Законодавство Канади про конфіденційність змінюється. Управління уповноваженого з питань конфіденційності (OPC) наразі забезпечує дотримання PIPEDA. Білль C-27 замінить PIPEDA на суворіші правила. Угода про передачу даних між Канадою та ЄС також перебуває на перегляді у 2026 році. Ось що вам потрібно знати.
Чинне законодавство Канади про конфіденційність
PIPEDA — основний закон Канади про конфіденційність приватного сектору. Він діє з 2001 року. Охоплює компанії в галузях, що регулюються на федеральному рівні. Також поширюється на провінції, що не мають власного законодавства про конфіденційність.
Три провінції мають власні закони: Альберта, Британська Колумбія та Квебек.
Закон 25 Квебеку є найсуворішим. Він набрав чинності поетапно у 2022 та 2023 роках. Вимагає оцінки впливу на конфіденційність та призначення відповідального за конфіденційність. Він набагато ближчий до GDPR ЄС, ніж старий PIPEDA.
У 2024 році OPC розглянуло понад 400 скарг за PIPEDA. Він видав обов'язкові розпорядження проти Tim Hortons за збір даних про місцезнаходження без згоди. Кілька операторів медичних додатків також отримали розпорядження того ж року.
Білль C-27: три нові закони
Білль C-27 проходить через Парламент. Він складається з трьох частин.
Закон про захист конфіденційності споживачів (CPPA) замінює PIPEDA. Ключові зміни:
- Обмеження цілей та правила мінімізації даних.
- Суворіші правила щодо згоди.
- Штрафи до 3% від глобального обороту або CAD $10 млн — залежно від того, що більше.
- Права на перенесення даних.
- Правила розкриття інформації про автоматизовані рішення.
Закон про штучний інтелект і дані (AIDA) додає правила щодо ШІ:
- Правила на основі оцінки ризику для систем ШІ.
- Обов'язкові оцінки ризику для ШІ із значним впливом.
- Правила розкриття інформації про ШІ, що впливає на людей.
- Заборона ШІ, створеного для заподіяння шкоди.
Закон про апеляційний трибунал з персональної інформації та захисту даних створює новий апеляційний орган. Він замінює чинну процедуру через Федеральний суд.
Порівняйте Канаду з іншими законами про конфіденційність у нашому глобальному посібнику з відповідності у сфері конфіденційності.
Канадські ідентифікатори PII: що виявляти
Канадські документи містять унікальні типи ідентифікаторів. Ваш інструмент має підтримувати всі з них.
SIN (Номер соціального страхування): Дев'ять цифр. Формат: XXX-XXX-XXX. Використовує перевірку Луна. SIN фігурує в податкових формах, платіжних документах і заявах на пільги. Це найчутливіший канадський ідентифікатор.
Номери карток провінційного медичного страхування: У Канаді 13 провінцій і територій. Кожна використовує різний формат. Федерального стандарту немає. Ключові формати:
- Онтаріо OHIP: 10 цифр плюс 2-літерний код.
- Альберта AHCIP: 9-значний особистий номер здоров'я.
- Картка послуг Британської Колумбії: 10-значний PHN.
- Квебек RAMQ: 12 символів — містить ініціали прізвища та дату народження.
Сумісний інструмент має підтримувати всі 13 форматів.
Бізнес-номер CRA: Дев'ять цифр. Видається Канадським агентством з доходів.
Двомовний PII: англійська та французька
Канада є офіційно двомовною країною. Федеральні форми часто містять обидві мови на одній сторінці.
Французький PII має власні особливості:
- Імена: Французькі імена використовують літери з діакритичними знаками. Інструмент, що їх пропускає, пропустить сутності.
- Адреси: Квебекські адреси використовують французькі терміни — Rue, Avenue, Boulevard, Chemin. Аналізатори мають їх підтримувати.
- Номери RAMQ: Квебекський номер медичного страхування містить ініціали прізвища. Виявлення має бути чутливим до французької мови.
Для порівняння подивіться, як DPDPA Індії обробляє багатомовний PII.
Ризик рішення ЄС про адекватність у 2026 році
Рішення ЄС про адекватність щодо Канади датується 2001 роком. Це було перше таке рішення, надане Європейською комісією. Воно успішно проходило всі попередні перевірки.
Перевірка 2026 року є особливою. Виділяються два питання.
По-перше: Канадський закон про кібербезпеку C-26 (2024) зобов'язує критично важливі компанії звітувати про інциденти перед CSE. CSE — розвідувальний орган Канади у сфері сигнальної розвідки. Комісія перевірятиме, чи суперечить доступ CSE до цих даних GDPR.
По-друге: Канада все ще функціонує в рамках PIPEDA. Комісія вказала на слабкість правозастосування PIPEDA. CPPA ще не набрав чинності.
Якщо рішення про адекватність буде призупинено або скасовано, всі передачі між ЄС та Канадою мають негайно перейти на SCC або BCR.
Починайте планувати вже зараз. Чекати на рішення — надто пізно.
Про те, як ризик втрати рішення про адекватність відбився на компаніях, читайте в нашому посібнику зі штрафів GDPR.
Мінімальні вимоги відповідності
Для організацій із канадськими операціями технічна основа така:
- Виявлення SIN із перевіркою Луна.
- Двомовна обробка PII англійською та французькою.
- Виявлення картки медичного страхування OHIP (Онтаріо).
- Виявлення картки медичного страхування RAMQ (Квебек).
- Всі 13 провінційних форматів для повної готовності до CPPA.