Kanada'nın gizlilik yasası değişiyor. Gizlilik Komiseri Ofisi (OPC), bugün PIPEDA'yı uygular. Bill C-27, PIPEDA'nın yerini daha güçlü kurallarla alacak. Kanada'nın AB veri aktarım anlaşması da 2026'da gözden geçirilecek. İşte bilmeniz gerekenler.
Kanada'nın Mevcut Gizlilik Yasası
PIPEDA, Kanada'nın özel sektör gizlilik yasası. 2001'den bu yana yürürlükte. Federal düzenlemeli sektörlerdeki şirketleri kapsıyor. Kendi gizlilik yasası olmayan eyaletlerde de uygulanıyor.
Üç eyaletin kendi yasası var: Alberta, British Columbia ve Quebec.
Quebec'in 25. Yasası en sıkı olanı. 2022 ve 2023'te aşamalı olarak yürürlüğe girdi. Gizlilik etki incelemeleri ve adlandırılmış bir gizlilik sorumlusu gerektiriyor. Eski PIPEDA'ya kıyasla AB'nin GDPR'ına çok daha yakın.
OPC, 2024'te 400'den fazla PIPEDA şikâyetini ele aldı. Tim Hortons'a onay almadan konum verisi toplama nedeniyle bağlayıcı emirler verdi. O yıl birkaç sağlık uygulaması operatörü de emir aldı.
Bill C-27: Üç Yeni Yasa
Bill C-27, Parlamentoda ilerlemeye devam ediyor. Üç bölümü var.
Tüketici Gizlilik Koruma Yasası (CPPA) PIPEDA'nın yerini alıyor. Temel değişiklikler:
- Amaç sınırları ve veri azaltma kuralları.
- Güçlendirilmiş rıza kuralları.
- Küresel satışların %3'üne veya 10 milyon Kanada Doları'na kadar cezalar — hangisi daha fazlaysa.
- Veri taşınabilirlik hakları.
- Otomatik kararlar için ifşa kuralları.
Yapay Zeka ve Veri Yasası (AIDA) yapay zeka kuralları ekliyor:
- Yapay zeka sistemleri için risk bazlı kurallar.
- Yüksek etkili yapay zeka için zorunlu risk incelemeleri.
- İnsanları etkileyen yapay zeka için ifşa kuralları.
- Zarar vermeye yönelik yapay zekaya yasak.
Kişisel Bilgi ve Veri Koruma Mahkemesi Yasası yeni bir itiraz organı oluşturuyor. Mevcut Federal Mahkeme sürecinin yerini alıyor.
Kanada'nın diğer gizlilik yasalarıyla karşılaştırmasını görmek için küresel gizlilik uyum rehberi sayfamıza bakın.
Kanada KKB: Neleri Tespit Etmeli
Kanada dosyaları benzersiz kimlik türleri içeriyor. Araçlarınızın hepsini desteklemesi şart.
SIN (Sosyal Sigorta Numarası): Dokuz hane. Format: XXX-XXX-XXX. Luhn kontrolü kullanıyor. SIN, vergi formlarında, maaş kayıtlarında ve yan hak dosyalarında görünüyor. Kanada'nın en hassas kimliği.
Eyalet sağlık kartı numaraları: Kanada'nın 13 eyaleti ve bölgesi var. Her birinin farklı bir formatı kullanıyor. Federal standart yok. Temel formatlar:
- Ontario OHIP: 10 hane artı 2 harfli kod.
- Alberta AHCIP: 9 haneli Kişisel Sağlık Numarası.
- BC Hizmetler Kartı: 10 haneli PHN.
- Quebec RAMQ: 12 karakter — soyadı baş harflerini ve doğum tarihini kodluyor.
Uyumlu bir araç 13 formatın tamamını desteklemek zorunda.
CRA İş Numarası: Dokuz hane. Kanada Gelir İdaresi tarafından veriliyor.
İki Dilli KKB: İngilizce ve Fransızca
Kanada resmi olarak iki dillidir. Federal formlar çoğunlukla her iki dili de aynı sayfada kullanır.
Fransızca KKB'nin kendine özgü ihtiyaçları var:
- İsimler: Fransızca isimler aksan harfleri kullanıyor. Aksanları kaçıran bir araç varlıkları da kaçırır.
- Adresler: Quebec adresleri Fransızca terimler kullanıyor — Rue, Avenue, Boulevard, Chemin. Ayrıştırıcılar bunları işleyebilmeli.
- RAMQ numaraları: Quebec'in sağlık numarası soyadı baş harflerini kodluyor. Tespit Fransızca farkındalığına sahip olmalı.
Emsal bir görüş için Hindistan'ın DPDPA'sının çok dilli KKB'yi nasıl ele aldığına bakın.
2026 AB Yeterlilik Riski
Kanada'nın AB yeterlilik kararı 2001 tarihli. Avrupa Komisyonu'nun verdiği ilk karar buydu. Şimdiye kadar her incelemeden geçti.
2026 incelemesi farklı. İki sorun öne çıkıyor.
Birincisi: Kanada'nın C-26 siber güvenlik yasası (2024), kritik şirketlerin olayları CSE'ye bildirmesini şart koşuyor. CSE, Kanada'nın sinyal istihbarat ajansı. Komisyon, CSE'nin bu verilere erişiminin GDPR ile çelişip çelişmediğini inceleyecek.
İkincisi: Kanada hâlâ PIPEDA kapsamında. Komisyon, PIPEDA'nın uygulamasını yetersiz bulduğunu belirtti. CPPA henüz yürürlükte değil.
Yeterlilik askıya alınır ya da iptal edilirse tüm AB-Kanada aktarımları derhal SCC veya BCR'ye geçmek zorunda.
Şimdiden planlama yapın. Kararı beklemeniz çok geç kalmanıza yol açar.
Yeterliliğin şirketleri nasıl etkilediğine bağlam için GDPR cezaları rehberi sayfamıza bakın.
Minimum Uyum Gereksinimleri
Kanada'da faaliyeti olan kuruluşlar için teknik taban şunlar:
- Luhn kontrollü SIN tespiti.
- İki dilli İngilizce ve Fransızca KKB işleme.
- Ontario OHIP sağlık kartı tespiti.
- Quebec RAMQ sağlık kartı tespiti.
- Tam CPPA hazırlığı için 13 eyalet formatının tamamı.