Kanadyjskie prawo prywatności przechodzi gruntowne zmiany. Biuro Komisarza ds. Prywatności (OPC) egzekwuje dziś PIPEDA. Projekt C-27 zastąpiłby PIPEDA surowszymi regulacjami. Umowa Kanady z UE dotycząca transferu danych również podlega przeglądowi w 2026 roku. Oto co musisz wiedzieć.
Obecne kanadyjskie prawo prywatności
PIPEDA to główne kanadyjskie prawo prywatności sektora prywatnego. Obowiązuje od 2001 roku. Obejmuje firmy działające w sektorach regulowanych na poziomie federalnym. Stosuje się je również w prowincjach niemających własnych ustaw o prywatności.
Trzy prowincje mają własne przepisy: Alberta, Kolumbia Brytyjska i Quebec.
Najsurowsze przepisy ma Quebec – Ustawa 25. Wchodziła w życie etapami w 2022 i 2023 roku. Wymaga przeglądów wpływu na prywatność oraz wyznaczonego inspektora ochrony danych. Jest znacznie bliższa unijnemu RODO niż dotychczasowa PIPEDA.
W 2024 roku OPC rozpatrzył ponad 400 skarg na naruszenia PIPEDA. Wydał wiążące nakazy wobec Tim Hortons za zbieranie danych lokalizacyjnych bez zgody użytkowników. Tego samego roku nakazy otrzymało również kilku operatorów aplikacji zdrowotnych.
Projekt C-27: Trzy nowe ustawy
Projekt C-27 jest procedowany w Parlamencie. Składa się z trzech części.
Consumer Privacy Protection Act (CPPA) zastępuje PIPEDA. Kluczowe zmiany:
- Ograniczenia celu przetwarzania i zasady minimalizacji danych.
- Wzmocnione wymogi zgody.
- Kary do 3% globalnych przychodów lub 10 mln CAD — w zależności od tego, która kwota jest wyższa.
- Prawo do przenoszenia danych.
- Zasady ujawniania informacji o automatycznym podejmowaniu decyzji.
Artificial Intelligence and Data Act (AIDA) wprowadza przepisy dotyczące AI:
- Regulacje oparte na ryzyku dla systemów AI.
- Obowiązkowe oceny ryzyka dla AI o wysokim wpływie.
- Zasady ujawniania informacji o AI wpływającej na ludzi.
- Zakaz tworzenia AI w celu wyrządzenia szkody.
Personal Information and Data Protection Tribunal Act powołuje nowy organ odwoławczy. Zastępuje dotychczasową procedurę przed Sądem Federalnym.
Sprawdź jak Kanada wypada na tle innych przepisów o prywatności w naszym globalnym przewodniku po zgodności z przepisami o prywatności.
Kanadyjskie dane PII: Co wykrywać
Kanadyjskie dokumenty zawierają unikatowe typy identyfikatorów. Twoje narzędzie musi obsługiwać wszystkie z nich.
SIN (Social Insurance Number): Dziewięć cyfr. Format: XXX-XXX-XXX. Stosuje algorytm Luhna. SIN pojawia się w formularzach podatkowych, dokumentach płacowych i zasiłkowych. To najbardziej wrażliwy kanadyjski identyfikator.
Prowincjonalne numery kart zdrowotnych: Kanada ma 13 prowincji i terytoriów. Każde używa innego formatu. Nie istnieje ogólnokrajowy standard. Kluczowe formaty:
- Ontario OHIP: 10 cyfr plus 2-literowy kod.
- Alberta AHCIP: 9-cyfrowy Personal Health Number.
- BC Services Card: 10-cyfrowy PHN.
- Quebec RAMQ: 12 znaków — koduje inicjały nazwiska i datę urodzenia.
Narzędzie zgodne z przepisami musi obsługiwać wszystkie 13 formatów.
CRA Business Number: Dziewięć cyfr. Wydawany przez Kanadyjską Agencję Przychodów.
Dwujęzyczne dane PII: angielski i francuski
Kanada jest oficjalnie dwujęzyczna. Federalne formularze często łączą oba języki na jednej stronie.
Francuskie dane PII mają własną specyfikę:
- Imiona i nazwiska: Francuskie nazwy używają liter z akcentami. Narzędzie, które pomija akcenty, będzie pomijać encje.
- Adresy: Quebeckie adresy używają francuskich terminów — Rue, Avenue, Boulevard, Chemin. Parsery muszą to obsługiwać.
- Numery RAMQ: Quebecki numer ubezpieczenia zdrowotnego koduje inicjały nazwiska. Wykrywanie musi być dostosowane do języka francuskiego.
Dla porównania sprawdź jak indyjska DPDPA radzi sobie z wielojęzycznymi danymi PII.
Ryzyko utraty adekwatności UE w 2026 roku
Kanadyjska decyzja o adekwatności UE pochodzi z 2001 roku. Była pierwszą decyzją wydaną przez Komisję Europejską w ogóle. Do tej pory przeszła każdy przegląd.
Przegląd 2026 jest inny. Wyróżniają się dwie kwestie.
Po pierwsze: kanadyjska ustawa o cyberbezpieczeństwie C-26 (2024) wymaga, aby kluczowe firmy zgłaszały incydenty do CSE. CSE to kanadyjska agencja wywiadu sygnałowego. Komisja sprawdzi, czy dostęp CSE do tych danych jest sprzeczny z RODO.
Po drugie: Kanada nadal funkcjonuje w oparciu o PIPEDA. Komisja wskazała na słabość egzekwowania PIPEDA. CPPA nie jest jeszcze w mocy.
Jeśli adekwatność zostanie zawieszona lub cofnięta, wszystkie transfery UE-Kanada muszą natychmiast przejść na SCC lub BCR.
Zacznij planować teraz. Czekanie na decyzję będzie za późno.
Dla kontekstu o tym, jak ryzyko utraty adekwatności uderzyło w firmy, sprawdź nasz przewodnik po karach RODO.
Minimalne wymogi zgodności
Dla organizacji prowadzących działalność w Kanadzie techniczny punkt wyjścia to:
- Wykrywanie SIN z algorytmem Luhna.
- Dwujęzyczne przetwarzanie danych PII w języku angielskim i francuskim.
- Wykrywanie ontario'skiej karty zdrowotnej OHIP.
- Wykrywanie quebeckiej karty zdrowotnej RAMQ.
- Wszystkie 13 formatów prowincjonalnych dla pełnej gotowości na CPPA.