Das Büro des Datenschutzbeauftragten von Kanada (OPC) überwacht einen bedeutenden Übergang im kanadischen Datenschutzrecht. Das Gesetz über den Schutz persönlicher Informationen und elektronische Dokumente (PIPEDA) — Kanadas Bundesgesetz zum Datenschutz im privaten Sektor seit 2001 — wird durch das Gesetz über den Schutz der Privatsphäre von Verbrauchern (CPPA) unter Gesetz C-27 ersetzt, das auch ein neues Gesetz über künstliche Intelligenz und Daten (AIDA) schaffen würde. Dieser gesetzgeberische Übergang erfolgt, während die Angemessenheitsentscheidung der EU-DSGVO für Kanada 2026 überprüft wird.
Der aktuelle Datenschutzrahmen in Kanada
PIPEDA regelt die Verarbeitung persönlicher Informationen im privaten Sektor in bundesrechtlich regulierten Branchen und in Provinzen ohne wesentlich ähnliche Gesetzgebung. Alberta, British Columbia und Québec haben ihre eigenen provinziellen Datenschutzgesetze. Das Gesetz 25 von Québec (stufenweise Umsetzung 2022-2023) ist das am stärksten der DSGVO ähnliche Provinzgesetz und erfordert Datenschutz-Folgenabschätzungen und die Ernennung von Datenschutzbeauftragten.
Durchsetzung durch das OPC: Das OPC untersuchte 2024 über 400 PIPEDA-Beschwerden, wobei bindende Anordnungen gegen Tim Hortons (Standortdatenverarbeitung ohne Zustimmung) und mehrere Betreiber von Gesundheitsanwendungen die bedeutendsten Durchsetzungsmaßnahmen 2024 waren.
EU-Angemessenheit: Kanada behält seine Angemessenheitsentscheidung der EU-DSGVO — die 2001 im Rahmen des ursprünglichen Angemessenheitsrahmens erteilt wurde. Das bedeutet, dass personenbezogene Daten der EU ohne zusätzliche Schutzmaßnahmen (SCCs, BCRs) nach Kanada übertragen werden können. Die Europäische Kommission führt jedoch 2026 eine Überprüfung durch, und die Angemessenheit ist angesichts des sich entwickelnden Überwachungsrechts in Kanada nicht garantiert.
Gesetz C-27: Der vorgeschlagene neue Rahmen
Gesetz C-27 schreitet mit drei Komponenten durch das Parlament:
Gesetz über den Schutz der Privatsphäre von Verbrauchern (CPPA): Ersetzt PIPEDA durch:
- Anforderungen an Zweckbindung und Datenminimierung (näher an der DSGVO als PIPEDA)
- Anforderungen an die informierte Zustimmung
- Deutlich verbesserte Durchsetzung — das OPC kann jetzt Verwaltungsstrafen von bis zu 3 % des weltweiten Umsatzes oder 10 Millionen CAD, je nachdem, was höher ist, verhängen
- Rechte auf Datenportabilität
- Anforderungen an die Transparenz automatisierter Entscheidungsfindung
Gesetz über künstliche Intelligenz und Daten (AIDA):
- Risiko-basierte Aufsicht über KI-Systeme (hochwirksame KI erfordert eine obligatorische Bewertung)
- Transparenzanforderungen für automatisierte Entscheidungen, die Einzelpersonen betreffen
- Verbot von KI-Systemen, die darauf ausgelegt sind, Schaden zu verursachen
Gesetz über das Tribunal für den Schutz persönlicher Informationen und Daten: Schafft ein neues Tribunal zur Anhörung von Berufungen gegen OPC-Anordnungen — wodurch der aktuelle Zyklus von Beschwerde-Untersuchung-Bundesgerichtsüberprüfung verkürzt wird.
Kanadische nationale Identifikatoren
SIN (Sozialversicherungsnummer): 9-stellige Nummer, die allen kanadischen Einwohnern für den Zugang zu Beschäftigung und sozialen Leistungen zugewiesen wird. Format XXX-XXX-XXX, mit einer Prüfziffer, die den Luhn-Algorithmus verwendet. SIN ist der sensibelste kanadische Identifikator — erscheint in Beschäftigungsunterlagen, Steuerdokumenten und Leistungsanmeldungen.
