrição de finalidade, e é onde quase todo documento falha.

O quarto é o risco de dano e as demais consequências, incluindo o risco residual depois das medidas de mitigação. Esse elemento raramente aparece em política de cookies brasileira, e é o que mais aproxima o documento do padrão canadense.

Vale um exercício de antes e depois, porque a diferença é toda no verbo.

Antes: cookie de analytics, usado para fins estatísticos. Depois: registra quais páginas você visitou e por quanto tempo, para sabermos quais conteúdos funcionam. Não usamos essa informação para exibir anúncios.

Antes: cookie de marketing, usado para personalização. Depois: identifica o seu navegador entre visitas para que os anúncios que você vê em outros sites sejam relacionados ao que você viu aqui. Você pode desligar isso a qualquer momento no painel de preferências.

A segunda versão é mais longa, e é essa a troca que o OPC pede. O sétimo princípio norteador das guidelines fala em estar pronto para demonstrar conformidade, e um texto que a pessoa entende é a base dessa demonstração.

Repare também no que a segunda versão faz: ela nomeia a consequência. É o quarto elemento-chave aplicado sem juridiquês.

Se o seu site é brasileiro e o visitante é canadense, o dado dele cruza fronteira antes mesmo de você pensar no assunto. Isso precisa estar declarado.

A PIPEDA não proíbe transferência internacional nem exige mecanismo formal do tipo cláusulas contratuais padrão. O que ela faz é manter a organização responsável pelo dado transferido, pela cláusula 4.1.3 do Anexo 1, que trata da proteção do dado transferido a terceiro para processamento.

Na prática, a política precisa dizer três coisas: que o dado é tratado fora do Canadá, quais são os países envolvidos e que a organização continua responsável por ele. Omitir isso não é economia de texto, é lacuna de transparência sob o princípio 4.8.

Vale um alerta específico para operações que usam Quebec como referência. As ordens de exoneração provincial não alcançam fluxo interprovincial e internacional. Ou seja, no momento em que o dado sai do Canadá, você está no escopo federal mesmo que o visitante seja de Montreal.

Existe um limite que vale reconhecer antes de investir tempo demais na redação. O documento prova que a informação foi disponibilizada. Ele não prova que a pessoa consentiu.

A prova do consentimento é outro artefato: o registro, com data e hora, versão do texto exibido, finalidades aceitas e recusadas, e identificador da sessão. Sem esse registro, a política sozinha não sustenta o sétimo princípio norteador das guidelines do OPC.

Isso importa porque a seção 8(5) da PIPEDA transforma silêncio em recusa quando o pedido de acesso não é respondido, e a seção 11(1) permite que qualquer indivíduo apresente queixa escrita ao Commissioner. Quando a queixa chega, a pergunta é sempre a mesma: o que essa pessoa viu, quando, e o que ela escolheu.

Três informações mínimas que o registro precisa carregar:

• A versão exata do texto do aviso exibido naquele momento
• As finalidades aceitas e as recusadas, separadamente
• A data e a hora, com o método usado para coletar a decisão

Guardar isso não é opcional em nenhuma das leis que você já cumpre, e no Canadá é o que substitui a ausência de uma regra formal de consentimento prévio. Sem regra rígida de forma, o que resta é qualidade de prova.

Um erro sutil derruba projetos maduros. A política declara cinco categorias de cookies, e o registro de consentimento grava três. A partir daí, nenhuma resposta a pedido de titular fecha, porque o que foi declarado não corresponde ao que foi guardado.

O acerto é fazer o inventário definir as categorias, o documento publicar essas mesmas categorias e o registro gravar exatamente elas. Uma fonte, três saídas. Quando isso não acontece, o time descobre na primeira queixa.

Nenhuma das duas províncias tem dispositivo específico sobre cookies equivalente ao artigo 8.1 de Quebec. O tema se resolve pelas regras gerais de consentimento das leis provinciais, o Personal Information Protection Act de Alberta, S.A. 2003, c. P-6.5, e o da Colúmbia Britânica, S.B.C. 2003, c. 63.

Isso simplifica o texto do documento, mas não simplifica a operação, por causa do regime de incidente. Alberta tem notificação obrigatória de violação pela seção 34.1 do PIPA, com notificação ao Commissioner sem atraso não razoável quando houver risco real de dano significativo.

