O Escritório do Comissário de Privacidade do Canadá (OPC) está supervisionando uma transição significativa na legislação de privacidade canadense. A Lei de Proteção de Informações Pessoais e Documentos Eletrônicos (PIPEDA) — a lei federal de privacidade do setor privado do Canadá desde 2001 — está sendo substituída pela Lei de Proteção da Privacidade do Consumidor (CPPA) sob o Projeto de Lei C-27, que também criaria uma nova Lei de Inteligência Artificial e Dados (AIDA). Essa transição legislativa ocorre enquanto a decisão de adequação do Canadá ao GDPR da UE está sob revisão em 2026.
O Cenário Atual da Privacidade no Canadá
PIPEDA regula o processamento de informações pessoais do setor privado em indústrias regulamentadas federalmente e em províncias sem legislação substancialmente similar. Alberta, Colúmbia Britânica e Quebec têm suas próprias leis provinciais do setor privado. A Lei 25 de Québec (implementação faseada de 2022-2023) é a lei provincial mais semelhante ao GDPR, exigindo avaliações de impacto sobre a privacidade e nomeações de oficiais de privacidade.
Aplicação do OPC: O OPC investigou mais de 400 queixas de PIPEDA em 2024, com ordens vinculativas contra o Tim Hortons (coleta de dados de localização sem consentimento) e vários operadores de aplicativos de saúde sendo as ações de aplicação mais significativas de 2024.
Adequação da UE: O Canadá mantém sua decisão de adequação ao GDPR da UE — concedida em 2001 sob o quadro original de adequação. Isso significa que dados pessoais da UE podem ser transferidos para o Canadá sem salvaguardas adicionais (SCCs, BCRs). No entanto, a Comissão Europeia está conduzindo uma revisão em 2026, e a adequação não é garantida para sobreviver à revisão, dada a evolução da legislação de vigilância no Canadá.
Projeto de Lei C-27: O Novo Quadro Proposto
O Projeto de Lei C-27 está progredindo no Parlamento com três componentes:
Lei de Proteção da Privacidade do Consumidor (CPPA): Substitui a PIPEDA com:
- Requisitos de limitação de propósito e minimização de dados (mais próximos do GDPR do que da PIPEDA)
- Requisitos de consentimento significativo
- Aplicação significativamente aprimorada — o OPC agora pode impor penalidades administrativas de até 3% da receita global ou CAD $10M, o que for maior
- Direitos de portabilidade de dados
- Requisitos de transparência na tomada de decisões automatizadas
Lei de Inteligência Artificial e Dados (AIDA):
- Supervisão baseada em risco de sistemas de IA (IA de alto impacto requer avaliação obrigatória)
- Requisitos de transparência para decisões automatizadas que afetam indivíduos
- Proibição de sistemas de IA projetados para causar dano
Lei do Tribunal de Proteção de Informações Pessoais e Dados: Cria um novo tribunal para ouvir apelações de ordens do OPC — reduzindo o ciclo atual de reclamação-investigação-revisão do Tribunal Federal.
Identificadores Nacionais Canadenses
SIN (Número de Seguro Social): Número de 9 dígitos atribuído a todos os residentes canadenses para acesso ao emprego e benefícios sociais. Formato XXX-XXX-XXX, com um dígito de verificação usando o algoritmo de Luhn. O SIN é o identificador canadense mais sensível — aparece em registros de emprego, documentos fiscais e inscrição em benefícios.
Números de cartões de saúde provinciais: O Canadá tem 13 províncias e territórios, cada um com seu próprio sistema de numeração de cartões de saúde. Os números de saúde provinciais não são padronizados a nível federal:
- OHIP (Ontário): número de 10 dígitos + código de versão de 2 letras
- AHCIP (Alberta): Número de Saúde Pessoal de 9 dígitos
- Cartão de Serviços da BC (BC): PHN de 10 dígitos
- RAMQ (Québec): alfanumérico de 12 caracteres (formato HHH-AAAA-MMDD codificando iniciais do sobrenome, data de nascimento)
- Outras províncias: vários formatos
Uma ferramenta canadense de PII deve lidar com pelo menos 13 formatos distintos de cartões de saúde provinciais para conformidade abrangente com PIPEDA/CPPA.
Número de negócios da CRA: Número de Negócios de 9 dígitos (BN) emitido pela Agência de Receita do Canadá para todas as empresas canadenses. Formato NNNNNNNNN.
Processamento Bilíngue: Inglês e Francês
O Canadá é oficialmente bilíngue — inglês e francês. Organizações que operam federalmente ou em contextos bilíngues processam documentos em ambos os idiomas, muitas vezes no mesmo documento (por exemplo, formulários do governo federal bilíngues).
Requisitos bilíngues de PII:
- Nomes: nomes em francês incluem caracteres como é, è, ê, ë, à, â, î, ô, û, ç, œ. Modelos de NLP que não lidam corretamente com caracteres acentuados em francês geram erros no reconhecimento de entidades em francês.
- Endereços: endereços de Québec usam convenções em francês ("Rue," "Avenue," "Boulevard," "Chemin"). Modelos de análise de endereços devem lidar com formatos de endereços em francês.
- Números RAMQ: o formato do número de saúde de Québec codifica iniciais do sobrenome — um identificador em francês que requer detecção consciente do francês.
A Adequação do Canadá à UE: O Risco de 2026
A decisão de adequação de 2001 do Canadá foi a primeira decisão de adequação da UE já concedida. Sobreviveu a várias revisões. Mas a revisão de 2026 ocorre em um contexto diferente:
- A legislação de cibersegurança C-26 do Canadá (2024) exige que a infraestrutura crítica relate incidentes cibernéticos ao Estabelecimento de Segurança das Comunicações (CSE) — a agência de inteligência de sinais do Canadá. A revisão de adequação avaliará se o acesso do CSE a dados de incidentes constitui conflito com a lei de vigilância do GDPR.
- O Canadá ainda não implementou a CPPA ou a AIDA do Projeto de Lei C-27, o que significa que a revisão ocorre sob a PIPEDA — uma lei que a Comissão já observou ter fraquezas na aplicação.
Organizações que usam a decisão de adequação do Canadá ao GDPR como base para transferências entre a UE e o Canadá devem monitorar a revisão de 2026. Se a adequação for suspensa ou revogada, a implementação imediata de SCCs ou BCRs seria necessária.
Para organizações com operações canadenses: detecção de SIN com validação de Luhn, processamento bilíngue de PII em inglês/francês e suporte a pelo menos os números de saúde provinciais OHIP de Ontário e RAMQ de Québec são os requisitos básicos de conformidade de PII canadense.
Fontes: