Die Wahl von Software mit kanadischer Datenresidenz unter Gesetz 25 und PIPEDA

Bei der Datenresidenz geht es darum, wo Informationen physisch gespeichert sind. Ein Anbieter mit kanadischer Datenresidenz speichert und verarbeitet Ihre Daten in kanadischen Rechenzentren, anstatt sie über eine Infrastruktur im Ausland umzuleiten.

Weder das Bundesrecht noch das Recht von Quebec schreiben privaten Organisationen eine pauschale Lokalisierung vor. PIPEDA erlaubt die Übermittlung personenbezogener Daten an Dritte zur Verarbeitung, aber die Organisation, die die Daten erhoben hat, bleibt für diese Daten verantwortlich und muss vertragliche oder andere Mittel nutzen, um ein vergleichbares Schutzniveau zu gewährleisten. Das Gesetz 25 von Quebec geht noch weiter: Bevor personenbezogene Daten außerhalb von Quebec übermittelt werden, muss eine Organisation prüfen, ob die Daten einen angemessenen Schutz erhalten, wobei die rechtlichen Rahmenbedingungen des Bestimmungsortes zu berücksichtigen sind.

Das praktische Ergebnis ist, dass die Datenresidenz an sich selten zwingend vorgeschrieben ist. Die Speicherung von Daten in Kanada entbindet jedoch von einer gesamten Bewertungs- und Offenlegungspflicht. Für viele Kunden, öffentliche Stellen und Anwaltskanzleien ist sie schlichtweg zu einer Beschaffungsanforderung geworden.

Fragen, die man jedem Anbieter stellen sollte:

• Wo befinden sich die primären Rechenzentren und die Backup-Rechenzentren?

• Werden Daten jemals außerhalb von Kanada verarbeitet, zwischengespeichert oder supportet?

• Welche Unterauftragsverarbeiter kommen mit den Daten in Berührung und wo befinden sie sich?

• Sind die Daten im Ruhezustand und bei der Übertragung verschlüsselt, und wer besitzt die Schlüssel?

• Was passiert mit den Daten, wenn der Vertrag endet?

Die Antworten sind wichtiger als die Marketingversprechen. „Kanadisches Unternehmen“ und „kanadisches Hosting“ sind nicht dasselbe, und der Support-Zugriff aus einer anderen Gerichtsbarkeit ist das Detail, das am häufigsten übersehen wird.

Empfohlene Lektüre: PIPEDA, das Gesetz 25 von Quebec und die Frage der Datenresidenz, die sich jedes kanadische Unternehmen in Bezug auf KI stellt.

Claira ist eine kanadische KI-Plattform zur Dokumentenprüfung, und Fragen zur Datenresidenz wie diese kommen in den meisten unserer Gespräche zur Sprache. Sie können sich ansehen, wie es funktioniert.