Canada's privacywet verandert. Het Office of the Privacy Commissioner (OPC) handhaaft vandaag PIPEDA. Bill C-27 zou PIPEDA vervangen door sterkere regels. Canada's EU-gegevensoverdrachtsovereenkomst staat ook ter herziening in 2026. Dit moet u weten.
Canada's huidige privacywet
PIPEDA is Canada's voornaamste privacywet voor de particuliere sector, van kracht sinds 2001. Ze dekt bedrijven in federaal gereguleerde industrieën en is van toepassing in provincies zonder eigen privacywet.
Drie provincies hebben hun eigen wetten: Alberta, British Columbia en Quebec.
Quebec's Wet 25 is de strengste. Ze trad gefaseerd in werking in 2022 en 2023, vereist privacy-effectbeoordelingen en een benoemde privacyfunctionaris — veel dichter bij de EU-AVG dan de oude PIPEDA.
Het OPC behandelde in 2024 meer dan 400 PIPEDA-klachten en vaardigde bindende bevelen uit tegen Tim Hortons voor het verzamelen van locatiegegevens zonder toestemming.
Bill C-27: drie nieuwe wetten
Bill C-27 gaat door het parlement. Het heeft drie delen.
Consumer Privacy Protection Act (CPPA) vervangt PIPEDA. Voornaamste wijzigingen:
- Doelbindingen en datareductieregels
- Sterkere toestemmingsregels
- Boetes tot 3% van de mondiale omzet of CAD $10M — wat meer is
- Gegevensoverdraagbaarheidsrechten
- Openbaarmakingsregels voor geautomatiseerde beslissingen
Artificial Intelligence and Data Act (AIDA) voegt AI-regels toe:
- Risicogebaseerde regels voor AI-systemen
- Verplichte risicobeoordelingen voor hoog-impact AI
- Openbaarmakingsregels voor AI die mensen treft
- Verbod op AI gebouwd om schade te veroorzaken
Personal Information and Data Protection Tribunal Act creëert een nieuw beroepsorgaan.
Zie hoe Canada zich verhoudt tot andere privacywetten in onze mondiale privacynalevingsgids.
Canadese PII: wat te detecteren
Canadese bestanden bevatten unieke ID-typen. Uw tool moet ze allemaal verwerken.
SIN (Social Insurance Number): Negen cijfers. Formaat: XXX-XXX-XXX. Gebruikt de Luhn-controle. SIN staat in belastingformulieren, loonregistraties en uitkeringsdossiers.
Provinciale zorgkaartnummers: Canada heeft 13 provincies en territoria, elk met een ander formaat. Er is geen federale norm. Voornaamste formaten:
- Ontario OHIP: 10 cijfers plus een 2-lettercode.
- Alberta AHCIP: 9-cijferig Personal Health Number.
- BC Services Card: 10-cijferig PHN.
- Quebec RAMQ: 12 tekens — codeert achternaaminitialen en geboortedatum.
Een compliant tool moet alle 13 formaten ondersteunen.
CRA-bedrijfsnummer: Negen cijfers, uitgegeven door de Canada Revenue Agency.
Tweetalige PII: Engels en Frans
Canada is officieel tweetalig. Federale formulieren mengen vaak beide talen op één pagina.
Franse PII heeft eigen vereisten:
- Namen: Franse namen gebruiken geaccentueerde letters. Een tool die accenten mist, mist entiteiten.
- Adressen: Quebec-adressen gebruiken Franse termen — Rue, Avenue, Boulevard, Chemin.
- RAMQ-nummers: Quebec's gezondheidsnummer codeert achternaaminitialen. Detectie moet Frans-bewust zijn.
Voor een vergelijking, zie hoe India's DPDPA meertalige PII verwerkt.
Het adequaatheidsrisico van 2026
Canada's EU-adequaatheidsbesluit dateert van 2001 — het allereerste dat de Europese Commissie ooit verleende.
De 2026-herziening is anders. Twee kwesties baren EU-monitors zorgen.
Eerst: Canada's C-26 cyberbeveiligingswet (2024) vereist dat kritieke bedrijven incidenten melden aan CSE — Canada's signaleninlichtingendienst. De Commissie zal controleren of CSE-toegang tot die gegevens botst met de AVG.
Tweede: Canada werkt nog steeds onder PIPEDA. De Commissie heeft PIPEDA's handhaving als zwak aangemerkt. CPPA is nog niet van kracht.
Als adequaatheid wordt geschorst of ingetrokken, moeten alle EU-Canada SCB's direct worden geactiveerd. Begin nu met plannen — wachten op de beslissing is te laat.
Zie onze AVG-boetesgids voor context over hoe adequaatheidsrisico bedrijven heeft getroffen.
Minimale nalevingsvereisten
Voor organisaties met Canadese activiteiten is de technische basislijn:
- SIN-detectie met Luhn-controle.
- Tweetalige Engelse en Franse PII-verwerking.
- Ontario OHIP-zorgkaartdetectie.
- Quebec RAMQ-zorgkaartdetectie.
- Alle 13 provinciale formaten voor volledige CPPA-gereedheid.