Nagbabago ang batas sa privacy ng Canada. Ipinapatupad ng Office of the Privacy Commissioner (OPC) ang PIPEDA ngayon. Papalitan ng Bill C-27 ang PIPEDA ng mas mahigpit na mga panuntunan. Ang kasunduan sa paglipat ng datos ng Canada sa EU ay naka-iskedyul din para sa pagsusuri noong 2026. Narito ang kailangan mong malaman.
Kasalukuyang Batas sa Privacy ng Canada
Ang PIPEDA ang pangunahing batas sa privacy ng pribadong sektor ng Canada. Ito ay nasa puwersa na mula 2001. Sinasaklaw nito ang mga kumpanya sa mga industriyang regulado ng pederal. Naaangkop din ito sa mga lalawigan na walang sariling batas sa privacy.
Tatlong lalawigan ang may sariling mga batas: Alberta, British Columbia, at Quebec.
Ang Batas 25 ng Quebec ang pinaka-mahigpit. Nagkabisa ito sa mga yugto noong 2022 at 2023. Nangangailangan ito ng mga pagsusuri ng epekto sa privacy at isang pinangalanang opisyal ng privacy. Ito ay mas malapit sa EU's GDPR kaysa sa lumang PIPEDA.
Humawak ang OPC ng mahigit 400 reklamo sa PIPEDA noong 2024. Naglabas ito ng mga binding na utos laban sa Tim Hortons para sa pangongolekta ng datos ng lokasyon nang walang pahintulot. Ilang operator ng health app ay nakatanggap din ng mga utos nang taon na iyon.
Bill C-27: Tatlong Bagong Batas
Ang Bill C-27 ay gumagalaw sa Parlamento. Mayroon itong tatlong bahagi.
Consumer Privacy Protection Act (CPPA) ay nagpapalit sa PIPEDA. Mga pangunahing pagbabago:
- Mga limitasyon ng layunin at mga panuntunan sa pagbabawas ng datos.
- Mas malakas na mga panuntunan sa pahintulot.
- Mga multa na hanggang 3% ng pandaigdigang benta o CAD $10M — alinman ang mas malaki.
- Mga karapatan sa data portability.
- Mga panuntunan sa pagbubunyag para sa mga awtomatikong desisyon.
Artificial Intelligence and Data Act (AIDA) ay nagdadagdag ng mga panuntunan sa AI:
- Mga panuntunan batay sa panganib para sa mga sistema ng AI.
- Kinakailangang mga pagsusuri ng panganib para sa mataas na epektong AI.
- Mga panuntunan sa pagbubunyag para sa AI na nakakaapekto sa mga tao.
- Isang pagbabawal sa AI na ginawa para makasama.
Personal Information and Data Protection Tribunal Act ay lumilikha ng bagong katawan ng apela. Pinapalitan nito ang kasalukuyang proseso ng Federal Court.
Tingnan kung paano nagkukumpara ang Canada sa iba pang mga batas sa privacy sa aming global privacy compliance guide.
PII ng Canada: Ano ang Dapat Tuklasin
Ang mga file ng Canada ay naglalaman ng mga natatanging uri ng ID. Ang iyong tool ay dapat humawak sa lahat ng mga ito.
SIN (Social Insurance Number): Siyam na digit. Format: XXX-XXX-XXX. Gumagamit ito ng tseke ng Luhn. Lumalabas ang SIN sa mga form ng buwis, mga rekord ng bayad, at mga file ng benepisyo. Ito ang pinaka-sensitibong ID ng Canada.
Mga numero ng health card ng lalawigan: Ang Canada ay may 13 lalawigan at teritoryo. Bawat isa ay gumagamit ng ibang format. Walang pederal na pamantayan. Mga pangunahing format:
- Ontario OHIP: 10 digit kasama ang 2-titik na code.
- Alberta AHCIP: 9-digit na Personal Health Number.
- BC Services Card: 10-digit na PHN.
- Quebec RAMQ: 12 karakter — ini-encode ang mga inisyal ng apelyido at petsa ng kapanganakan.
Ang isang compliant na tool ay dapat suportahan ang lahat ng 13 format.
CRA Business Number: Siyam na digit. Inilabas ng Canada Revenue Agency.
Dalawahang Wika ng PII: Ingles at Pranses
Ang Canada ay opisyal na dalawahang wika. Ang mga pederal na form ay madalas na naghahalo ng parehong wika sa isang pahina.
Ang PII ng Pranses ay may sariling mga pangangailangan:
- Mga pangalan: Ang mga pangalang Pranses ay gumagamit ng mga accented na titik. Ang isang tool na hindi makita ang mga accent ay makakalimot sa mga entity.
- Mga address: Gumagamit ang mga address ng Quebec ng mga terminong Pranses — Rue, Avenue, Boulevard, Chemin. Ang mga parser ay dapat humawak sa mga ito.
- Mga numero ng RAMQ: Ini-encode ng numero ng kalusugan ng Quebec ang mga inisyal ng apelyido. Ang pagtuklas ay dapat na may kamalayan sa Pranses.
Para sa isang katulad na pananaw, tingnan kung paano hinahawakan ng DPDPA ng India ang multilingual na PII.
Ang Panganib ng EU Adequacy para sa 2026
Ang desisyon ng adequacy ng EU ng Canada ay mula 2001. Ito ang unang isa na ipinagkaloob ng European Commission. Pumasa na ito sa bawat pagsusuri.
Ang pagsusuri para sa 2026 ay naiiba. Dalawang isyu ang nangunguna.
Una: Ang batas sa cybersecurity ng C-26 ng Canada (2024) ay nangangailangan sa mga kritikal na kumpanya na mag-ulat ng mga insidente sa CSE. Ang CSE ay ahensya ng intelligence ng mga signal ng Canada. Susuriin ng Komisyon kung ang access ng CSE sa datos na iyon ay sumasalungat sa GDPR.
Pangalawa: Ang Canada ay nagtatakbo pa rin sa ilalim ng PIPEDA. Nai-flag ng Komisyon ang pagpapatupad ng PIPEDA bilang mahina. Ang CPPA ay hindi pa nasa puwersa.
Kung ang adequacy ay nasuspinde o binawi, ang lahat ng paglipat ng EU-Canada ay dapat lumipat agad sa mga SCC o BCR.
Magsimulang magplano ngayon. Ang paghihintay sa desisyon ay masyadong huli na.
Para sa konteksto kung paano nakaapekto ang panganib ng adequacy sa mga kumpanya, tingnan ang aming gabay sa mga multa ng GDPR.
Minimum na Mga Kinakailangan sa Pagsunod
Para sa mga organisasyong may mga operasyon ng Canada, ang teknikal na baseline ay:
- Pagtuklas ng SIN na may tseke ng Luhn.
- Pagpoproseso ng PII sa Ingles at Pranses na dalawahang wika.
- Pagtuklas ng health card ng Ontario OHIP.
- Pagtuklas ng health card ng Quebec RAMQ.
- Lahat ng 13 format ng lalawigan para sa kumpletong kahandaan ng CPPA.