Na Colúmbia Britânica a situação é diferente. Em relatório especial de 19 de fevereiro de 2021, o OIPC-BC afirmou que a província se tornou exceção porque o PIPA não obriga a notificar os indivíduos afetados, e recomendou criar a obrigação. Até a última verificação, essa continua sendo a regra do setor privado na província.

Um cuidado que evita erro grosseiro no documento: a notificação obrigatória que entrou em vigor na Colúmbia Britânica em 1º de fevereiro de 2023 é do FIPPA, a lei do setor público, e não do PIPA. Muito material troca as duas leis, e quem copia acaba prometendo no documento uma obrigação que não se aplica.

A conclusão prática para a redação é boa notícia. Você não precisa de seções provinciais separadas para Alberta e BC na política de cookies. Precisa apenas de uma seção de direitos que diga qual lei se aplica conforme a província de residência, e de um processo interno de incidente que conheça a diferença.

Política de cookies não é entregável de projeto, é rotina. O ciclo que funciona tem quatro momentos, e cada um tem um responsável claro.

No momento de entrada de uma ferramenta nova, alguém precisa perguntar o que ela grava e para quem manda. Essa pergunta é feita antes da instalação, e não depois do incidente.

No momento da publicação, a nova categoria entra na tabela e o painel de preferências ganha a opção correspondente. Documento e interface mudam juntos, sempre.

No momento do escaneamento periódico, a lista real do site é comparada com a tabela publicada. Toda divergência vira tarefa, e não observação.

No momento da revisão de texto, a organização confere se as finalidades ainda descrevem o que a ferramenta faz hoje. Ferramenta muda de comportamento sem avisar, e a descrição envelhece sozinha.

Quem opera esse ciclo sem plataforma acaba fazendo em planilha, e a planilha atrasa. Foi exatamente essa a origem do escâner de tags: transformar o passo mais chato do processo em algo que roda sozinho e avisa quando o site mudou.

• Copiar modelo europeu e falar em consentimento prévio obrigatório sob PIPEDA, que não existe no texto federal
• Prometer portabilidade ou apagamento no âmbito federal canadense
• Fundar a regra de cookies desativados em Quebec no artigo 9.1
• Listar categorias sem listar os cookies, deixando o leitor sem saber o que roda
• Escrever finalidade em linguagem de fornecedor, como analytics e retargeting, em vez de explicar o efeito
• Não nomear os terceiros, quando o OPC pede identificação das partes envolvidas
• Publicar sem data de vigência, o que impede provar o que valia no momento do consentimento
• Manter a tabela desatualizada em relação ao que o site carrega hoje

O penúltimo é o que mais custa em uma investigação, e o último é o mais comum. Os dois se resolvem com processo, não com redação.

Se o seu site é uma loja, o recorte de plataforma muda a implementação mais do que o texto. O caso de uma loja Shopify em conformidade mostra bem onde os scripts escapam do gerenciador de tags, e o mesmo padrão vale para política de cookies em e-commerce.

A tabela é o pedaço do documento que o regulador lê primeiro e que o usuário consulta quando desconfia. Vale desenhá-la para os dois.

A coluna de duração é a que mais revela desalinhamento entre o documento e a realidade. Um cookie declarado como de sessão que na prática expira em treze meses é uma contradição fácil de verificar por qualquer pessoa com o navegador aberto.

A coluna de categoria tem uma regra de ouro: ela precisa ser exatamente a mesma lista que o painel de preferências oferece. Se o documento fala em quatro categorias e o painel oferece três, o visitante não consegue exercer a escolha que o texto promete.

Todo site carrega alguma coisa que não é sua. O vídeo incorporado, o mapa, o widget de avaliação, o chat. Esses componentes gravam os próprios cookies e não pedem licença.

A saída não é omiti-los. É declará-los como de terceiro, nomear o fornecedor, descrever a finalidade conforme a documentação pública dele e explicar que o bloqueio depende do carregamento condicional do componente.

Na prática isso significa que o embed não carrega até a categoria correspondente ser aceita, e no lugar dele aparece um aviso curto dizendo o que falta aceitar para ver aquele conteúdo. É a única forma de fazer a promessa da política corresponder ao comportamento da página.

Sem isso, você tem o cenário que mais aparece em auditoria: o visitante recusa publicidade, a política declara que a recusa bloqueia, e o vídeo incorporado grava três cookies antes de qualquer clique.

Se a sua empresa já tem política de cookies em português para o mercado brasileiro, a distância até o padrão canadense é menor do que a de um projeto novo. Mas ela não é zero, e vale saber onde está.