Provinzgesundheitskartennummern: Kanada hat 13 Provinzen und Territorien, jede mit ihrem eigenen System zur Nummerierung von Gesundheitskarten. Provinzgesundheitsnummern sind auf Bundesebene nicht standardisiert:
- OHIP (Ontario): 10-stellige Nummer + 2-Buchstaben-Versioncode
- AHCIP (Alberta): 9-stellige persönliche Gesundheitsnummer
- BC Services Card (BC): 10-stellige PHN
- RAMQ (Québec): 12-stellig alphanumerisch (HHH-AAAA-MMDD Format kodiert Nachnameninitialen, Geburtsdatum)
- Andere Provinzen: verschiedene Formate
Ein kanadisches PII-Tool muss mindestens 13 verschiedene Formate von Provinzgesundheitskarten für die umfassende Einhaltung von PIPEDA/CPPA verarbeiten.
CRA-Geschäftsnummer: 9-stellige Geschäftsnummer (BN), die von der Canada Revenue Agency für alle kanadischen Unternehmen ausgestellt wird. Format NNNNNNNNN.
Zweisprachige Verarbeitung: Englisch und Französisch
Kanada ist offiziell zweisprachig — Englisch und Französisch. Organisationen, die bundesweit oder in zweisprachigen Kontexten tätig sind, verarbeiten Dokumente in beiden Sprachen, oft im selben Dokument (z. B. zweisprachige Formulare der Bundesregierung).
Zweisprachige PII-Anforderungen:
- Namen: Französischsprachige Namen enthalten Zeichen wie é, è, ê, ë, à, â, î, ô, û, ç, œ. NLP-Modelle, die französische Akzentzeichen nicht korrekt verarbeiten, erzeugen Fehler bei der Erkennung französischsprachiger Entitäten.
- Adressen: Québec-Adressen verwenden französische Konventionen ("Rue," "Avenue," "Boulevard," "Chemin"). Adressparsing-Modelle müssen französische Adressformate verarbeiten.
- RAMQ-Nummern: Das Format der Gesundheitsnummer von Québec kodiert Nachnameninitialen — ein französischsprachiger Identifikator, der eine französischbewusste Erkennung erfordert.
Kanadas EU-Angemessenheit: Das Risiko 2026
Die Angemessenheitsentscheidung Kanadas von 2001 war die erste jemals erteilte Angemessenheitsentscheidung der EU. Sie hat mehrere Überprüfungen überstanden. Aber die Überprüfung 2026 erfolgt in einem anderen Kontext:
- Kanadas C-26-Gesetzgebung zur Cybersicherheit (2024) verlangt von kritischer Infrastruktur, Cybervorfälle an die Communications Security Establishment (CSE) — Kanadas Signals Intelligence-Agentur — zu melden. Die Angemessenheitsüberprüfung wird bewerten, ob der Zugang der CSE zu Vorfalldaten einen Konflikt mit dem Überwachungsrecht der DSGVO darstellt.
- Kanada hat das CPPA oder AIDA von Gesetz C-27 noch nicht umgesetzt, was bedeutet, dass die Überprüfung unter PIPEDA erfolgt — ein Gesetz, das die Kommission zuvor als durchsetzungs schwach bezeichnet hat.
Organisationen, die die Angemessenheitsentscheidung Kanadas der DSGVO als Grundlage für EU-Kanada-Übertragungen verwenden, sollten die Überprüfung 2026 überwachen. Wenn die Angemessenheit ausgesetzt oder widerrufen wird, wäre eine sofortige Umsetzung von SCCs oder BCRs erforderlich.
Für Organisationen mit kanadischen Betrieben: SIN-Erkennung mit Luhn-Validierung, zweisprachige englisch/französische PII-Verarbeitung und Unterstützung für mindestens Ontario OHIP und Québec RAMQ Provinzgesundheitsnummern sind die grundlegenden Anforderungen an die kanadische PII-Konformität.
Quellen: