¿Dónde viven los datos de tus asistentes? Guía canadiense
"Todos los datos de los asistentes deben alojarse en Canadá". La frase aparece constantemente en las licitaciones de eventos, normalmente escrita por alguien que cree que la ley canadiense de privacidad lo exige.
No es así. Bajo la PIPEDA, la ley federal de privacidad del sector privado, no existe ningún requisito de residencia de datos. Lo que la ley exige es responsabilidad: sigues siendo responsable de la información personal después de entregarla a un encargado del tratamiento, esté donde esté. Quebec es la verdadera excepción, y es más estricto de lo que la mayoría de los organizadores cree, pero tampoco impone la residencia.
Esto importa porque una cláusula de residencia que la ley no exige pero que se aplica igualmente reducirá tu lista de proveedores, subirá tu precio y aun así dejará sin resolver el riesgo real. Esto es lo que dice la ley, adónde van realmente los datos de los asistentes y qué conviene preguntar en su lugar.
Este artículo es orientación general para equipos de eventos y de compras, no asesoramiento jurídico. Las obligaciones de privacidad dependen de tus circunstancias concretas y de tu provincia. Consulta a un abogado especializado antes de apoyarte en cualquier requisito de un contrato o una licitación.
TL;DR
- La PIPEDA no exige que la información personal permanezca en Canadá, y no distingue entre transferencias nacionales e internacionales.
- Entregar datos a un encargado del tratamiento es una transferencia, no una comunicación, así que no requiere un nuevo consentimiento, pero sigues siendo responsable.
- La PIPEDA exige medios contractuales u otros que garanticen un nivel de protección comparable mientras un tercero trata los datos.
- La Ley 25 de Quebec es distinta: antes de que la información personal salga de Quebec hay que realizar una evaluación de impacto sobre la privacidad y firmar un acuerdo escrito.
- Pregunta por el cifrado, el control de acceso, la notificación de brechas y los subencargados. Eso aborda el riesgo; una chincheta en un mapa, normalmente no.
Qué exige realmente la PIPEDA
La Oficina del Comisionado de Privacidad de Canadá publicó directrices justo sobre esto, y el resumen es más rotundo de lo que sugiere el lenguaje de la mayoría de las licitaciones.
Una transferencia no es una comunicación
Entregar información personal a un proveedor de servicios para que la trate por cuenta tuya es una transferencia, es decir, un uso de la información y no una comunicación a una parte nueva. Al ser un uso, no requiere consentimiento aparte, siempre que la información se use para el fin para el que se recogió. Vender tu lista de asistentes a un patrocinador es una comunicación. Que tu plataforma de entradas la almacene, no.
La PIPEDA no distingue entre nacional e internacional
Las directrices de la Oficina lo dicen directamente: la PIPEDA no distingue entre transferencias nacionales e internacionales de datos. Un encargado en Ohio y uno en Ottawa reciben el mismo trato de la ley. La Oficina también ha señalado que, en los casos que revisó, las transferencias no vulneraban la PIPEDA.
La responsabilidad viaja con los datos
Lo que sí se aplica es el principio 4.1.3 del anexo 1 de la PIPEDA: una organización «deberá emplear medios contractuales u otros medios para proporcionar un nivel comparable de protección mientras la información es tratada por un tercero». Sigues siendo responsable de la información en manos de la organización a la que se la transferiste. Si tu proveedor de entradas filtra tu lista de asistentes, ese es tu problema de responsabilidad además del suyo.
Así que la pregunta jurídicamente relevante no es *dónde está el servidor*. Es *qué dice tu contrato con el encargado y si realmente puede cumplirlo*.
Qué añade la Ley 25 de Quebec
Si alguno de tus asistentes está en Quebec, el cálculo cambia. Según la *Ley sobre la protección de la información personal en el sector privado*, modificada por la Ley 25, el artículo 17 establece una barrera procedimental real.
La evaluación de impacto sobre la privacidad
Antes de comunicar información personal fuera de Quebec, una empresa debe realizar una evaluación de impacto sobre la privacidad. La norma nombra cuatro elementos que debe ponderar:
1. La sensibilidad de la información.
2. Los fines para los que se va a usar.
3. Las medidas de protección, incluidas las contractuales, que se le aplicarían.
4. El marco jurídico del Estado al que iría la información, incluidos los principios de protección de datos aplicables allí.
La información solo puede comunicarse si la evaluación establece que recibiría una protección adecuada, en particular a la luz de los principios generalmente reconocidos en materia de protección de la información personal.
El acuerdo escrito
La comunicación debe además ser objeto de un acuerdo escrito que tenga en cuenta los resultados de la evaluación y, si procede, las condiciones pactadas para mitigar los riesgos que esta identificó. Una página estándar de condiciones de servicio difícilmente basta por sí sola.
Fundamentalmente, el artículo 17 aplica la misma regla cuando una empresa encarga a una persona u organismo fuera de Quebec la tarea de recoger, usar, comunicar o conservar la información por cuenta suya. Eso es precisamente lo que supone usar una plataforma de entradas alojada en el extranjero. Un proveedor en la nube que almacene datos fuera de la provincia activa la regla.
