Québec Gesetz 25 — Verarbeitungsverzeichnis, Register der Datenschutzvorfälle und benannter Verantwortlicher (Community)

Das Verzeichnis der Verarbeitungstätigkeiten

Ein Blatt je Tätigkeit – Lohnabrechnung, Newsletter, Kundenakten, Videoüberwachung des Lagers. Sechs Rubriken, die den sechs Fragen entsprechen, die einem gestellt werden: warum (der Zweck), was (die Kategorien personenbezogener Daten), über wen (die Kategorien betroffener Personen), für wen (die Empfänger, intern und extern), wie lange (die Aufbewahrungsdauer und was sie rechtfertigt) und auf welcher Grundlage (die Rechtsgrundlage).

Die Rechtsgrundlage ist ein freies Feld, und das ist Absicht. Die am 14. September 2026 abgerufene Quelle veröffentlicht keine abgeschlossene Liste der im Privatsektor von Québec zulässigen Grundlagen. Eine Dropdown-Liste liefe darauf hinaus, eine Taxonomie zu erfinden und sie als Gesetz auszugeben.

Das Register der Datenschutzvorfälle

Alle Vorfälle werden dort festgehalten, auch jene, die kein Risiko eines ernsthaften Schadens darstellen. Das ist der Punkt, den Tabellen verfehlen: Man notiert nur, was Aufsehen erregt hat, und das Register beweist am Ende das Gegenteil dessen, was man zeigen wollte.

Die von der Quelle geforderten sieben Bestandteile sind einzeln da: die betroffenen Informationen oder der Grund der Unmöglichkeit, sie zu beschreiben, die Umstände, das Datum oder der Zeitraum des Vorfalls, das Datum oder der Zeitraum der Kenntnisnahme, die Zahl der betroffenen Personen oder ihre Schätzung, die Elemente, die auf ein Risiko eines ernsthaften Schadens oder sein Fehlen schließen lassen, schließlich die Daten der Mitteilungen und die ergriffenen Maßnahmen.

Das Datum der Kenntnisnahme ist ein eigenes Feld, und das Modul verweigert, dass es dem Vorfall vorausgeht. Das ist keine Spielerei: Die Aufbewahrung des Registers wird ab ihm gezählt, und es setzt die Meldepflichten in Lauf.

Die benannte verantwortliche Person

Ohne schriftliche Delegation fällt die Funktion standardmäßig an die Person mit der höchsten Autorität: Es gibt nie „niemanden“. Die Delegation erfolgt schriftlich, ganz oder teilweise, und das Modul verweigert eine Delegation, deren Schriftstück weder beigefügt noch beschrieben ist. Titel und Kontaktdaten werden auf der Website des Unternehmens veröffentlicht oder, mangels Website, auf jedem anderen geeigneten Weg.

Und die Kommission muss über diese Benennung nicht informiert werden. Das steht auf dem Bildschirm, weil viele es glauben und Zeit mit der Suche nach einem Verfahren verlieren, das es nicht gibt.

Das Journal wird nicht umgeschrieben

Eintragung einer Verarbeitung, Änderung eines Zwecks, Erfassung eines Vorfalls, Risikobewertung, übermittelte Mitteilung, ergriffene Maßnahmen: Jede Handlung hinterlässt eine datierte und unterzeichnete Zeile. Eine Aufzeichnungsregel verweigert Änderung und Löschung für alle, den Verantwortlichen eingeschlossen.

Ein Vorfallregister, das sich nachträglich korrigieren lässt – eine Kenntnisnahme rückdatieren, einen unbequem gewordenen Vorfall löschen –, beweist gegenüber der Commission d'accès à l'information nichts. Es beweist sogar das Gegenteil: dass man es tun konnte.

Das Modul stellt fest, es schließt nicht

Es sagt, dass ein Vorfall noch nicht Gegenstand einer erfassten Mitteilung war. Es sagt weder, dass das Schadensrisiko ernst ist, noch dass das Unternehmen im Verzug ist. Diese beiden Beurteilungen sind keine Berechnungen: Sie werden gemeinsam mit einem Berater vorgenommen und vom Benutzer erfasst, datiert und unterzeichnet.

Kein gesetzlicher Wert steht im Code

Die Fristen, Dauern und Sanktionsbeträge werden als datierte Datensätze mit der URL ihrer Primärquelle und dem Datum ihrer Abfrage ausgeliefert. Sie werden über den Bildschirm korrigiert, ohne Code-Auslieferung.

Die Frist für die Mitteilung an die Kommission wird als „Wert nicht gefunden“ markiert ausgeliefert, mit ihrem ausgeschriebenen Vorbehalt: Die Quelle sagt „unverzüglich“ und beziffert nichts. Das Modul beziffert daher nichts und berechnet für diese Mitteilung keine Frist. Eine falsche Bestätigung ist schlimmer als das Fehlen: Sie lässt die Wachsamkeit erlöschen.

Was dieses Modul nicht leistet

Keine Bewertung der Faktoren zum Schutz der Privatsphäre, keine Erzeugung von Bekanntmachungen, keine Verfolgung von Auskunftsanträgen mit Frist, keine Aufbewahrungswarnung, keine Einreichung bei der Commission. Diese Funktionen sind in dyo_loi25_qc, der Vollversion, zusammengefasst.

Auch gesucht unter: Loi 25 Odoo, Law 25 Quebec Odoo, Register der Vertraulichkeitsvorfälle, Verzeichnis der Verarbeitungstätigkeiten Quebec, Beauftragter für den Schutz personenbezogener Daten, CAI Quebec, Gesetz für die Privatwirtschaft.