مشروع القانون C-36 و PPCDA: كندا تعيد كتابة قانون الخصوصية للمرة الثالثة، وحوكمة بيانات الذكاء الاصطناعي تُوضع ضمن إطار حماية المستهلك.

مشروع القانون C-36 و PPCDA: كندا تعيد كتابة قانون الخصوصية للمرة الثالثة، وحوكمة بيانات الذكاء الاصطناعي تُوضع داخل إطار حماية المستهلك

آخر إعادة هيكلة جوهرية لقانون الخصوصية الفيدرالي الكندي اكتملت قبل أن تُعيد الهواتف الذكية واقتصاد البيانات كتابة الإنترنت بالكامل. وبعد أكثر من عشرين عامًا، تحاول الحكومة الفيدرالية مرة أخرى استبداله — وهذه هي المحاولة الثالثة.

أولًا، الحدث: ليس استبدال قانون، بل إعادة بناء بنية الإنفاذ

في 15 يونيو 2026، قدّمت الحكومة الكندية مشروع القانون C-36. وإذا أُقرّ، فسيحلّ «قانون حماية الخصوصية وبيانات المستهلك» (Protecting Privacy and Consumer Data Act، PPCDA) محلّ «قانون حماية المعلومات الشخصية والوثائق الإلكترونية» (PIPEDA).

ظاهريًا، هذا استبدال قانوني؛ لكنه في الجوهر يتركّز في ثلاثة مواضع.

أولًا، تتحوّل سلطة الإنفاذ من «التوصية» إلى «الأمر». في ظل إطار PIPEDA، كان مكتب مفوض الخصوصية في كندا يعزّز الامتثال عبر التحقيقات والتوصيات. أما PPCDA فيضع السلطة التنظيمية لشؤون الخصوصية والأمن الرقمي بيد هيئة جديدة — الهيئة الكندية للأمن الرقمي وحماية البيانات — وتضم ثلاثة كيانات وظيفية:

• مفوض الخصوصية وبيانات المستهلك: يحقق ويسوّي الشكاوى بطرق غير رسمية، ويعقد اتفاقيات الامتثال، ويجري عمليات تدقيق، ويصدر إشعارات عدم الامتثال؛
• اللجنة: تصدر أوامر ملزمة؛
• محكمة الخصوصية وبيانات المستهلك: تتولى حلّ النزاعات.

ثانيًا، تُستحدث العقوبات وحق التقاضي في الوقت نفسه. يمكن للجنة أن تفرض على المنظمات غير الممتثلة غرامة تصل إلى 10 ملايين دولار كندي أو 3% من الإيرادات العالمية (أيّهما أعلى)؛ وبالنسبة إلى الجرائم الجسيمة الموجبة للاتهام — مثل انتهاك حماية المبلّغين، أو عرقلة التحقيقات المتعلقة بالخصوصية، أو مخالفة متطلبات الإبلاغ عن تسرب البيانات — يرتفع حدّ الغرامة إلى 25 مليون دولار كندي أو 5% من الإيرادات العالمية. وبالإضافة إلى ذلك، متى أصدر المفوض قرارًا رسميًا بعدم الامتثال ولم يُنقض أمام المحكمة عند الاستئناف، يحصل المستهلكون المتضررون على حق التقاضي الخاص للمطالبة بالتعويض عن الخسائر أو الأضرار.

ثالثًا، يتحوّل الامتثال من «المبادئ» إلى «الوثائق». يطلب PPCDA من المنظمات إنشاء برنامج لإدارة الخصوصية، يحدد تدابير حماية المعلومات الشخصية، وإجراءات معالجة طلبات المعلومات والشكاوى، ومتطلبات تدريب الموظفين، وبيانًا بالسياسات والإجراءات ذات الصلة. كما تُشدَّد قواعد الموافقة في الوقت نفسه: يجب أن تكون الموافقة صالحة، ومن حيث المبدأ صريحة، ولا يُستثنى من ذلك إلا عندما يكون الاعتماد على الموافقة الضمنية ملائمًا؛ وعلى المنظمات أن تُخطر، بلغة واضحة، بالأغراض التي تُجمع من أجلها المعلومات وطريقة الجمع والعواقب التي يمكن توقعها بشكل معقول، وبالأنواع المحددة للمعلومات المطلوبة، وبأسماء أو أنواع الأطراف الثالثة التي قد تتلقى المعلومات.

ثانيًا، لماذا الآن: اختيار المسار خلف ثلاث محاولات

لفهم C-36، لا بد من إعادته إلى تسلسل التشريعات.Bill C-27 كان قد اقترح إنشاء “محكمة حماية المعلومات الشخصية والبيانات”، تناط بها سلطة فرض الغرامات والأوامر، بينما يبقى التحقيق من اختصاص مفوض الخصوصية — وهذا نموذج “الفصل بين التحقيق والقرار”، مصحوباً بتشريع مستقل للذكاء الاصطناعي. ولم يكتمل هذا المسار.

أما Bill C-34 «قانون السلامة الرقمية على وسائل التواصل الاجتماعي» فقد أنشأ لجنة السلامة الرقمية، ووضع «قانون السلامة الرقمية» و«قانون لجنة السلامة الرقمية الكندية».

نهج C-36 يقوم على دمج الخطين السابقين: يرث الهيئة المنشأة بموجب C-34، ويعيد تسميتها إلى لجنة السلامة الرقمية وحماية البيانات، ويضيف إليها وظيفة إنفاذ الخصوصية؛ وفي الوقت نفسه يتخلى عن نموذج الفصل في C-27، ولم يعد يتضمن تشريعاً تنظيمياً مستقلاً للذكاء الاصطناعي، ويتجه بدلاً من ذلك إلى معالجة القرارات الآلية من خلال التزامات الشفافية.

اتجاه هذا الاختيار واضح جداً: اختارت كندا “دمج الهيئات التنظيمية + استيعاب الذكاء الاصطناعي ضمن إطار الخصوصية القائم”، بدلاً من التشريع الرقمي المركزي على النمط الأوروبي، وليس الإنفاذ القطاعي المجزأ على النمط الأمريكي.

كما يقدم PPCDA قائمة غير حصرية بالعوامل التي يجب على اللجنة موازنتها عند أداء مهامها، تشمل: أغراض القانون، وحجم المنظمة وإيراداتها، وكمية المعلومات الشخصية التي تسيطر عليها المنظمة وحساسيتها، والمصلحة الفضلى للطفل، وأهمية احترام التزامات كندا التجارية الدولية، ودعم نمو الاقتصاد السوقي الكندي، وأهمية المنافسة والابتكار، وأي مسائل أخرى تتعلق بالمصلحة العامة.

ثالثاً: ماذا يعني ذلك للصناعة الكندية

سترتفع تكاليف الامتثال هيكلياً، لكن توزيعها غير متساوٍ. ستتحول خطط إدارة الخصوصية، وتقييمات أثر الخصوصية قبل النقل عبر الحدود، وإدارة الموافقة، والمخرجات القابلة للتفسير للقرارات الآلية، إلى تكاليف ثابتة. بالنسبة للشركات الكبيرة التي لديها فرق قانونية وفرق خصوصية، فهذه إعادة هندسة للعمليات؛ وبالنسبة للشركات الصغيرة والمتوسطة والشركات الناشئة في مراحلها المبكرة، قد تشكل متغيراً في وتيرة المنتج ووتيرة التمويل. يُدرج القانون “حجم المنظمة وإيراداتها” و“كمية المعلومات وحساسيتها” في اعتبارات الإنفاذ، وهو ما يعني الاعتراف على مستوى النص القانوني بضرورة الإنفاذ المتمايز — وهذا يشكل حماية للشركات الصغيرة والمتوسطة، لكنه يمنح سلطة تقديرية للهيئات التنظيمية.

إعادة استخدام البيانات تحصل على نافذة ضيقة. يميز PPCDA رسمياً بين “البيانات منزوعة المعرف” و“البيانات المجهولة”: البيانات المجهولة، بعد تعديل دائم وعدم وجود خطر معقول متوقع لإعادة التعريف، تخرج من نطاق تطبيق القانون؛ أما البيانات منزوعة المعرف فلا تزال معلومات شخصية، لكن يمكن للمنظمات استخدامها للبحث والتطوير الداخلي دون موافقة الأفراد، مع منع صريح لاستخدام البيانات منزوعة المعرف لإعادة تعريف الأفراد. بالنسبة لفرق الذكاء الاصطناعي الكندية التي تعتمد على تدريب البيانات وتكرار النماذج، قد تكون أهمية هذا الخط الفاصل أعلى من أي بند غرامة.

