Kanadský zákon o ochraně soukromí se mění. Úřad komisaře pro ochranu soukromí (OPC) dnes prosazuje PIPEDA. Návrh zákona C-27 by PIPEDA nahradil přísnějšími pravidly. Kanadská dohoda o přenosu dat s EU je také předmětem přezkumu v roce 2026. Zde je to, co potřebujete vědět.
Současný kanadský zákon o ochraně soukromí
PIPEDA je hlavním kanadským zákonem o ochraně soukromí v soukromém sektoru. Platí od roku 2001. Pokrývá firmy ve federálně regulovaných odvětvích. Vztahuje se také na provincie, které nemají vlastní zákon o ochraně soukromí.
Tři provincie mají vlastní zákony: Alberta, Britská Kolumbie a Québec.
Zákon 25 Québecu je nejpřísnější. Vstoupil v platnost v etapách v letech 2022 a 2023. Vyžaduje přezkumy dopadu na soukromí a jmenovaného pověřence pro ochranu soukromí. Je mnohem blíže evropskému GDPR než původní PIPEDA.
OPC řešil v roce 2024 přes 400 stížností dle PIPEDA. Vydal závazná nařízení proti Tim Hortons za shromažďování polohy bez souhlasu. Nařízení obdrželo v tomtéž roce i několik provozovatelů zdravotních aplikací.
Návrh zákona C-27: tři nové zákony
Návrh zákona C-27 prochází Parlamentem. Má tři části.
Zákon o ochraně soukromí spotřebitelů (CPPA) nahrazuje PIPEDA. Klíčové změny:
- Pravidla omezení účelu a minimalizace dat.
- Přísnější pravidla souhlasu.
- Pokuty až 3 % z globálních tržeb nebo 10 milionů CAD — podle toho, co je vyšší.
- Právo na přenositelnost dat.
- Pravidla zveřejňování pro automatizovaná rozhodnutí.
Zákon o umělé inteligenci a datech (AIDA) přidává pravidla pro AI:
- Pravidla založená na riziku pro systémy AI.
- Povinné přezkumy rizik pro AI s vysokým dopadem.
- Pravidla zveřejňování pro AI ovlivňující osoby.
- Zákaz AI vytvořené za účelem způsobení škody.
Zákon o tribunálu pro ochranu osobních informací a dat zřizuje nový odvolací orgán. Nahrazuje stávající řízení před federálním soudem.
Podívejte se, jak Kanada stojí ve srovnání s ostatními zákony o ochraně soukromí, v našem průvodci globálním soulad s ochranou soukromí.
Kanadské PII: co detekovat
Kanadské soubory obsahují jedinečné typy identifikátorů. Váš nástroj je musí všechny zvládnout.
SIN (Číslo sociálního pojištění): Devět číslic. Formát: XXX-XXX-XXX. Používá Luhnův algoritmus. SIN se vyskytuje v daňových formulářích, mzdových záznamech a dávkových souborech. Je to nejcitlivější kanadský identifikátor.
Čísla provinčních zdravotních karet: Kanada má 13 provincií a teritorií. Každá používá jiný formát. Neexistuje federální standard. Klíčové formáty:
- Ontario OHIP: 10 číslic plus 2písmenný kód.
- Alberta AHCIP: 9místné osobní zdravotní číslo.
- BC Services Card: 10místné PHN.
- Quebec RAMQ: 12 znaků — kóduje iniciály příjmení a datum narození.
Vyhovující nástroj musí podporovat všech 13 formátů.
Obchodní číslo CRA: Devět číslic. Vydává kanadská daňová správa.
Dvojjazyčné PII: angličtina a francouzština
Kanada je oficiálně dvojjazyčná. Federální formuláře často míchají oba jazyky na jedné stránce.
Francouzské PII má vlastní požadavky:
- Jména: Francouzská jména používají písmena s diakritickými znaménky. Nástroj, který diakritiku přehlíží, přehlédne entity.
- Adresy: Québecké adresy používají francouzské termíny — Rue, Avenue, Boulevard, Chemin. Analyzátory musí tato označení zvládnout.
- Čísla RAMQ: Québecké zdravotní číslo kóduje iniciály příjmení. Detekce musí být frankofonní.
Pro srovnání se podívejte, jak indický DPDPA zpracovává vícejazyčné PII.
Riziko přiměřenosti EU v roce 2026
Kanadské rozhodnutí EU o přiměřenosti pochází z roku 2001. Bylo vůbec první, které Evropská komise udělila. Prošlo všemi dosavadními přezkumy.
Přezkum v roce 2026 je jiný. Vystupují zde dva problémy.
Za prvé: Kanadský zákon o kybernetické bezpečnosti C-26 (2024) vyžaduje, aby kritické firmy hlásily incidenty agentuře CSE. CSE je kanadská zpravodajská agentura pro signály. Komise prověří, zda přístup CSE k těmto datům není v rozporu s GDPR.
Za druhé: Kanada stále funguje podle PIPEDA. Komise označila vymáhání PIPEDA za slabé. CPPA zatím není v platnosti.
Pokud by byla přiměřenost pozastavena nebo odvolána, všechny přenosy EU–Kanada by musely okamžitě přejít na standardní smluvní doložky nebo závazná podniková pravidla.
Začněte plánovat nyní. Čekat na rozhodnutí je příliš pozdě.
Pro kontext o tom, jak riziko přiměřenosti poškodilo firmy, viz náš průvodce pokutami GDPR.
Minimální požadavky na soulad
Pro organizace s kanadskými operacemi je technický základ:
- Detekce SIN s Luhnovým algoritmem.
- Dvojjazyčné zpracování PII v angličtině a francouzštině.
- Detekce zdravotní karty Ontario OHIP.
- Detekce zdravotní karty Quebec RAMQ.
- Všech 13 provinčních formátů pro plnou připravenost na CPPA.