OPC Kanada: PIPEDA na Wetsontwerp C-27
Kanada se privaatheidswet verander. Die Office of the Privacy Commissioner (OPC) handhaaf PIPEDA vandag. Wetsontwerp C-27 sou PIPEDA met sterker reels vervang. Kanada se EU-data-oordragooreenkoms word ook in 2026 hersien. Dit is wat u moet weet.
Kanada se Huidige Privaatheidswet
PIPEDA is Kanada se vernaamste privaatsektorprivaatheidswet. Dit is sedert 2001 van krag. Dit dek maatskappye in federaal gereguleerde nywerhede. Dit geld ook in provinsies sonder hul eie privaatheidswet.
Drie provinsies het hul eie wette: Alberta, Brits-Kolumbie en Quebec.
Quebec se Wet 25 is die strengste. Dit het in fases in 2022 en 2023 in werking getree. Dit vereis privaatheidsimpakhersiening en 'n benoemde privatheidsbeampte. Dit is baie nader aan die EU se GDPR as ou PIPEDA was.
Die OPC het meer as 400 PIPEDA-klagtes in 2024 hanteer. Dit het bindende bevele teen Tim Hortons uitgereik vir die insameling van liggingdata sonder toestemming. Verskeie gesondheidsapp-operateurs het ook daardie jaar bevele ontvang.
Wetsontwerp C-27: Drie Nuwe Wette
Wetsontwerp C-27 beweeg deur die Parlement. Dit het drie dele.
Consumer Privacy Protection Act (CPPA) vervang PIPEDA. Sleutelwysigings:
- Doelgrense en datareduksiereels.
- Sterker toestemmingsreels.
- Boetes tot 3% van globale verkope of CAD $10M -- watter ook al meer is.
- Datadraagbaarheidsregte.
- Openbaarmakingsreels vir outomatiese besluite.
Artificial Intelligence and Data Act (AIDA) voeg KI-reels by:
- Risikogebaseerde reels vir KI-stelsels.
- Verpligte risikohersiening vir hoimpak-KI.
- Openbaarmakingsreels vir KI wat mense raak.
- 'n Verbod op KI gebou om skade te veroorsaak.
Personal Information and Data Protection Tribunal Act skep 'n nuwe appelihaam. Dit vervang die huidige Federale Hofproses.
Sien hoe Kanada met ander privaatheidswette vergelyk in ons globale privaatheidsnakomingsgids.
Kanadese PII: Wat om te Bespeur
Kanadese leers bevat unieke ID-tipes. U instrument moet almal hanteer.
SIN (Social Insurance Number): Nege syfers. Formaat: XXX-XXX-XXX. Dit gebruik die Luhn-kontrole. SIN verskyn in belastingvorms, betalingsrekords en voordele-leers. Dit is die mees sensitiewe Kanadese ID.
Provinsiale gesondheidskaarnommers: Kanada het 13 provinsies en gebiede. Elkeen gebruik 'n ander formaat. Daar is geen federale standaard nie. Sleutelformate:
- Ontario OHIP: 10 syfers plus 'n 2-letter kode.
- Alberta AHCIP: 9-syfer Persoonlike Gesondheidsnoommer.
- BC Services Card: 10-syfer PHN.
- Quebec RAMQ: 12 karakters -- enkodeer vanaagnaaminitiale en geboortedatum.
'n Voldoende instrument moet alle 13 formate ondersteun.
CRA Besigheidsnommer: Nege syfers. Uitgereik deur die Canada Revenue Agency.
Tweetalige PII: Engels en Frans
Kanada is amptelik tweetalig. Federale vorms meng dikwels beide tale op een bladsy.
Franse PII het sy eie behoeftes:
- Name: Franse name gebruik beklemtoonde letters. 'n Instrument wat aksente mis, sal entiteite mis.
- Adresse: Quebec-adresse gebruik Franse terme -- Rue, Avenue, Boulevard, Chemin. Parsers moet hierdie hanteer.
- RAMQ-nommers: Quebec se gesondheidsnoommer enkodeer vanaagnaaminitiale. Deteksie moet Frans-bewus wees.
Vir 'n eweknie-siening, sien hoe Indie se DPDPA veeltalige PII hanteer.
Die 2026 EU-Geskiktheidsrisiko
Kanada se EU-geskikheidsbesluit is van 2001. Dit was die eerste een wat die Europese Kommissie ooit toegestaan het. Dit het elke hersiening tot dusver deurstaan.
Die 2026-hersiening is anders. Twee kwessies staan uit.
Eerstens: Kanada se C-26 kubersekuriteitswet (2024) vereis dat kritieke firmas insidente aan CSE rapporteer. CSE is Kanada se seine-intelligensie-agentskap. Die Kommissie sal nagaan of CSE se toegang tot hierdie data met GDPR bots.
Tweedens: Kanada funksioneer steeds onder PIPEDA. Die Kommissie het PIPEDA se handhawing as swak aangemerk. CPPA is nog nie van krag nie.
As geskiktheid opgeskort of herroep word, moet alle EU-Kanada-oordragte dadelik na SCCs of BCRs skakel.
Begint nou te beplan. Om vir die besluit te wag is te laat.
Vir konteks oor hoe geskiktheidsrisiko maatskappye geraak het, sien ons GDPR-boetegids.
Minimum Nakomingsvereistes
Vir organisasies met Kanadese bedrywighede is die tegniese basislyn:
- SIN-deteksie met Luhn-kontrole.
- Tweetalige Engels en Frans PII-verwerking.
- Ontario OHIP-gesondheidskaartdeteksie.
- Quebec RAMQ-gesondheidskaartdeteksie.
- Alle 13 provinsiale formate vir volledige CPPA-gereedheid.