Informar a las personas al recoger los datos
La Ley 25 también exige que, al recoger información personal, se informe a la persona de la posibilidad de que sus datos se comuniquen fuera de Quebec, en lenguaje claro y sencillo. Para un evento, eso significa tu formulario de inscripción y tu aviso de privacidad, no una cláusula enterrada.
Fíjate en lo que la Ley 25 sigue sin decir: no prohíbe la transferencia. Exige que la evalúes, la documentes, la contractualices y la declares.
Adónde van realmente los datos de un evento
La mayoría de los organizadores subestima cuántas partes tocan el registro de un asistente. Un evento con entradas reparte información personal por al menos cinco sistemas, y una cláusula de residencia dirigida solo a la plataforma de entradas se deja fuera la mayoría.
- La plataforma de entradas: nombres, correos, teléfonos, respuestas de inscripción, historial de pedidos.
- El procesador de pagos: datos de titular de tarjeta y de facturación, bajo su propio acuerdo contigo.
- El envío de correo y SMS: cada dirección y cada número al que escribes.
- Analítica y píxeles publicitarios: datos de comportamiento, con frecuencia enviados a servidores con los que nunca contrataste directamente.
- Herramientas in situ: lectores, impresión de acreditaciones, captación de contactos para expositores.
El procesamiento de pagos es el ejemplo más claro de por qué las cláusulas de residencia suelen fallar. Si tu plataforma enruta los pagos por tu propia cuenta de Stripe o Square, los datos de titular de tarjeta van a ese procesador bajo el acuerdo que firmaste *tú*, no el de tu proveedor de entradas. Normalmente eso te conviene, porque tienes la relación y el dinero llega directamente a tu banco. Pero significa que la pregunta «dónde se alojan los datos de los asistentes» tiene al menos dos respuestas, y probablemente cinco.
Qué preguntar en su lugar a un proveedor de entradas
Preguntas que sacan a la luz el riesgo real, más o menos por orden de lo que te revelan:
- ¿Quiénes son vuestros subencargados y dónde están? Un proveedor alojado en Canadá que envía correo a través de un servicio estadounidense hace salir datos del país igualmente. Pide la lista.
- ¿Qué está cifrado, en reposo y en tránsito? El «cifrado en reposo» es una afirmación concreta sobre los datos almacenados, y es un requisito habitual que los proveedores responden con vaguedad.
- ¿Quién de vuestro personal puede acceder a los registros de asistentes y queda registrado? El control de acceso y un rastro de auditoría importan más en el día a día que la geografía.
- ¿Cuál es vuestro compromiso de notificación de brechas, en horas? Tanto la PIPEDA como la Ley 25 imponen obligaciones de brecha *a ti*. Si el proveedor te avisa tarde, llegas tarde.
- ¿Podemos exportarlo todo y qué pasa al terminar el contrato? Datos que no puedes sacar son un riesgo que ninguna cláusula de residencia arregla.
- ¿Firmaréis un acuerdo de tratamiento de datos? Exigido en sustancia para las transferencias desde Quebec, y buena práctica en todas partes.
- Si trabajáis con Quebec: ¿apoyaréis nuestra evaluación? Necesitas detalles sobre sus medidas de protección y el marco jurídico donde residen los datos. Un proveedor que no sepa responder hace imposible tu evaluación.
Cómo redactar un requisito que funcione
Si eres tú quien redacta la licitación en lugar de responderla:
- Separa lo obligatorio de lo deseable. Una exigencia firme de residencia canadiense es una decisión de política legítima, pero que sea deliberada y no una línea copiada. Excluirá a proveedores capaces.
- Pide la lista de subencargados como entregable, no como respuesta de sí o no.
- Especifica en horas el plazo de notificación de brechas y hazlo contractual.
- Exige un acuerdo de tratamiento firmado en lugar de la aceptación de condiciones estándar.
- Para Quebec, pregunta qué aportarán para vuestra evaluación y puntúa la respuesta.
Nuestra perspectiva
Nuestra opinión sincera es que la residencia se ha convertido en un sustituto. Es fácil de escribir, fácil de comprobar y da sensación de protección, y por eso se extendió por las plantillas de licitación más rápido que la ley que supuestamente aplica. Mientras tanto, las preguntas que habrían detectado la mayoría de los incidentes reales —quién puede acceder al registro, está cifrado en reposo, con qué rapidez nos avisaréis, quién más lo toca— no se hacen o reciben una respuesta de una palabra que nadie puntúa.
Preferiríamos que nos hicieran las preguntas difíciles. Un proveedor capaz de nombrar a sus subencargados y comprometerse por escrito a un plazo de notificación es demostrablemente más seguro que uno que solo puede señalar un mapa, y la diferencia se nota cuando algo sale mal, no durante la contratación.
