Kanados privatumo teisė keičiasi. Privatumo komisaro biuras (OPC) šiandien vykdo PIPEDA. Projektas C-27 pakeis PIPEDA stipresnėmis taisyklėmis. Kanados ES duomenų perdavimo susitarimas taip pat peržiūrimas 2026 m. Štai ką reikia žinoti.
Dabartinis Kanados privatumo įstatymas
PIPEDA yra pagrindinis Kanados privatumo įstatymas privačiame sektoriuje. Jis galioja nuo 2001 m. Jis apima federalinio reguliavimo pramonės šakų įmones. Jis taip pat taikomas provincijose be savo privatumo įstatymų.
Trys provincijos turi savo įstatymus: Alberta, Britų Kolumbija ir Kvebeka.
Kvebeko Įstatymas 25 yra griežčiausias. Jis įsigaliojo etapais 2022 ir 2023 m. Jis reikalauja privatumo poveikio peržiūrų ir pavardinto privatumo pareigūno. Jis yra daug artimesnis ES GDPR nei senasis PIPEDA.
OPC 2024 m. nagrinėjo daugiau nei 400 PIPEDA skundų. Jis išleido privalomus nurodymus Tim Hortons už buvimo vietos duomenų rinkimą be sutikimo. Keli sveikatos programų operatoriai tais metais taip pat gavo nurodymus.
Projektas C-27: trys nauji įstatymai
Projektas C-27 svarstomas parlamente. Jame yra trys dalys.
Vartotojų privatumo apsaugos aktas (CPPA) pakeičia PIPEDA. Pagrindiniai pakeitimai:
- Tikslo apribojimai ir duomenų mažinimo taisyklės.
- Stipresnės sutikimo taisyklės.
- Baudos iki 3% pasaulinių pajamų arba 10 mln. CAD -- priklausomai nuo to, kas daugiau.
- Duomenų perkeliamumas.
- Automatizuotų sprendimų atskleidimo taisyklės.
Dirbtinio intelekto ir duomenų aktas (AIDA) prideda DI taisykles:
- Rizika pagrįstos taisyklės DI sistemoms.
- Reikalaujamos rizikos peržiūros didelę įtaką turinčiam DI.
- Atskleidimo taisyklės DI, paveikiančiam žmones.
- Draudimas DI, sukurtam sukelti žalą.
Asmens informacijos ir duomenų apsaugos tribunolo aktas sukuria naują apeliacinę instituciją. Ji pakeičia dabartinį Federalinio teismo procesą.
Žiūrėkite, kaip Kanada lyginasi su kitais privatumo įstatymais mūsų pasaulinės privatumo atitikties vadove.
Kanados PII: ką reikia aptikti
Kanados failuose yra unikalių ID tipų. Jūsų įrankis turi juos visus tvarkyti.
SIN (Socialinio draudimo numeris): Devyni skaitmenys. Formatas: XXX-XXX-XXX. Jis naudoja Luhn patikrinimą. SIN randamas mokesčių formose, darbo užmokesčio įrašuose ir išmokų failuose. Tai jautriausias Kanados ID.
Provincijų sveikatos kortelių numeriai: Kanada turi 13 provincijų ir teritorijų. Kiekviena naudoja skirtingą formatą. Nėra federalinio standarto. Pagrindiniai formatai:
- Ontario OHIP: 10 skaitmenų plius 2 raidžių kodas.
- Alberta AHCIP: 9 skaitmenų Asmens sveikatos numeris.
- BC paslaugų kortelė: 10 skaitmenų PHN.
- Kvebeko RAMQ: 12 simbolių -- koduoja pavardės inicialus ir gimimo datą.
Atitinkantis įrankis turi palaikyti visus 13 formatų.
CRA verslo numeris: Devyni skaitmenys. Išduotas Kanados pajamų agentūros.
Dvikalbis PII: anglų ir prancūzių
Kanada yra oficialiai dvikalbė. Federalinėse formose dažnai maišomi abu kalbų viename puslapyje.
Prancūzų PII turi savus poreikius:
- Vardai: Prancūziški vardai naudoja kirčiuotas raides. Įrankis, praleidžiantis kirčius, praleids objektus.
- Adresai: Kvebeko adresai naudoja prancūziškus terminus -- Rue, Avenue, Boulevard, Chemin. Analizatoriai turi juos tvarkyti.
- RAMQ numeriai: Kvebeko sveikatos numeris koduoja pavardės inicialus. Aptikimas turi būti prancūziškai sąmoningas.
Norėdami palyginimui pamatyti, kaip Indijos DPDPA tvarko daugiakalbį PII.
2026 m. ES tinkamumo rizika
Kanados ES tinkamumo sprendimas yra nuo 2001 m. Tai buvo pirmasis Europos Komisijos suteiktas. Jis išlaikė kiekvieną peržiūrą iki šiol.
2026 m. peržiūra yra kitokia. Išsiskiria dvi problemos.
Pirma: Kanados C-26 kibernetinio saugumo įstatymas (2024 m.) reikalauja, kad kritinės firmos praneštų incidentus CSE. CSE yra Kanados signalų žvalgybos agentūra. Komisija tikrins, ar CSE prieiga prie tų duomenų prieštarauja GDPR.
Antra: Kanada vis dar veikia pagal PIPEDA. Komisija pažymėjo PIPEDA vykdymą kaip silpną. CPPA dar neįsigaliojo.
Jei tinkamumas bus sustabdytas ar atšauktas, visi ES ir Kanados pervedimai turi iš karto pereiti prie SCCs arba BCRs.
Pradėkite planuoti dabar. Laukti sprendimo yra per vėlu.
Kontekstui apie tai, kaip tinkamumo rizika pakenkė įmonėms, žiūrėkite mūsų GDPR baudų vadovą.
Minimalūs atitikties reikalavimai
Organizacijoms su Kanados operacijomis techninis pagrindas yra:
- SIN aptikimas su Luhn patikrinimu.
- Dvikalbis anglų ir prancūzų PII apdorojimas.
- Ontario OHIP sveikatos kortelės aptikimas.
- Kvebeko RAMQ sveikatos kortelės aptikimas.
- Visi 13 provincijų formatai visapusiškai CPPA parengčiai.