Службата на комисаря по поверителността на Канада (OPC) наблюдава значителен преход в канадското законодателство за поверителността. Законът за защита на личната информация и електронните документи (PIPEDA) — канадският федерален закон за поверителността на частния сектор от 2001 г. — се заменя от Закона за защита на поверителността на потребителите (CPPA) съгласно законопроект C-27, който също ще създаде нов Закон за изкуствения интелект и данните (AIDA). Този законодателен преход се извършва, докато решението за адекватност на ЕС GDPR на Канада се преразглежда през 2026 г.
Текущата среда за поверителност на Канада
PIPEDA урежда обработването на лична информация в частния сектор във федерално регулирани индустрии и в провинции без по същество подобно законодателство. Алберта, Британска Колумбия и Квебек имат свои собствени провинциални закони за частния сектор. Закон 25 на Квебек (поетапно прилагане 2022-2023 г.) е най-подобният на GDPR провинциален закон, изискващ оценки на въздействието върху поверителността и назначаване на служители по поверителността.
Принудително прилагане на OPC: OPC разследва над 400 жалби за PIPEDA през 2024 г., като обвързващите заповеди срещу Тим Хортънс (събиране на данни за местоположение без съгласие) и няколко оператора на здравни приложения са най-значимите действия за прилагане през 2024 г.
Адекватност на ЕС: Канада запазва своето решение за адекватност на ЕС GDPR — предоставено през 2001 г. съгласно първоначалната рамка за адекватност. Това означава, че личните данни от ЕС могат да се прехвърлят в Канада без допълнителни предпазни мерки (SCC, BCR). Въпреки това, Европейската комисия провежда преглед през 2026 г. и не е гарантирано, че адекватността ще оцелее след прегледа, като се има предвид променящото се законодателство в Канада за наблюдение.
Законопроект C-27: Предложената нова рамка
Законопроект C-27 напредва в парламента с три компонента:
Закон за защита на личните данни на потребителите (CPPA): Заменя PIPEDA с:
- Изисквания за ограничаване на целта и минимизиране на данните (по-близо до GDPR отколкото PIPEDA)
- Изисквания за смислено съгласие
- Значително подобрено правоприлагане — OPC вече може да налага административни санкции до 3% от глобалните приходи или 10 милиона канадски долара, което от двете е по-голямо
- Права за преносимост на данни
- Изисквания за прозрачност на автоматизираното вземане на решения
Закон за изкуствения интелект и данните (AIDA):
- Базиран на риска надзор на AI системите (AI с голямо въздействие изисква задължителна оценка)
- Изисквания за прозрачност за автоматизирани решения, засягащи физически лица
- Забрана на AI системи, предназначени да причиняват вреда
Закон за трибунала за лична информация и защита на данните: Създава нов трибунал за разглеждане на обжалванията на заповеди OPC — намалява текущия цикъл на разглеждане на жалби-разследване-Федерален съд.
Канадски национални идентификатори
SIN (Номер на социалното осигуряване): 9-цифрен номер, присвоен на всички жители на Канада за достъп до работа и социални помощи. Формат XXX-XXX-XXX, с контролна цифра с помощта на алгоритъма на Luhn. SIN е най-чувствителният канадски идентификатор — фигурира в трудови досиета, данъчни документи и записвания за обезщетения.
Провинциални номера на здравни карти: Канада има 13 провинции и територии, всяка със собствена система за номериране на здравни карти. Провинциалните здравни номера не са стандартизирани на федерално ниво:
- OHIP (Онтарио): 10-цифрен номер + 2-буквен код на версията
- AHCIP (Алберта): 9-цифрен личен здравен номер
- BC Services Card (BC): 10-цифрен PHN
- RAMQ (Квебек): 12-знаков буквено-цифров (HHH-AAAA-MMDD формат, кодиращ инициалите на фамилията, дата на раждане)
- Други провинции: различни формати
Канадски PII инструмент трябва да обработва най-малко 13 различни формата на провинциални здравни карти за цялостно съответствие с PIPEDA/CPPA.
Бизнес номер на CRA: 9-цифрен бизнес номер (BN), издаден от Канадската агенция за приходите за всички канадски фирми. Формат NNNNNNNNN.
Двуезична обработка: английски и френски
Канада е официално двуезична - английски и френски. Организации, работещи на федерално ниво или в двуезичен контекст, обработват документи и на двата езика, често в един и същ документ (напр. двуезични формуляри на федерално правителство).
Изисквания за двуезична лична информация:
- Имена: Имената на френски език включват знаци като é, è, ê, ë, à, â, î, ô, û, ç, œ. Моделите NLP, които не обработват правилно знаците с френски ударения, генерират грешки при разпознаването на обекти на френски език. – Адреси: Адресите в Квебек използват френските конвенции („Rue“, „Avenue“, „Boulevard“, „Chemin“). Моделите за парсиране на адреси трябва да обработват адресни формати на френски език.
- RAMQ номера: Форматът на здравните номера на Квебек кодира инициалите на фамилното име — идентификатор на френски език, който изисква разпознаване на френски.
Адекватността на Канада в ЕС: рискът за 2026 г
Решението за адекватност на Канада от 2001 г. е първото решение за адекватност на ЕС, издадено някога. Преживя множество прегледи. Но прегледът от 2026 г. се случва в различен контекст:
- Канадското законодателство за киберсигурност C-26 (2024 г.) изисква критична инфраструктура за докладване на кибер инциденти на Службата за сигурност на комуникациите (CSE) — канадската агенция за сигнално разузнаване. Прегледът на адекватността ще прецени дали достъпът на CSE до данни за инциденти представлява конфликт на законодателството за наблюдение със GDPR.
- Канада все още не е приложила CPPA или AIDA на законопроекта C-27, което означава, че преразглеждането се извършва съгласно PIPEDA — закон, който Комисията вече е отбелязала, че има слабости в прилагането.
Организациите, използващи канадското решение за адекватност GDPR като основа за трансфери между ЕС и Канада, трябва да наблюдават прегледа от 2026 г. Ако адекватността бъде спряна или отменена, ще се изисква незабавно прилагане на SCC или BCR.
За организации с операции в Канада: откриване на SIN с валидиране на Luhn, двуезична обработка на английски/френски PII и поне OHIP в Онтарио и Квебек RAMQ поддръжка на здравни номера на провинцията са основните изисквания за съответствие с канадските PII.
Източници:
- OPC: Служба на комисаря по поверителността
- OPC: Анализ на Бил C-27
- [Европейска комисия: Решение за адекватност на Канада] (https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/)