Kanadan tietosuojakomission (OPC) tehtävänä on valvoa merkittävää siirtymää kanadalaisessa tietosuojalainsäädännössä. Henkilötietojen suojaa ja sähköisiä asiakirjoja koskeva laki (PIPEDA) — Kanadan liittovaltion yksityissektorin tietosuojalaki vuodesta 2001 — korvataan kuluttajatietosuojalain (CPPA) myötä lain C-27 puitteissa, joka luo myös uuden tekoäly- ja tietolain (AIDA). Tämä lainsäädännöllinen siirtymä tapahtuu, kun Kanadan EU:n GDPR-adequacy-päätös on tarkastelussa vuonna 2026.
Kanadan nykyinen tietosuojan maisema
PIPEDA säätelee yksityissektorin henkilötietojen käsittelyä liittovaltion säätelemillä aloilla ja maakunnissa, joissa ei ole olennaisesti samankaltaista lainsäädäntöä. Albertassa, Brittiläisessä Kolumbiassa ja Quebecissä on omat maakunnalliset yksityissektorin lakinsa. Québecin laki 25 (2022-2023 vaiheittainen toteutus) on eniten GDPR:n kaltaista maakuntalainsäädäntöä, joka vaatii tietosuojavaikutusten arviointeja ja tietosuojavastaavien nimittämistä.
OPC:n valvonta: OPC tutki yli 400 PIPEDA-valitusta vuonna 2024, ja sitovat määräykset Tim Hortonsia (sijaintitietojen kerääminen ilman suostumusta) ja useita terveyssovellusten toimijoita olivat merkittävimmät valvontatoimet vuonna 2024.
EU:n adequacy: Kanada säilyttää EU:n GDPR-adequacy-päätöksensä — myönnetty vuonna 2001 alkuperäisen adequacy-kehyksen alaisena. Tämä tarkoittaa, että EU:n henkilötietoja voidaan siirtää Kanadaan ilman lisäsuojatoimia (SCC:t, BCR:t). Euroopan komissio kuitenkin suorittaa tarkastelun vuonna 2026, ja adequacy ei ole taattu selviytymään tarkastelusta, kun otetaan huomioon Kanadan kehittyvä valvontalainsäädäntö.
Laki C-27: Ehdotettu uusi kehys
Laki C-27 etenee parlamentissa kolmen osan myötä:
Kuluttajatietosuojalaki (CPPA): Korvataan PIPEDA:
- Tarkoitusrajoitus ja tietojen minimointivaatimukset (lähempänä GDPR:ää kuin PIPEDA)
- Merkitykselliset suostumusvaatimukset
- Merkittävästi parannettu valvonta — OPC voi nyt määrätä hallinnollisia seuraamuksia jopa 3 % maailmanlaajuisista tuloista tai CAD $10M, kumpi on suurempi
- Tietojen siirrettävyys oikeudet
- Automaattisen päätöksenteon läpinäkyvyysvaatimukset
Tekoäly- ja tietolaki (AIDA):
- Riskiperusteinen valvonta tekoälyjärjestelmille (korkean vaikutuksen tekoäly vaatii pakollisen arvioinnin)
- Läpinäkyvyysvaatimukset automaattisille päätöksille, jotka vaikuttavat yksilöihin
- Kielto tekoälyjärjestelmille, jotka on suunniteltu aiheuttamaan vahinkoa
Henkilötietojen ja tietosuojan tuomioistuinlaki: Luodaan uusi tuomioistuin OPC:n määräysten valituksia varten — vähentäen nykyistä valitus-tutkinta-liittovaltion tuomioistuimen tarkastelusyklia.
Kanadan kansalliset tunnisteet
SIN (sosiaaliturvatunnus): 9-numeroinen numero, joka on myönnetty kaikille Kanadan asukkaille työllistymisen ja sosiaalisten etuuksien saannin vuoksi. Muoto XXX-XXX-XXX, tarkistusnumero Luhn-algoritmilla. SIN on herkin kanadalainen tunniste — esiintyy työsuhteiden asiakirjoissa, verodokumenteissa ja etuusrekisteröinnissä.