أصبحت قابلية نقل البيانات أداة تنافسية. سيكون للأفراد الحق في مطالبة المنظمات بنقل بياناتهم بأمان مباشرة إلى منظمة أخرى معينة. عادةً ما يُنظر إلى أطر “حركية البيانات” هذه دولياً على أنها وسيلة لتقليل تكاليف التحول وإضعاف تأثير القفل الذي تمارسه المنصات القائمة، ويتوقف تأثيرها الفعلي على معايير التشغيل البيني وليس على الحق نفسه.حق الحذف يسد فجوة في الأدوات. يمنح قانون PIPEDA الأفراد حق الوصول إلى البيانات والطعن في دقتها، لكنه يفتقر إلى أداة حذف واضحة. ويسمح PPCDA بطلب التخلص من المعلومات الشخصية أو حذفها عند سحب الموافقة أو عندما لا تصبح البيانات ضرورية.

التدفقات العابرة للحدود تُخضَع لإجراء مسبق. قبل الإفصاح عن المعلومات الشخصية أو نقلها إلى خارج كندا، يجب على المنظمات إكمال تقييم أثر الخصوصية. وبالنسبة للشركات الكندية التي تستخدم بكثافة البنية التحتية السحابية ومراكز البيانات الأمريكية، يُعد هذا إجراء امتثال روتينيًا.

رابعًا: ماذا يعني ذلك للمنافسة التكنولوجية العالمية

عند وضع PPCDA في الإطار الدولي، تصبح ثلاثة اتجاهات أكثر وضوحًا.

أولًا، إنفاذ الخصوصية العالمي يتحول من «الموافقة المستنيرة» إلى «المساءلة + المخاطر». لم يعد محور الامتثال الحصول على موافقة واحدة، بل الإثبات المستمر لقدرة المنظمة على إدارة المخاطر — وخطة إدارة الخصوصية هي نتاج هذا النهج.

ثانيًا، قابلية تفسير الذكاء الاصطناعي تُدمج في قانون الخصوصية، بدلًا من تركها لتشريع متخصص. يشترط PPCDA على المنظمات التي تستخدم أنظمة قرار آلية أو الذكاء الاصطناعي لاتخاذ قرارات ذات تأثير قانوني أو جوهري على الأفراد أن تشرح للأفراد كيف اتُّخذ القرار، وما البيانات التي استُخدمت، وما العوامل الرئيسية المعنية. وهذا شكل من أشكال الحوكمة «المدمجة»: فلا حاجة إلى انتظار قانون للذكاء الاصطناعي، بل يُغطى أولًا أخطر المخاطر المباشرة على الحقوق الفردية عبر إطار الخصوصية القائم. والثمن هو أن نطاق التطبيق ضيق نسبيًا — فهو يقيّد التفسير الخارجي للقرار، لا تدريب النموذج أو مصادر البيانات أو المخاطر النظامية.

ثالثًا، ربط الغرامات بالإيرادات العالمية أصبح ممارسة معيارية. وتقع فئتا 3% و5% في PPCDA في المسار المنطقي نفسه الذي يقوم عليه تصميم العقوبات في اللائحة العامة لحماية البيانات في الاتحاد الأوروبي (GDPR)، التي تحدد سقفًا بنسبة من حجم الأعمال السنوي العالمي. وجوهر هذا النوع من التصميم هو مواءمة قوة ردع الإنفاذ مع الحجم العالمي للشركة، لا مع حجم السوق المحلية.

خامسًا: ما قد يحدث في السنوات 3–10 المقبلة

المدى القصير (1–3 سنوات): لا يزال مشروع القانون بحاجة إلى المرور بإجراءات البرلمان، ولم يدخل حيز التنفيذ بعد. ونافذة المراقبة الحقيقية هي أولى إجراءات الإنفاذ بعد سريانه — كيف ستستخدم اللجنة سلطة الأوامر، وكيف ستحدد معيار «الغلبة» في استثناء «المصلحة المشروعة»، وكيف ستتعامل مع تقييمات أثر الخصوصية المعتمدة على هذا الاستثناء؛ فذلك سيحدد ما إذا كان هذا الإطار سيبقى على الورق أم سيشكّل سوابق.

