חוק הפרטיות הקנדי משתנה. נציב הפרטיות (OPC) אוכף את PIPEDA כיום. חוק C-27 יחליף את PIPEDA בכללים חזקים יותר. הסכם העברת הנתונים של קנדה עם ה-EU גם הוא בבדיקה ב-2026. הנה מה שאתם צריכים לדעת.
חוק הפרטיות הנוכחי של קנדה
PIPEDA הוא חוק הפרטיות הפרטי הראשי של קנדה. הוא בתוקף מאז 2001. הוא מכסה חברות בתעשיות מוסדרות פדרלית. הוא גם חל במחוזות ללא חוק פרטיות משלהם.
שלושה מחוזות יש להם חוקים משלהם: אלברטה, בריטיש קולומביה וקוויבק.
חוק 25 של קוויבק הוא הקשה ביותר. הוא נכנס לתוקף בשלבים ב-2022 וב-2023. הוא דורש בחינות השפעה על פרטיות וקצין פרטיות ממונה. הוא קרוב הרבה יותר ל-GDPR של ה-EU מאשר PIPEDA הישן.
ה-OPC טיפל ביותר מ-400 תלונות PIPEDA ב-2024. הוא הוציא צווים מחייבים נגד Tim Hortons על איסוף נתוני מיקום ללא הסכמה. מספר מפעילי אפליקציות בריאות קיבלו גם צווים אותה שנה.
חוק C-27: שלושה חוקים חדשים
חוק C-27 עובר בפרלמנט. יש לו שלושה חלקים.
חוק הגנת הפרטיות של הצרכן (CPPA) מחליף את PIPEDA. שינויים מרכזיים:
- כללי מגבלות מטרה ומיזעור נתונים.
- כללי הסכמה חזקים יותר.
- קנסות של עד 3% מהמכירות הגלובליות או CAD $10 מיליון — הגבוה מביניהם.
- זכויות ניידות נתונים.
- כללי גילוי להחלטות אוטומטיות.
חוק הבינה המלאכותית והנתונים (AIDA) מוסיף כללי AI:
- כללים מבוססי סיכון למערכות AI.
- בחינות סיכון נדרשות עבור AI בהשפעה גבוהה.
- כללי גילוי עבור AI המשפיע על אנשים.
- איסור על AI שנבנה לגרום נזק.
חוק בית הדין למידע אישי והגנת נתונים יוצר גוף ערעורים חדש. זה מחליף את תהליך בית המשפט הפדרלי הנוכחי.
ראו כיצד קנדה משתווה לחוקי פרטיות אחרים במדריך ציות הפרטיות הגלובלי שלנו.
PII קנדי: מה לזהות
תיקים קנדיים מכילים סוגי זיהוי ייחודיים. הכלי שלכם חייב לטפל בכולם.
SIN (מספר ביטוח לאומי): תשע ספרות. פורמט: XXX-XXX-XXX. הוא משתמש בביקורת Luhn. SIN מופיע בטפסי מס, רשומות שכר ותיקי הטבות. זהו הזיהוי הקנדי הרגיש ביותר.
מספרי כרטיס בריאות מחוזיים: לקנדה יש 13 מחוזות ושטחים. כל אחד משתמש בפורמט שונה. אין סטנדרט פדרלי. פורמטים מרכזיים:
- אונטריו OHIP: 10 ספרות בתוספת קוד 2 אותיות.
- אלברטה AHCIP: מספר בריאות אישי בן 9 ספרות.
- כרטיס שירותי BC: PHN בן 10 ספרות.
- קוויבק RAMQ: 12 תווים — מקודד ראשי שם משפחה ותאריך לידה.
כלי תואם חייב לתמוך בכל 13 הפורמטים.
מספר עסק CRA: תשע ספרות. הונפק על ידי רשות הכנסה הקנדית.
PII דו-לשוני: אנגלית וצרפתית
קנדה היא רשמית דו-לשונית. טפסים פדרליים לעתים קרובות מערבבים שתי שפות באותו עמוד.
ל-PII צרפתי יש צרכים משלו:
- שמות: שמות צרפתיים משתמשים באותיות עם ניקוד. כלי שמחמיץ ניקוד יחמיץ ישויות.
- כתובות: כתובות קוויבק משתמשות במונחים צרפתיים — Rue, Avenue, Boulevard, Chemin. מנתחים חייבים לטפל באלה.
- מספרי RAMQ: מספר הבריאות של קוויבק מקודד ראשי שם משפחה. הזיהוי חייב להיות מודע לצרפתית.
להשוואה, ראו כיצד DPDPA של הודו מטפל ב-PII רב-לשוני.
סיכון הנאותות ב-2026
החלטת הנאותות של ה-EU לקנדה היא משנת 2001. היא הייתה הראשונה שנציבות האירופית הוציאה. היא עברה כל בדיקה עד כה.
בדיקת 2026 שונה. שתי בעיות בולטות.
ראשית: חוק הסייבר-ביטחון C-26 של קנדה (2024) מחייב חברות קריטיות לדווח על אירועים ל-CSE. CSE היא סוכנות המודיעין של קנדה. הנציבות תבדוק האם גישת CSE לנתונים אלה עומדת בסתירה ל-GDPR.
שנית: קנדה עדיין פועלת תחת PIPEDA. הנציבות הדגישה את האכיפה של PIPEDA כחלשה. CPPA עדיין אינו בתוקף.
אם הנאותות מושעית או מבוטלת, כל העברות EU-קנדה חייבות לעבור ל-SCC או BCR מיד.
התחילו לתכנן עכשיו. ההמתנה להחלטה היא מאוחרת מדי.
להקשר כיצד סיכון נאותות פגע בחברות, ראו את מדריך קנסות ה-GDPR שלנו.
דרישות ציות מינימליות
לארגונים עם פעילויות קנדיות, הבסיס הטכני הוא:
- זיהוי SIN עם ביקורת Luhn.
- עיבוד PII דו-לשוני באנגלית ובצרפתית.
- זיהוי כרטיס בריאות OHIP של אונטריו.
- זיהוי כרטיס בריאות RAMQ של קוויבק.
- כל 13 הפורמטים המחוזיים לקריאות CPPA מלאה.