Kanadas Datenschutzrecht ist im Wandel. Der Office of the Privacy Commissioner (OPC) durchsetzt heute PIPEDA. Bill C-27 würde PIPEDA durch strengere Regeln ersetzen. Kanadas EU-Datentransfervereinbarung steht 2026 ebenfalls zur Überprüfung. Das müssen Sie wissen.
Kanadas aktuelles Datenschutzrecht
PIPEDA ist Kanadas wichtigstes Datenschutzgesetz für den privaten Sektor. Es gilt seit 2001. Es deckt Unternehmen in bundesweit regulierten Branchen ab. Es gilt auch in Provinzen ohne eigenes Datenschutzgesetz.
Drei Provinzen haben eigene Gesetze: Alberta, British Columbia und Quebec.
Quebecs Law 25 ist das strengste. Es trat 2022 und 2023 in Phasen in Kraft. Es schreibt Datenschutz-Folgenabschätzungen und einen benannten Datenschutzbeauftragten vor. Es ist dem EU-DSGVO viel ähnlicher als das alte PIPEDA.
Der OPC bearbeitete 2024 über 400 PIPEDA-Beschwerden. Er erließ verbindliche Anordnungen gegen Tim Hortons wegen Standortdatenerhebung ohne Einwilligung. Mehrere Gesundheits-App-Betreiber erhielten ebenfalls Anordnungen in diesem Jahr.
Bill C-27: Drei neue Gesetze
Bill C-27 durchläuft das Parlament. Es hat drei Teile.
Consumer Privacy Protection Act (CPPA) ersetzt PIPEDA. Wichtige Änderungen:
- Zweckbindung und Datensparsamkeitsregeln.
- Stärkere Einwilligungsregeln.
- Bußgelder bis zu 3 % des weltweiten Umsatzes oder CAD $10 Mio. — je nachdem, was höher ist.
- Datenportabilitätsrechte.
- Offenlegungsregeln für automatisierte Entscheidungen.
Artificial Intelligence and Data Act (AIDA) fügt KI-Regeln hinzu:
- Risikobasierte Regeln für KI-Systeme.
- Vorgeschriebene Risikobewertungen für KI mit hoher Wirkung.
- Offenlegungsregeln für KI, die Menschen betrifft.
- Ein Verbot für KI, die Schaden anrichten soll.
Personal Information and Data Protection Tribunal Act schafft eine neue Berufungsinstanz. Dies ersetzt das aktuelle Bundesgerichtsverfahren.
Sehen Sie, wie Kanada im Vergleich zu anderen Datenschutzgesetzen abschneidet, in unserem globalen Datenschutz-Compliance-Leitfaden.
Kanadische PII: Was zu erkennen ist
Kanadische Dokumente enthalten einzigartige ID-Typen. Ihr Tool muss alle davon verarbeiten.
SIN (Social Insurance Number): Neun Ziffern. Format: XXX-XXX-XXX. Es verwendet die Luhn-Prüfung. SIN erscheint in Steuerformularen, Gehaltsunterlagen und Leistungsakten. Es ist die sensibelste kanadische ID.
Provinzielle Krankenversicherungsnummern: Kanada hat 13 Provinzen und Territorien. Jede verwendet ein anderes Format. Es gibt keinen bundesweiten Standard. Wichtige Formate:
- Ontario OHIP: 10 Ziffern plus ein 2-Buchstaben-Code.
- Alberta AHCIP: 9-stellige Personal Health Number.
- BC Services Card: 10-stellige PHN.
- Quebec RAMQ: 12 Zeichen — codiert Nachnamen-Initialen und Geburtsdatum.
Ein konformes Tool muss alle 13 Formate unterstützen.
CRA-Geschäftsnummer: Neun Ziffern. Ausgegeben von der Canada Revenue Agency.
Zweisprachige PII: Englisch und Französisch
Kanada ist offiziell zweisprachig. Bundesformulare mischen oft beide Sprachen auf einer Seite.
Französische PII hat eigene Anforderungen:
- Namen: Französische Namen verwenden Akzentbuchstaben. Ein Tool, das Akzente übersieht, wird Entitäten verpassen.
- Adressen: Quebec-Adressen verwenden französische Begriffe — Rue, Avenue, Boulevard, Chemin. Parser müssen diese verarbeiten können.
- RAMQ-Nummern: Quebecs Gesundheitsnummer kodiert Nachnamen-Initialen. Die Erkennung muss französischbewusst sein.
Zum Vergleich: Sehen Sie, wie Indiens DPDPA mehrsprachige PII verarbeitet.
Das EU-Angemessenheitsrisiko 2026
Kanadas EU-Angemessenheitsbeschluss stammt aus dem Jahr 2001. Es war der allererste, den die Europäische Kommission erteilt hat. Er hat bisher jede Überprüfung bestanden.
Die Überprüfung 2026 ist anders. Zwei Punkte stechen hervor.
Erstens: Kanadas C-26-Cybersicherheitsgesetz (2024) verpflichtet kritische Unternehmen, Vorfälle an CSE zu melden. CSE ist Kanadas Nachrichtendienstbehörde. Die Kommission wird prüfen, ob der CSE-Zugang zu diesen Daten mit der DSGVO kollidiert.
Zweitens: Kanada läuft noch unter PIPEDA. Die Kommission hat die Durchsetzung von PIPEDA als schwach eingestuft. CPPA ist noch nicht in Kraft.
Wenn die Angemessenheit ausgesetzt oder widerrufen wird, müssen alle EU-Kanada-Transfers sofort auf SCCs oder BCRs umstellen.
Beginnen Sie jetzt mit der Planung. Auf die Entscheidung zu warten ist zu spät.
Zum Kontext, wie das Angemessenheitsrisiko Unternehmen getroffen hat, lesen Sie unseren DSGVO-Bußgeldleitfaden.
Mindestanforderungen für die Compliance
Für Organisationen mit kanadischen Aktivitäten ist die technische Basis:
- SIN-Erkennung mit Luhn-Prüfung.
- Zweisprachige englische und französische PII-Verarbeitung.
- Ontario OHIP-Krankenversicherungskartenerkennung.
- Quebec RAMQ-Krankenversicherungskartenerkennung.
- Alle 13 Provinzformate für vollständige CPPA-Konformität.