Maakunnalliset terveydenhuoltokorttinumerot: Kanadassa on 13 maakuntaa ja aluetta, joilla on omat terveydenhuoltokorttien numerointijärjestelmänsä. Maakunnallisia terveydenhuoltokorttinumeroita ei ole standardoitu liittovaltion tasolla:
- OHIP (Ontario): 10-numeroinen numero + 2-kirjaiminen versio
- AHCIP (Alberta): 9-numeroinen henkilökohtainen terveysnumero
- BC Services Card (BC): 10-numeroinen PHN
- RAMQ (Québec): 12-merkkinen alfanumeerinen (HHH-AAAA-MMDD muoto, joka koodaa sukunimen alkukirjaimet ja syntymäpäivän)
- Muut maakunnat: erilaiset muodot
Kanadalaisen PII-työkalun on käsiteltävä vähintään 13 erilaista maakunnallista terveydenhuoltokorttimuotoa kattavan PIPEDA/CPPA-yhteensopivuuden varmistamiseksi.
CRA:n liiketoimintanumero: 9-numeroinen liiketoimintanumero (BN), jonka Kanadan verohallinto myöntää kaikille kanadalaisille yrityksille. Muoto NNNNNNNNN.
Kaksikielinen käsittely: englanti ja ranska
Kanada on virallisesti kaksikielinen — englanti ja ranska. Liittovaltion tasolla tai kaksikielisissä konteksteissa toimivat organisaatiot käsittelevät asiakirjoja molemmilla kielillä, usein samassa asiakirjassa (esim. kaksikieliset liittovaltion hallituksen lomakkeet).
Kaksikieliset PII-vaatimukset:
- Nimet: ranskankieliset nimet sisältävät merkkejä kuten é, è, ê, ë, à, â, î, ô, û, ç, œ. NLP-mallit, jotka eivät käsittele ranskan aksenttimerkkejä oikein, tuottavat virheitä ranskankielisessä entiteettitunnistuksessa.
- Osoitteet: Québecin osoitteet käyttävät ranskalaisia käytäntöjä ("Rue," "Avenue," "Boulevard," "Chemin"). Osoitteiden jäsentelymallien on käsiteltävä ranskankielisiä osoitemuotoja.
- RAMQ-numerot: Québecin terveysnumeron muoto koodaa sukunimen alkukirjaimet — ranskankielinen tunniste, joka vaatii ranskankielistä tunnistusta.
Kanadan EU-adequacy: Vuoden 2026 riski
Kanadan vuoden 2001 adequacy-päätös oli ensimmäinen EU:n adequacy-päätös, joka koskaan myönnettiin. Se on selviytynyt useista tarkasteluista. Mutta vuoden 2026 tarkastelu tapahtuu eri kontekstissa:
- Kanadan C-26 kyberturvallisuuslainsäädäntö (2024) vaatii kriittistä infrastruktuuria raportoimaan kyberonnettomuuksista Viestintä- ja turvallisuusvirastolle (CSE) — Kanadan signaalitiedusteluvirastolle. Adequacy-tarkastelu arvioi, onko CSE:n pääsy onnettomuustietoihin ristiriidassa GDPR:n valvontalainsäädännön kanssa.
- Kanada ei ole vielä toteuttanut lain C-27 CPPA:ta tai AIDA:ta, mikä tarkoittaa, että tarkastelu tapahtuu PIPEDAn alaisuudessa — lain, jonka komissio on aiemmin todennut sisältävän valvontapuutteita.
Organisaatioiden, jotka käyttävät Kanadan GDPR-adequacy-päätöstä EU-Kanada-siirtojen perusteena, tulisi seurata vuoden 2026 tarkastelua. Jos adequacy keskeytetään tai peruutetaan, SCC:iden tai BCR:iden välitön toteuttaminen olisi tarpeen.
Kanadalaisille toiminnoille: SIN-tunnistus Luhn-validoinnilla, kaksikielinen englanti/ranska PII-käsittely ja vähintään Ontarion OHIP- ja Québecin RAMQ-maakunnallisen terveysnumeron tuki ovat perustason kanadalaisia PII-yhteensopivuusvaatimuksia.
Lähteet: