Canadas privatlivslov er under forandring. Office of the Privacy Commissioner (OPC) håndhæver PIPEDA i dag. Bill C-27 ville erstatte PIPEDA med stærkere regler. Canadas EU-dataoverførselsaftale er også til gennemgang i 2026. Her er, hvad du skal vide.
Canadas Nuværende Privatlivslov
PIPEDA er Canadas primære privatlivslov for den private sektor. Den har været i kraft siden 2001. Den dækker virksomheder i føderalt regulerede brancher. Den gælder også i provinser uden egne privatlivslove.
Tre provinser har egne love: Alberta, British Columbia og Quebec.
Quebecs Lov 25 er den strengeste. Den trådte i kraft i faser i 2022 og 2023. Den kræver privatlivskonsekvensanalyser og en navngivet privatlivsansvarlig. Den er langt tættere på EUs GDPR end den gamle PIPEDA.
OPC behandlede over 400 PIPEDA-klager i 2024. Det udstedte bindende ordrer mod Tim Hortons for indsamling af lokationsdata uden samtykke. Adskillige sundhedsapp-operatører modtog også ordrer det år.
Bill C-27: Tre Nye Love
Bill C-27 er på vej gennem Parlamentet. Det har tre dele.
Consumer Privacy Protection Act (CPPA) erstatter PIPEDA. Vigtige ændringer:
- Formålsbegrænsninger og datareduktionsregler.
- Stærkere samtykkeregler.
- Bøder op til 3% af global omsætning eller CAD $10M — det største af de to.
- Dataportabilitetsrettigheder.
- Oplysningsregler for automatiserede beslutninger.
Artificial Intelligence and Data Act (AIDA) tilføjer AI-regler:
- Risikobaserede regler for AI-systemer.
- Påkrævede risikovurderinger for højpåvirkning-AI.
- Oplysningsregler for AI, der påvirker mennesker.
- Forbud mod AI bygget til at forårsage skade.
Personal Information and Data Protection Tribunal Act opretter et nyt klagenævn. Dette erstatter den nuværende Federal Court-proces.
Se, hvordan Canada sammenlignes med andre privatlivslove i vores globale privatlivscompliance-guide.
Canadisk PII: Hvad Der Skal Detekteres
Canadiske filer indeholder unikke ID-typer. Dit værktøj skal håndtere dem alle.
SIN (Social Insurance Number): Ni cifre. Format: XXX-XXX-XXX. Det bruger Luhn-tjekket. SIN optræder i skatteformularer, lønjournaler og ydelesfiler. Det er det mest følsomme canadiske ID.
Provinsielle sundhedskort-numre: Canada har 13 provinser og territorier. Hver bruger et andet format. Der er ingen føderal standard. Vigtige formater:
- Ontario OHIP: 10 cifre plus en 2-bogstavskode.
- Alberta AHCIP: 9-cifret Personal Health Number.
- BC Services Card: 10-cifret PHN.
- Quebec RAMQ: 12 tegn — indkoder efternavn-initialer og fødselsdato.
Et kompatibelt værktøj skal understøtte alle 13 formater.
CRA Business Number: Ni cifre. Udstedt af Canada Revenue Agency.
Tosproget PII: Engelsk og Fransk
Canada er officielt tosproglig. Føderale formularer blander ofte begge sprog på én side.
Fransk PII har egne behov:
- Navne: Franske navne bruger accenterede bogstaver. Et værktøj, der overser accenter, vil overse enheder.
- Adresser: Quebec-adresser bruger franske termer — Rue, Avenue, Boulevard, Chemin. Parser-software skal håndtere disse.
- RAMQ-numre: Quebecs sundhedsnummer indkoder efternavn-initialer. Detektion skal være franskbevidst.
For et sammenligningsperspektiv, se, hvordan Indiens DPDPA håndterer flersproget PII.
EU-Tilstrækkelighedsrisikoen i 2026
Canadas EU-tilstrækkelighedsafgørelse er fra 2001. Det var den allerførste, Europa-Kommissionen udstedte. Den har bestået alle hidtidige gennemgange.
2026-gennemgangen er anderledes. To spørgsmål skiller sig ud.
For det første: Canadas C-26 cybersikkerhedslov (2024) kræver, at kritiske firmaer rapporterer hændelser til CSE. CSE er Canadas efterretningsagentur for signaler. Kommissionen vil undersøge, om CSEs adgang til disse data er i konflikt med GDPR.
For det andet: Canada kører stadig under PIPEDA. Kommissionen har påpeget PIPEDAs håndhævelse som svag. CPPA er endnu ikke i kraft.
Hvis tilstrækkelighed suspenderes eller tilbagekaldes, skal alle EU-Canada-overførsler øjeblikkelig skifte til Standardkontraktklausuler eller Bindende Virksomhedsregler.
Begynd at planlægge nu. At vente på afgørelsen er for sent.
For kontekst om, hvordan tilstrækkelighedsrisiko har påvirket virksomheder, se vores GDPR-bødeguide.
Minimumskrav til Compliance
For organisationer med canadiske operationer er det tekniske minimum:
- SIN-detektion med Luhn-tjek.
- To-sproget engelsk og fransk PII-behandling.
- Ontario OHIP sundhedskort-detektion.
- Quebec RAMQ sundhedskort-detektion.
- Alle 13 provinsielle formater for fuld CPPA-beredskab.