O que aproveita direto: a estrutura do documento, o inventário de rastreadores, a tabela por categoria, o painel de preferências e o registro de consentimento. Nada disso precisa ser refeito.

O que precisa de ajuste: a seção de base legal, porque no Canadá não existe o rol de hipóteses do artigo 7 da LGPD e o texto não deve sugerir que existe. A seção de direitos, porque a PIPEDA não dá apagamento nem portabilidade no âmbito federal. E a seção de contato, que precisa apontar o responsável designado pela cláusula 4.1 e mencionar o Office of the Privacy Commissioner of Canada como canal de queixa.

O que precisa nascer novo: a seção provincial, separando o que vale sob a lei federal do que vale em Quebec, Alberta e Colúmbia Britânica, e a declaração de transferência internacional com os países envolvidos.

Feito assim, o mesmo documento serve os dois mercados com clareza, sem prometer no Canadá o que só existe no Brasil e sem esconder do brasileiro o que a operação já faz para o canadense.

A cláusula 4.1 do Anexo 1 diz que a organização é responsável pelo dado sob seu controle e deve designar um ou mais indivíduos responsáveis pelo cumprimento dos princípios. É obrigação, escrita com shall.

Na prática, isso significa que a política de cookies tem dono, e que o dono não é o time de marketing sozinho nem o jurídico sozinho. As responsabilidades de um encarregado de dados descrevem bem esse papel de ponte, que no Canadá existe com outro nome e a mesma função.

Um ponto que ajuda a organizar a discussão interna: a política de cookies não é a política de privacidade. Ela é um recorte técnico dentro de um documento maior. Quem quer entender a diferença de escopo encontra em o que é política de privacidade o enquadramento certo.

Vale também lembrar que documento e aviso não são a mesma coisa, e confundir os dois é a origem de metade dos projetos mal desenhados. O artigo sobre CMP não ser banner de cookies explica por que o documento é a camada de informação e a plataforma é a camada de execução.

Não existe um dispositivo que use essas palavras. O que existe é o princípio 4.8 do Anexo 1, que exige tornar prontamente disponíveis informações sobre políticas e práticas de gestão de dado pessoal, e a seção 6.1, que só considera válido o consentimento quando a pessoa entende o que está aceitando. Sem documento, nenhuma das duas exigências se sustenta. Em Quebec, o artigo 8.2 da P-39.1 torna a publicação obrigação expressa.

A PIPEDA não tem lista de isenções como a legislação europeia. O critério é a expectativa razoável da pessoa e o filtro de finalidade apropriada da seção 5(3). Cookies estritamente necessários ao funcionamento do serviço pedido, como sessão e carrinho, ficam dentro dessa expectativa. Medição e publicidade saem dela e exigem, no mínimo, o opt-out qualificado que o OPC descreve, com informação prévia e efeito imediato.

Não precisa, mas precisa cobrir Quebec. O padrão de consentimento do artigo 14 da P-39.1 é mais estrito, e o artigo 8.1 exige informação prévia sobre tecnologias de identificação, localização e perfilamento. Manter dois documentos e duas experiências multiplica manutenção e risco de servir a versão errada. O caminho mais seguro é um documento único escrito no padrão mais alto, com uma seção que separa o que é federal do que é provincial.

No âmbito federal, não. A PIPEDA garante acesso pelo princípio 4.9 e pela seção 8, correção pela cláusula 4.9.5 e retirada de consentimento pela cláusula 4.3.8, mas não traz direito geral de eliminação nem de portabilidade. Em Quebec a portabilidade existe, pelo artigo 27 da P-39.1, desde 22 de setembro de 2024. Prometer no documento o que a operação não pode cumprir é o caminho mais curto para uma queixa.

Sempre que o site mudar, e não em uma cadência fixa de calendário. A tabela precisa refletir o que o site carrega hoje, e site com marketing ativo ganha script novo em semanas. A rotina que funciona é escaneamento periódico com comparação automática contra a tabela publicada, mais revisão obrigatória em qualquer entrada de ferramenta nova. Registre a data de vigência de cada versão, porque o que importa é o texto vigente no momento do consentimento.

• PIPEDA Canadá e cookies, o guia completo da lei federal canadense
• Portal do titular PIPEDA e DSAR, com prazos e fluxo de atendimento

Se você quer sair da política genérica e ter um documento que espelha o que o seu site realmente carrega, a conversa começa pelo inventário. Agende trinta minutos com a nossa especialista.