المدى المتوسط (3–5 سنوات): ستتحول مساحة التفسير المتاحة لالتزام شرح القرارات الآلية إلى محط تركيز. ما المقصود بـ«التأثير القانوني أو الجوهري»؟ وكيف يُرسم الخط الفاصل بين أنظمة التوصية، وأنظمة التسعير، والفرز في التوظيف، وتقييم الائتمان؟ وبمجرد أن تُحدَّد هذه الحدود عبر مسار الإنفاذ أو القضاء، ستحدد مباشرةً القيود التصميمية لمنتجات الذكاء الاصطناعي الكندية.الأجل الطويل (5–10 سنوات): سيبقى توتران بنيويان قائمين. الأول هو تراكب قوانين الخصوصية الفيدرالية والمقاطعية — فمشروع القانون رقم 25 في كيبيك، وقانون FIPPA في كولومبيا البريطانية، وأنظمة المقاطعات الأخرى تسير بالتوازي مع الإطار الفيدرالي، ما يعني أن الشركات العاملة عبر المقاطعات ستواجه مجموعات متعددة من القواعد. والثاني هو ما إذا كان التشريع المخصص للذكاء الاصطناعي لا يزال ضروريًا — فبعد أن اضطلعت قوانين الخصوصية بجزء من وظيفة الشفافية في الذكاء الاصطناعي، فإن ما إذا كانت كندا ستحاول مرة أخرى، كما في C-27، تشريعًا مستقلًا للذكاء الاصطناعي، أم ستحافظ على هذا المسار المدمج على المدى الطويل، سيؤثر في موقفها ومصداقيتها في مفاوضات حوكمة الذكاء الاصطناعي الدولية.

الخاتمة: الاتجاهات طويلة الأجل التي تستحق فعلًا متابعة مستمرة

جوهر مشروع القانون C-36 وPPCDA ليس زيادة أو نقصانًا في عبء الامتثال، بل هو أن كندا تمهّد البنية التحتية التنظيمية الأساسية لاقتصاد قائم على البيانات.

تكمن الأهمية الاستراتيجية لهذا الأمر بالنسبة لصناعة التكنولوجيا الكندية مستقبلًا في ما يلي: كندا تعرّف مستوى حوكمتها الرقمية بـ«قدرة الإنفاذ»، لا بـ«كمّ التشريعات». على مدى العشرين عامًا الماضية، كان يُنظر إلى PIPEDA على نطاق واسع بوصفه إطارًا بلا أسنان؛ إذ يصعب أن يشكّل الامتثال الاستشاري رادعًا، كما يصعب أن يوفّر ورقة مساومة في مفاوضات التشغيل البيني الدولية. ويجمع PPCDA التحقيقات والأوامر والعقوبات وحق التقاضي الخاص في يد وكالة واحدة، في محاولة لتغيير هذه الصورة.

لكن المتغير الذي يحدد النجاح حقًا ليس في نص القانون، بل في سؤالين لم تتم الإجابة عنهما بعد: هل تستطيع الجهة التنظيمية بناء قدرات متخصصة تواكب وتيرة تطور التقنية؛ وهل ستُفسَّر في النهاية هذه البوابة الضيقة، أي «إمكانية استخدام البيانات منزوعة المعرّفات في البحث والتطوير الداخلي»، بوصفها قناة مشروعة لبيانات تدريب الذكاء الاصطناعي، أم بوصفها استثناءً يُضيّق على أساس كل حالة على حدة.

إذا تحقق الأول، فإن كندا تكسب في المنافسة العالمية في الذكاء الاصطناعي أصلًا مُبخَّسًا بقيمته — مجموعة قواعد متوقعة لاستخدام البيانات قائمة على المخاطر؛ وإذا جرى تضييق الخيار الثاني، فستُضطر الشركات إلى نقل مراحل التدريب والاستدلال خارج كندا، وقد يصبح تحديث قانون الخصوصية بدلًا من ذلك قوة دفع لنزوح الصناعة إلى الخارج.

وهذا، بالتحديد، هو الواجب المنزلي الكندي الأجدر بالمتابعة خلال العقد المقبل.