Canadas personvernlovgivning er i endring. Office of the Privacy Commissioner (OPC) håndhever PIPEDA i dag. Bill C-27 ville erstatte PIPEDA med sterkere regler. Canadas EU-dataoverføringsavtale er også oppe til gjennomgang i 2026. Her er det du trenger å vite.
Canadas gjeldende personvernlov
PIPEDA er Canadas viktigste personvernlov for privat sektor. Den har vært i kraft siden 2001. Den dekker selskaper i føderalt regulerte bransjer. Den gjelder også i provinser uten egne personvernlover.
Tre provinser har egne lover: Alberta, British Columbia og Quebec.
Quebes lov 25 er den strengeste. Den trådte i kraft i faser i 2022 og 2023. Den krever personvernkonsekvensutredninger og en navngitt personvernansvarlig. Den ligner langt mer på EUs GDPR enn gamle PIPEDA.
OPC behandlet over 400 PIPEDA-klager i 2024. Det utstedte bindende pålegg mot Tim Hortons for innsamling av lokasjonsdata uten samtykke. Flere helse-app-operatører mottok også pålegg det året.
Bill C-27: Tre nye lover
Bill C-27 er under behandling i Parlamentet. Den har tre deler.
Consumer Privacy Protection Act (CPPA) erstatter PIPEDA. Viktige endringer:
- Formålsgrenser og datamengdereduksjonsregler.
- Sterkere samtykkeregler.
- Bøter opptil 3 % av global omsetning eller CAD 10 millioner – avhengig av hva som er størst.
- Rettigheter til dataportering.
- Regler for åpenhet om automatiserte beslutninger.
Artificial Intelligence and Data Act (AIDA) legger til AI-regler:
- Risikobaserte regler for AI-systemer.
- Påkrevde risikovurderinger for høyrisikobasert AI.
- Krav om åpenhet for AI som påvirker folk.
- Forbud mot AI bygget for å forårsake skade.
Personal Information and Data Protection Tribunal Act oppretter et nytt klagorgan. Dette erstatter den gjeldende Federal Court-prosessen.
Se hvordan Canada sammenlignes med andre personvernlover i vår globale personvernsamsvarsveiledning.
Kanadisk PII: Hva du må detektere
Kanadiske filer inneholder unike ID-typer. Verktøyet ditt må håndtere alle.
SIN (Social Insurance Number): Ni sifre. Format: XXX-XXX-XXX. Det bruker Luhn-kontroll. SIN forekommer i skjemaer, lønnsregistre og trygderegistre. Det er den mest sensitive kanadiske ID-en.
Provinsielle helsekortsnumre: Canada har 13 provinser og territorier. Hver bruker et annet format. Det finnes ingen føderal standard. Viktige formater:
- Ontario OHIP: 10 sifre pluss en 2-bokstavs kode.
- Alberta AHCIP: 9-sifret Personal Health Number.
- BC Services Card: 10-sifret PHN.
- Quebec RAMQ: 12 tegn – koder etternavn-initialer og fødselsdato.
Et samsvarende verktøy må støtte alle 13 formater.
CRA Business Number: Ni sifre. Utstedt av Canada Revenue Agency.
Tospråklig PII: Engelsk og fransk
Canada er offisielt tospråklig. Føderale skjemaer blander ofte begge språk på én side.
Fransk PII har egne behov:
- Navn: Franske navn bruker aksentuerte bokstaver. Et verktøy som ikke gjenkjenner aksenter, vil gå glipp av enheter.
- Adresser: Quebec-adresser bruker franske termer – Rue, Avenue, Boulevard, Chemin. Parsere må håndtere disse.
- RAMQ-numre: Quebecs helsenummer koder etternavn-initialer. Deteksjon må være franskbevisst.
For et sideblikk, se hvordan Indias DPDPA håndterer flerspråklig PII.
EU-adekvansrisikoen i 2026
Canadas EU-adekvansavgjørelse er fra 2001. Det var den aller første som EU-kommisjonen ga. Den har bestått alle gjennomganger hittil.
Gjennomgangen i 2026 er annerledes. To problemer utmerker seg.
For det første: Canadas C-26-lov om cybersikkerhet (2024) krever at kritiske selskaper rapporterer hendelser til CSE. CSE er Canadas etterretningsbyrå for signaler. Kommisjonen vil sjekke om CSEs tilgang til disse dataene er i strid med GDPR.
For det andre: Canada opererer fortsatt under PIPEDA. Kommisjonen har påpekt at PIPEDAs håndhevelse er svak. CPPA er ennå ikke i kraft.
Dersom adekvansen suspenderes eller trekkes tilbake, må alle EU–Canada-overføringer umiddelbart byttes til SCCs eller BCRs.
Begynn planleggingen nå. Å vente på avgjørelsen er for sent.
For kontekst om hvordan adekvansrisiko har rammet selskaper, se vår GDPR-bøteguide.
Minimumskrav for samsvar
For organisasjoner med kanadiske operasjoner er det tekniske minimumsgrunnlaget:
- SIN-deteksjon med Luhn-kontroll.
- Tospråklig engelsk og fransk PII-behandling.
- Ontario OHIP-helsekortsdeteksjon.
- Quebec RAMQ-helsekortsdeteksjon.
- Alle 13 provinsformater for full CPPA-beredskap.