La Oficina del Comisionado de Privacidad de Canadá (OPC) está supervisando una transición significativa en la ley de privacidad canadiense. La Ley de Protección de Información Personal y Documentos Electrónicos (PIPEDA) — la ley federal de privacidad del sector privado de Canadá desde 2001 — está siendo reemplazada por la Ley de Protección de la Privacidad del Consumidor (CPPA) bajo la Ley C-27, que también crearía una nueva Ley de Inteligencia Artificial y Protección de Datos (AIDA). Esta transición legislativa ocurre mientras la decisión de adecuación del GDPR de la UE de Canadá está bajo revisión en 2026.
El Actual Panorama de la Privacidad en Canadá
PIPEDA rige el procesamiento de información personal en el sector privado en industrias reguladas a nivel federal y en provincias sin legislación sustancialmente similar. Alberta, Columbia Británica y Quebec tienen sus propias leyes provinciales del sector privado. La Ley 25 de Quebec (implementación por fases 2022-2023) es la ley provincial más similar al GDPR, requiriendo evaluaciones de impacto sobre la privacidad y nombramientos de oficiales de privacidad.
Aplicación de la OPC: La OPC investigó más de 400 quejas de PIPEDA en 2024, con órdenes vinculantes contra Tim Hortons (recolección de datos de ubicación sin consentimiento) y varios operadores de aplicaciones de salud siendo las acciones de aplicación más significativas de 2024.
Adecuación de la UE: Canadá mantiene su decisión de adecuación del GDPR de la UE — concedida en 2001 bajo el marco de adecuación original. Esto significa que los datos personales de la UE pueden transferirse a Canadá sin salvaguardias adicionales (SCCs, BCRs). Sin embargo, la Comisión Europea está realizando una revisión en 2026, y la adecuación no está garantizada para sobrevivir a la revisión dada la evolución del paisaje de la ley de vigilancia en Canadá.
Ley C-27: El Nuevo Marco Propuesto
La Ley C-27 está avanzando a través del Parlamento con tres componentes:
Ley de Protección de la Privacidad del Consumidor (CPPA): Reemplaza a PIPEDA con:
- Requisitos de limitación de propósito y minimización de datos (más cerca del GDPR que PIPEDA)
- Requisitos de consentimiento significativo
- Aplicación significativamente mejorada — la OPC ahora puede imponer sanciones administrativas de hasta el 3% de los ingresos globales o CAD $10M, lo que sea mayor
- Derechos de portabilidad de datos
- Requisitos de transparencia en la toma de decisiones automatizadas
Ley de Inteligencia Artificial y Protección de Datos (AIDA):
- Supervisión basada en riesgos de sistemas de IA (IA de alto impacto requiere evaluación obligatoria)
- Requisitos de transparencia para decisiones automatizadas que afectan a individuos
- Prohibición de sistemas de IA diseñados para causar daño
Ley del Tribunal de Protección de Información Personal y Datos: Crea un nuevo tribunal para escuchar apelaciones de órdenes de la OPC — reduciendo el ciclo actual de quejas-investigación-revisión del Tribunal Federal.
Identificadores Nacionales Canadienses
SIN (Número de Seguro Social): Número de 9 dígitos asignado a todos los residentes canadienses para el acceso al empleo y beneficios sociales. Formato XXX-XXX-XXX, con un dígito de verificación utilizando el algoritmo de Luhn. El SIN es el identificador canadiense más sensible — aparece en registros de empleo, documentos fiscales y inscripción en beneficios.
Números de tarjetas de salud provinciales: Canadá tiene 13 provincias y territorios, cada uno con su propio sistema de numeración de tarjetas de salud. Los números de salud provinciales no están estandarizados a nivel federal:
- OHIP (Ontario): número de 10 dígitos + código de versión de 2 letras
- AHCIP (Alberta): Número de Salud Personal de 9 dígitos
- Tarjeta de Servicios de BC (BC): PHN de 10 dígitos
- RAMQ (Quebec): formato alfanumérico de 12 caracteres (formato HHH-AAAA-MMDD codificando iniciales del apellido, fecha de nacimiento)
- Otras provincias: varios formatos
Una herramienta canadiense de PII debe manejar al menos 13 formatos distintos de tarjetas de salud provinciales para cumplir con PIPEDA/CPPA de manera integral.
Número de negocio de la CRA: Número de Negocio de 9 dígitos (BN) emitido por la Agencia de Ingresos de Canadá para todos los negocios canadienses. Formato NNNNNNNNN.
Procesamiento Bilingüe: Inglés y Francés
Canadá es oficialmente bilingüe — inglés y francés. Las organizaciones que operan a nivel federal o en contextos bilingües procesan documentos en ambos idiomas, a menudo en el mismo documento (por ejemplo, formularios gubernamentales federales bilingües).
Requisitos bilingües de PII:
- Nombres: los nombres en francés incluyen caracteres como é, è, ê, ë, à, â, î, ô, û, ç, œ. Los modelos de NLP que no manejan correctamente los caracteres acentuados en francés generan errores en el reconocimiento de entidades en francés.
- Direcciones: las direcciones de Quebec utilizan convenciones en francés ("Rue," "Avenue," "Boulevard," "Chemin"). Los modelos de análisis de direcciones deben manejar formatos de direcciones en francés.
- Números de RAMQ: el formato del número de salud de Quebec codifica las iniciales del apellido — un identificador en francés que requiere detección consciente del francés.
La Adecuación de Canadá a la UE: El Riesgo de 2026
La decisión de adecuación de Canadá de 2001 fue la primera decisión de adecuación de la UE jamás concedida. Ha sobrevivido a múltiples revisiones. Pero la revisión de 2026 ocurre en un contexto diferente:
- La legislación de ciberseguridad C-26 de Canadá (2024) requiere que la infraestructura crítica informe incidentes cibernéticos al Establecimiento de Seguridad de las Comunicaciones (CSE) — la agencia de inteligencia de señales de Canadá. La revisión de adecuación evaluará si el acceso del CSE a los datos de incidentes constituye un conflicto de ley de vigilancia con el GDPR.
- Canadá aún no ha implementado el CPPA o AIDA de la Ley C-27, lo que significa que la revisión ocurre bajo PIPEDA — una ley que la Comisión ha señalado anteriormente tiene debilidades de aplicación.
Las organizaciones que utilizan la decisión de adecuación del GDPR de Canadá como base para las transferencias entre la UE y Canadá deben monitorear la revisión de 2026. Si la adecuación es suspendida o revocada, se requeriría la implementación inmediata de SCCs o BCRs.
Para organizaciones con operaciones canadienses: detección del SIN con validación de Luhn, procesamiento bilingüe de PII en inglés/francés, y al menos soporte para los números de salud provinciales OHIP de Ontario y RAMQ de Quebec son los requisitos básicos de cumplimiento de PII en Canadá.
Fuentes: