Kanadas integritetslag förändras. Office of the Privacy Commissioner (OPC) tillämpar PIPEDA idag. Lagförslag C-27 skulle ersätta PIPEDA med starkare regler. Kanadas EU-dataöverföringsavtal är också under granskning 2026. Här är vad du behöver veta.
Kanadas nuvarande integritetslag
PIPEDA är Kanadas viktigaste integritetslag för privat sektor. Den har gällt sedan 2001. Den täcker företag i federalt reglerade branscher. Den gäller också i provinser utan egna integritetslagar.
Tre provinser har egna lagar: Alberta, British Columbia och Quebec.
Quebecs Lag 25 är den strängaste. Den trädde i kraft i faser 2022 och 2023. Den kräver konsekvensbedömningar för integritet och ett namngivet integritetsombud. Den är mycket närmare EU:s GDPR än gamla PIPEDA.
OPC hanterade över 400 PIPEDA-klagomål 2024. Det utfärdade bindande beslut mot Tim Hortons för insamling av platsdata utan samtycke. Flera hälsoapp-operatörer fick också beslut det året.
Lagförslag C-27: Tre nya lagar
Lagförslag C-27 behandlas i parlamentet. Det har tre delar.
Consumer Privacy Protection Act (CPPA) ersätter PIPEDA. Viktiga förändringar:
- Ändamålsbegränsning och dataminimering.
- Starkare samtyckesregler.
- Böter upp till 3 % av den globala omsättningen eller 10 miljoner kanadensiska dollar — det högre beloppet gäller.
- Rätt till dataportabilitet.
- Informationskrav för automatiserade beslut.
Artificial Intelligence and Data Act (AIDA) lägger till AI-regler:
- Riskbaserade regler för AI-system.
- Obligatoriska riskbedömningar för AI med hög påverkan.
- Informationskrav för AI som påverkar människor.
- Förbud mot AI byggt för att skada.
Personal Information and Data Protection Tribunal Act inrättar ett nytt överklagandeorgan. Detta ersätter den nuvarande processen i Federal Court.
Se hur Kanada jämförs med andra integritetslagar i vår guide till global integritetsefterlevnad.
Kanadensisk PII: Vad som behöver identifieras
Kanadensiska filer innehåller unika ID-typer. Ditt verktyg måste hantera dem alla.
SIN (Social Insurance Number): Nio siffror. Format: XXX-XXX-XXX. Det använder Luhn-kontrollen. SIN förekommer i skatteformulär, lönejournaler och förmånsakter. Det är det känsligaste kanadensiska ID:t.
Provinsiella hälsokortsnummer: Kanada har 13 provinser och territorier. Var och en använder ett annat format. Det finns ingen federal standard. Viktiga format:
- Ontario OHIP: 10 siffror plus en 2-bokstavskod.
- Alberta AHCIP: 9-siffrigt Personal Health Number.
- BC Services Card: 10-siffrigt PHN.
- Quebec RAMQ: 12 tecken — kodar efternamnsinitialer och födelsedatum.
Ett kompatibelt verktyg måste stödja alla 13 format.
CRA Business Number: Nio siffror. Utfärdat av Canada Revenue Agency.
Tvåspråkig PII: Engelska och franska
Kanada är officiellt tvåspråkigt. Federala formulär blandar ofta båda språken på samma sida.
Fransk PII har egna krav:
- Namn: Franska namn använder accentuerade bokstäver. Ett verktyg som missar accenter missar entiteter.
- Adresser: Quebecadresser använder franska termer — Rue, Avenue, Boulevard, Chemin. Tolkare måste hantera dessa.
- RAMQ-nummer: Quebecs hälsonummer kodar efternamnsinitialer. Identifiering måste vara franskmedveten.
För en jämförelse, se hur Indiens DPDPA hanterar flerspråkig PII.
EU-adekvanrisken 2026
Kanadas EU-adekvansbeslut är från 2001. Det var det allra första som Europeiska kommissionen beviljade. Det har klarat alla granskningar hittills.
Granskningen 2026 är annorlunda. Två frågor sticker ut.
För det första: Kanadas C-26-cybersäkerhetslag (2024) kräver att kritiska företag rapporterar incidenter till CSE. CSE är Kanadas signalunderrättelsetjänst. Kommissionen kommer att kontrollera om CSE:s tillgång till dessa uppgifter strider mot GDPR.
För det andra: Kanada lever fortfarande under PIPEDA. Kommissionen har påpekat att PIPEDA:s tillsyn är svag. CPPA har ännu inte trätt i kraft.
Om adekvansstatus avbryts eller återkallas måste alla EU-Kanada-överföringar omedelbart byta till standardavtalsklausuler eller bindande företagsregler.
Börja planera nu. Att vänta på beslutet är för sent.
För sammanhang om hur adekvansproblem har drabbat företag, se vår guide till GDPR-böter.
Minimikrav för efterlevnad
För organisationer med kanadensisk verksamhet är den tekniska grunden:
- SIN-identifiering med Luhn-kontroll.
- Tvåspråkig PII-bearbetning på engelska och franska.
- Ontario OHIP-hälsokortidentifiering.
- Quebec RAMQ-hälsokortidentifiering.
- Alla 13 provinsiella format för fullständig CPPA-beredskap.