Dónde encaja Eventist
Sobre lo que podemos afirmar con claridad: los pagos pasan por tu propia cuenta de Stripe o Square, así que los datos de titular de tarjeta van al procesador bajo el acuerdo que firmaste tú, y los fondos llegan a tu banco en lugar de quedarse en el saldo de una plataforma. El nombre, el correo, las respuestas y el historial de pedidos de cada asistente pertenecen a tu organización y son exportables en cualquier momento, incluso después de que termine tu evento. El acceso a los registros del evento se delimita por rol de personal en lugar de por credenciales compartidas, y los titulares de la cuenta pueden consultar un registro de auditoría de las acciones privilegiadas.
Si estás completando una evaluación de impacto sobre la privacidad para Quebec o respondiendo a un cuestionario de contratación, pídenos los datos concretos que necesites —subencargados, cifrado, conservación y notificación— y los pondremos por escrito en lugar de remitirte a una página de condiciones. La página de la plataforma de eventos cubre las funciones generales y la página de precios muestra la tarifa plana por entrada.
Preguntas frecuentes
¿Exige la ley canadiense que los datos de los asistentes se almacenen en Canadá?
No. La PIPEDA, la ley federal de privacidad del sector privado, no contiene ningún requisito de residencia de datos y no distingue entre transferencias nacionales e internacionales de información personal para su tratamiento. Lo que exige es que la organización que transfiere siga siendo responsable y emplee medios contractuales u otros para proporcionar un nivel comparable de protección mientras un tercero la trata. Algunas organizaciones adoptan una política de residencia canadiense por decisión propia, y las normas del sector público difieren en ciertas provincias, pero es una decisión de política y no un requisito legal general.
¿Cuál es la diferencia entre transferencia y comunicación según la PIPEDA?
Una transferencia es entregar información personal a un proveedor de servicios para que la trate por cuenta tuya, algo que la PIPEDA considera un uso de la información y no una comunicación a una parte nueva. Al ser un uso, no requiere un nuevo consentimiento mientras la información siga empleándose para el fin para el que se recogió. Una comunicación entrega la información a alguien para sus propios fines, como compartir una lista de asistentes con un patrocinador, y eso sí requiere consentimiento.
¿Qué exige la Ley 25 de Quebec antes de que los datos salgan de la provincia?
El artículo 17 de la *Ley sobre la protección de la información personal en el sector privado* exige una evaluación de impacto sobre la privacidad antes de comunicar información personal fuera de Quebec. La evaluación debe ponderar la sensibilidad de la información, los fines para los que se usará, las medidas de protección incluidas las contractuales, y el marco jurídico del Estado de destino. La información solo puede comunicarse si la evaluación concluye que recibiría una protección adecuada, y la comunicación debe estar cubierta por un acuerdo escrito que refleje la evaluación. Lo mismo se aplica cuando una empresa encarga a un organismo fuera de Quebec conservar la información por cuenta suya.
¿Necesitamos una evaluación de impacto para una plataforma de entradas?
Si eres una empresa que opera en Quebec y la plataforma va a conservar información personal fuera de la provincia, sí. La Ley 25 también exige una evaluación para cualquier proyecto de adquisición, desarrollo o renovación de un sistema de información que implique recoger, usar, comunicar, conservar o destruir información personal, así que adoptar una nueva plataforma de entradas puede activarla con independencia de dónde estén los datos. Pide pronto al proveedor los detalles que necesitarás, porque una evaluación no puede completarse sin ellos.
¿Qué deberíamos preguntar a un proveedor de entradas sobre protección de datos?
Pide la lista de subencargados con sus ubicaciones, qué está cifrado en reposo y en tránsito, quién de su personal puede acceder a los registros de asistentes y si ese acceso queda registrado, su compromiso de notificación de brechas expresado en horas, si puedes exportarlo todo y qué ocurre al terminar el contrato, y si firmarán un acuerdo de tratamiento de datos. Eso aborda los riesgos que de verdad se materializan. Dónde está el servidor es un dato más, no la respuesta por sí solo.
¿Cambia algo usar nuestra propia cuenta de Stripe o Square?
Sí, y de forma útil. Cuando los pagos pasan por tu propia cuenta de procesador, los datos de titular de tarjeta van a ese procesador bajo el acuerdo que firmaste directamente con él, y los fondos llegan a tu banco en lugar de pasar por el saldo de una plataforma. Significa que tu análisis de privacidad debe cubrir también al procesador además de la plataforma de entradas, pero tú tienes esa relación y puedes leer sus condiciones tú mismo en vez de heredar lo que negoció tu proveedor.
Fuentes
- Directrices para el tratamiento transfronterizo de datos personales, Oficina del Comisionado de Privacidad de Canadá
- Ley sobre la protección de la información personal en el sector privado, P-39.1, Quebec
- The Quebec Privacy Regulator's Guide on Law 25-compliant Privacy Impact Assessments, McCarthy Tétrault
- Ley 25: desmitificando las evaluaciones de impacto sobre la privacidad, Norton Rose Fulbright
Lecturas recomendadas
Etiquetas
¿Listo para simplificar tus eventos?
Únete a cientos de organizadores, estudios y directores de festivales que confían en Eventist para gestionar sus eventos.
