Kanada privaatsusseadus muutub. Privaatsusvolituse büroo (OPC) jõustab täna PIPEDA-t. Seaduseelnou C-27 asendaks PIPEDA tugevamate reeglitega. Kanada EL andmeedastuse leping on ka 2026. aastal uuendamisel. Siin on, mida pead teadma.
Kanada kehtiv privaatsusseadus
PIPEDA on Kanada peamine erasektori privaatsusseadus. See on kehtinud alates 2001. aastast. See katab föderaalselt reguleeritud tööstusharude ettevõtteid. See kehtib ka provintsides, millel ei ole oma privaatsusseadust.
Kolmel provitsil on oma seadused: Alberta, Briti Columbia ja Quebec.
Quebeci seadus 25 on kõige rangem. See jõustus etappide kaupa 2022. ja 2023. aastal. See nõuab privaatsusmõju hindamist ja nimetatud privaatsusametnikku. See on palju lähedasem EL GDPRile kui vana PIPEDA.
OPC käsitles 2024. aastal üle 400 PIPEDA kaebuse. See tegi Tim Hortonsi vastu siduvaid korraldusi asukohaandmete kogumise eest ilma nõusolekuta. Mitmed tervishoiurakenduste operaatorid said sel aastal samuti korraldusi.
Seaduseelnou C-27: kolm uut seadust
Seaduseelnou C-27 on parlamendis menetlemisel. Sellel on kolm osa.
Tarbijate privaatsuskaitse seadus (CPPA) asendab PIPEDA. Peamised muutused:
- Eesmärgipiirangud ja andmete vähendamise reeglid.
- Tugevamad nõusoleku reeglid.
- Trahvid kuni 3% ülemaailmsest müügist või 10 miljonit Kanada dollarit - kumb on suurem.
- Andmete kaasaskantavuse õigused.
- Automatiseeritud otsuste avalikustamise reeglid.
Tehisintellekti ja andmeseadus (AIDA) lisab tehisintellekti reeglid:
- Riskipohised reeglid tehisintellekti süsteemidele.
- Nõutavad riskiülevaatused suure mõjuga tehisintellekti jaoks.
- Avalikustamise reeglid inimesi mõjutava tehisintellekti jaoks.
- Keeld tehisintellektile, mis on loodud kahju tekitamiseks.
Isikuandmete ja andmekaitse tribunali seadus loob uue apellatsiooniorgani. See asendab praeguse föderaalse kohtu protsessi.
Vaata, kuidas Kanada võrdleb teiste privaatsusseadustega meie globaalses privaatsusvastavuse juhendis.
Kanada isikuandmed: mida tuvastada
Kanada failid sisaldavad unikaalseid ID-tüüpe. Sinu tööriist peab kõik need käsitlema.
SIN (sotsiaalkindlustusnumber): Üheksa numbrit. Vorming: XXX-XXX-XXX. Kasutab Luhni kontrolli. SIN esineb maksuankeetides, palgakirjetes ja hüvitisfailides. See on kõige tundlikum Kanada ID.
Provintsiaalsed tervisekaardi numbrid: Kanadal on 13 provintsi ja territooriumi. Igaüks kasutab erinevat vormingut. Föderaalset standardit ei ole. Peamised vormingud:
- Ontario OHIP: 10 numbrit pluss 2-tähtne kood.
- Alberta AHCIP: 9-kohaline isiklik tervise number.
- BC teenuste kaart: 10-kohaline PHN.
- Quebec RAMQ: 12 märki - kodeerib perekonnanime initsiaalid ja sünnikuupäeva.
Vastav tööriist peab toetama kõiki 13 vormingut.
CRA ärinumber: Üheksa numbrit. Kanada tuluagentuuri poolt väljastatud.
Kahekeelne isikuandmete tuvastamine: inglise ja prantsuse keel
Kanada on ametlikult kakskeelne. Föderaalsed vormid seovad sageli mõlemad keeled ühele lehele.
Prantsuse isikuandmetel on oma vajadused:
- Nimed: Prantsuse nimed kasutavad täpitähti. Tööriist, mis jätab täpitähed märkamata, jätab üksused tuvastamata.
- Aadressid: Quebec aadressid kasutavad prantsuse termineid - Rue, Avenue, Boulevard, Chemin. Parsijad peavad nendega toime tulema.
- RAMQ-numbrid: Quebec'i tervise number kodeerib perekonnanime initsiaalid. Tuvastamine peab olema prantsuse keelt toetav.
Võrdleva vaate saamiseks vaata, kuidas India DPDPA käsitleb mitmekeelseid isikuandmeid.
2026. aasta EL-i piisavuse risk
Kanada EL-i piisavusotsus on aastast 2001. See oli esimene, mille Euroopa komisjon kunagi andis. See on läbinud kõik seni toimunud ülevaatused.
- aasta ülevaatus on teistsugune. Kaks küsimust on silmapaistev.
Esiteks: Kanada C-26 küberturvalisuse seadus (2024) nõuab kriitilise tähtsusega firmadelt intsidentide teatamist CSE-le. CSE on Kanada signaalluure asutus. Komisjon kontrollib, kas CSE juurdepääs neile andmetele on vastuolus GDPRiga.
Teiseks: Kanada töötab endiselt PIPEDA alusel. Komisjon on märkinud PIPEDA jõustamist nõrgana. CPPA ei ole veel jõus.
Kui piisavus peatatakse või tühistatakse, peavad kõik EL-Kanada andmeedastused kohe üle minema standardlepingutingimustele või siduvate ettevõtte reeglitele.
Alusta planeerimist nüüd. Otsust ootama jäämine on liiga hilja.
Konteksti saamiseks, kuidas piisavuse risk on ettevõtteid mõjutanud, vaata meie GDPRi trahvide juhendit.
Minimaalsed vastabusnouded
Kanada toimingutega organisatsioonide jaoks on tehniline alus:
- SIN-i tuvastamine Luhni kontrolliga.
- Kahekeelne inglise ja prantsuse isikuandmete töötlemine.
- Ontario OHIP tervisekaardi tuvastamine.
- Quebec RAMQ tervisekaardi tuvastamine.
- Kaikki 13 provintsi vorming CPPA valmisolekuks.