Kanādas privātuma tiesības mainās. Privātuma komisāra birojs (OPC) šodien nodrošina PIPEDA izpildi. Bill C-27 aizstātu PIPEDA ar stingrākiem noteikumiem. Kanādas ES datu pārsūtīšanas vienošanās arī tiek pārskatīta 2026. gadā. Lūk, kas jums jāzina.
Kanādas pašreizējais privātuma likums
PIPEDA ir Kanādas galvenais privātā sektora privātuma likums. Tas ir spēkā kopš 2001. gada. Tas aptver uzņēmumus federāli regulētajās nozarēs. Tas attiecas arī uz provincēm bez saviem privātuma likumiem.
Trīs provincēm ir savi likumi: Albertai, Britu Kolumbijai un Kvebekai.
Kvebekas Likums 25 ir stingrākais. Tas stājās spēkā fāzēs 2022. un 2023. gadā. Tas prasa privātuma ietekmes pārskatus un nominētu privātuma speciālistu. Tas ir daudz tuvāks ES GDPR nekā vecais PIPEDA.
OPC 2024. gadā izskatīja vairāk nekā 400 PIPEDA sūdzību. Tas izsniedza saistošus rīkojumus Tim Hortons par atrašanās vietas datu vākšanu bez piekrišanas. Vairāki veselības lietotņu operatori tajā gadā arī saņēma rīkojumus.
Bill C-27: trīs jauni likumi
Bill C-27 virzās caur Parlamentu. Tam ir trīs daļas.
Patērētāju privātuma aizsardzības likums (CPPA) aizstāj PIPEDA. Galvenās izmaiņas:
- Mērķa ierobežojumi un datu samazināšanas noteikumi.
- Stingrāki piekrišanas noteikumi.
- Naudassodi līdz 3% no globālajiem pārdošanas apjomiem vai CAD $10M — atkarībā no tā, kurš ir lielāks.
- Datu pārnesamības tiesības.
- Automatizēto lēmumu izpaušanas noteikumi.
Mākslīgā intelekta un datu likums (AIDA) pievieno AI noteikumus:
- Riska pamatoti noteikumi AI sistēmām.
- Obligāti riska pārskati augsta ietekmes AI gadījumā.
- Izpaušanas noteikumi AI, kas ietekmē cilvēkus.
- Aizliegums AI, kas radīts, lai nodarītu kaitējumu.
Personas informācijas un datu aizsardzības tribunāla likums izveido jaunu pārsūdzību institūciju. Tas aizstāj pašreizējo Federālās tiesas procesu.
Skatiet, kā Kanāda salīdzinās ar citiem privātuma likumiem mūsu globālās privātuma atbilstības rokasgrāmatā.
Kanādas PII: kas jāatklāj
Kanādas failos ir unikāli ID veidi. Jūsu rīkam ar tiem jātiek galā.
SIN (Sociālās apdrošināšanas numurs): Deviņi cipari. Formāts: XXX-XXX-XXX. Tas izmanto Luhn pārbaudi. SIN parādās nodokļu veidlapās, algas ierakstos un pabalstu failos. Tas ir jutīgākais Kanādas ID.
Provinču veselības kartes numuri: Kanādai ir 13 provinces un teritorijas. Katra izmanto atšķirīgu formātu. Nav federālā standarta. Galvenie formāti:
- Ontario OHIP: 10 cipari plus 2 burtu kods.
- Alberta AHCIP: 9 ciparu personiskais veselības numurs.
- BC Services Card: 10 ciparu PHN.
- Kvebekas RAMQ: 12 rakstzīmes — iekodē uzvārda iniciāļus un dzimšanas datumu.
Atbilstīgam rīkam jāatbalsta visi 13 formāti.
CRA uzņēmuma numurs: Deviņi cipari. Izsniedz Kanādas Ieņēmumu aģentūra.
Divvalodīgā PII: angļu un franču valoda
Kanāda ir oficiāli divvalodīga. Federālajās veidlapās bieži vien abas valodas ir sajauktas vienā lapā.
Franču PII ir savas vajadzības:
- Vārdi: Franču vārdos ir akcentēti burti. Rīks, kas palaiž garām akcentus, palaidīs garām entītijas.
- Adreses: Kvebekas adreses izmanto franču terminus — Rue, Avenue, Boulevard, Chemin. Analizatoriem jātiek ar tiem galā.
- RAMQ numuri: Kvebekas veselības numurs iekodē uzvārda iniciāļus. Atklāšanai jābūt franciski apzinātai.
Salīdzinošam skatījumam skatiet, kā Indijas DPDPA apstrādā daudzvalodu PII.
2026. gada ES atbilstīguma risks
Kanādas ES atbilstīguma lēmums ir no 2001. gada. Tas bija pirmais, ko Eiropas Komisija piešķīra. Tas ir izgājis katru pārskatu līdz šim.
- gada pārskatīšana ir atšķirīga. Izceļas divi jautājumi.
Pirmkārt: Kanādas C-26 kiberdrošības likums (2024) prasa kritiskiem uzņēmumiem ziņot par incidentiem CSE. CSE ir Kanādas signālintelekta aģentūra. Komisija pārbaudīs, vai CSE piekļuve šiem datiem ir pretrunā ar GDPR.
Otrkārt: Kanāda joprojām darbojas saskaņā ar PIPEDA. Komisija ir norādījusi uz PIPEDA izpildes vājumu. CPPA vēl nav spēkā.
Ja atbilstīgums tiek apturēts vai atcelts, visiem ES-Kanādas pārsūtīšanai nekavējoties jāpārslēdzas uz SCC vai BCR.
Sāciet plānot tagad. Gaidīt lēmumu ir par vēlu.
Kontekstam par to, kā atbilstīguma risks ir kaitējis uzņēmumiem, skatiet mūsu GDPR naudassodu rokasgrāmatu.
Minimālās atbilstības prasības
Organizācijām ar Kanādas darbībām tehniskā bāzlīnija ir:
- SIN atklāšana ar Luhn pārbaudi.
- Divvalodīga angļu un franču PII apstrāde.
- Ontario OHIP veselības kartes atklāšana.
- Kvebekas RAMQ veselības kartes atklāšana.
- Visi 13 provinču formāti pilnai CPPA gatavībai.