مشروع القانون C-36 وPPCDA: إعادة البناء الثالثة لقانون الخصوصية الكندي، التي تعيد رسم حدود الامتثال في عصر الذكاء الاصطناعي

في 15 يونيو 2026، قدّمت الحكومة الفيدرالية الكندية مشروع القانون C-36. وإذا أُقرّ، فسيحل قانون حماية الخصوصية وبيانات المستهلكين (Protecting Privacy and Consumer Data Act، PPCDA) محل قانون حماية المعلومات الشخصية والوثائق الإلكترونية (PIPEDA). ووفقًا للنص الرسمي المقدَّم لمشروع القانون وقراءات مكاتب المحاماة، فهذه هي المحاولة الثالثة، وربما الأكثر قوة، التي تقوم بها الحكومة الفيدرالية لتحديث قانون الخصوصية في القطاع الخاص. وهو لا يعدّل القواعد فحسب، بل يعيد بناء الجهة التنظيمية نفسها.

أولًا، الحدث نفسه: ليس تعديلًا للقانون، بل استبدال للهيكل

منذ صدور PIPEDA في عام 2000، ظل طويلًا يعمل وفق نموذج «التوصية—الامتثال»: يحقق مكتب المفوض المعني بالخصوصية في الشكاوى ويقدّم التوصيات، لكنه يفتقر إلى سلطة إصدار أوامر ملزمة وفرض غرامات بصورة مباشرة. ويكمن التغيير الجوهري في PPCDA في تركيز السلطة التنظيمية الخاصة بالخصوصية والسلامة الرقمية في جهة جديدة: المفوضية الكندية للسلامة الرقمية وحماية البيانات (Digital Safety and Data Protection Commission of Canada).

وتخلف هذه المفوضية «مفوضية السلامة الرقمية» التي أنشأها مشروع القانون C-34، قانون وسائل التواصل الاجتماعي الآمنة؛ وقد أُعيدت تسميتها ووُسّعت مسؤولياتها، وحصلت على دور إضافي يتجاوز إنفاذ الخصوصية والسلامة الرقمية. وفيما يتعلق بالإشراف على الخصوصية، ينشئ PPCDA ثلاث جهات:

• المفوض المعني بالخصوصية وبيانات المستهلكين: يحقق في شكاوى الخصوصية ويحلها بصورة غير رسمية، ويبرم اتفاقات امتثال، ويجري عمليات تدقيق، ويصدر إشعارات بالمخالفات؛
• المفوضية: تصدر أوامر ملزمة؛
• دائرة الخصوصية وبيانات المستهلكين: تتولى تسوية المنازعات.

وهذا يختلف بوضوح عن مقاربة مشروع القانون C-27. فقد حاول C-27 أن يترك التحقيق في الشكاوى للمفوض المعني بالخصوصية، وأن ينشئ «محكمة حماية المعلومات الشخصية والبيانات» تتولى العقوبات المالية والأوامر؛ أما PPCDA فلا يسلك مسار فصل السلطات هذا، بل يجعل المفوضية نفسها تجمع بين التحقيق والإنفاذ.

ثانيًا، لماذا الآن: تقاطع ثلاثة مسارات

أولًا، الفجوة في الإنفاذ قائمة منذ زمن طويل. على مدى أكثر من عشرين عامًا، اعتمد إنفاذ الخصوصية في القطاع الخاص الكندي أساسًا على آلية السمعة والامتثال الطوعي، واتسعت تدريجيًا الفجوة بينه وبين صرامة التنظيم لدى الشركاء التجاريين الرئيسيين. وقد أدرج PPCDA صراحةً «احترام التزامات كندا التجارية الدولية» و«دعم النمو الاقتصادي والمنافسة والابتكار في السوق الكندية» ضمن العوامل التي تراعيها المفوضية عند أداء مهامها، ما يشير إلى أن المشرّعين يواجهون ضغطين في الوقت نفسه: فالقواعد الضعيفة جدًا تضر بالمصداقية في تدفق البيانات عبر الحدود، والقواعد المفرطة في الثقل تضغط على الشركات المحلية.ثانيًا، لا تجد حوكمة الذكاء الاصطناعي موضعًا في تشريع مستقل. لم يضع PPCDA قانونًا تنظيميًا منفصلًا للذكاء الاصطناعي، بل أدرج الذكاء الاصطناعي ضمن إطار الخصوصية، وتعامَل معه عبر التزامات الشفافية: فعندما تُستخدم أنظمة اتخاذ القرار الآلي أو الذكاء الاصطناعي لاتخاذ قرار له تأثير قانوني أو كبير على فرد، يجب على المنظمة أن تشرح للفرد كيفية اتخاذ القرار، وما البيانات التي استُخدمت، وما العوامل الرئيسية المعنية. وهذا حل وسط عملي: فلا يُسنّ قانون جديد، بل تُعلّق أولًا التزامات قابلة للتنفيذ على نظام الخصوصية القائم.

ثالثًا، دمج المؤسسات. يتشارك PPCDA وBill C-34 اللجنة نفسها، ما يعني أن كندا تضع حوكمة المنصات، وإنفاذ الخصوصية، وحماية البيانات في وعاء تنظيمي واحد، بدلًا من أن يعمل كل منها بمعزل عن الآخر.

ثالثًا، خمسة محاور رئيسية تستحق الاهتمام على مستوى القواعد

صرامة الإنفاذ. يمكن للجنة أن تصدر أوامر ملزمة، بحد أقصى للغرامة قدره 10 ملايين دولار كندي أو 3% من الإيرادات العالمية (أيهما أعلى). وبالنسبة إلى الجرائم الخطيرة القابلة للملاحقة العامة، مثل انتهاك حماية المبلّغين عن المخالفات، أو عرقلة تحقيقات الخصوصية، أو مخالفة متطلبات الإبلاغ عن خروقات البيانات، يكون الحد الأقصى هو 25 مليون دولار كندي أو 5% من الإيرادات العالمية. كما ينشئ PPCDA حقًا خاصًا برفع الدعاوى: بعد أن يصدر المفوض قرارًا رسميًا بانتهاك، ولم تُبطله محكمة عند الاستئناف، يمكن للمستهلكين المتضررين طلب التعويض عن الخسارة أو الضرر.

تشديد قواعد الموافقة وتوسيع الاستثناءات. يجب أن تكون الموافقة من حيث المبدأ صالحة وصريحة، ولا يجوز الاعتماد على الموافقة الضمنية إلا في الحالات المناسبة. ويجب على المنظمة أن تُبلغ، بلغة واضحة، بالغرض من الجمع، وطريقة الجمع، وطريقة الاستخدام أو الإفصاح، والعواقب التي يمكن توقعها بشكل معقول، والأنواع المحددة للمعلومات المطلوبة، وأسماء أو أنواع الأطراف الثالثة التي قد تتلقى المعلومات. وفي الوقت نفسه، يقدّم PPCDA نوعين جديدين من الاستثناءات: أولهما «الأنشطة التجارية والتوقعات المعقولة»، أي الجمع أو الاستخدام الذي يقع ضمن توقعات الشخص المعقول، ولا يُستخدم للتأثير على سلوك الفرد أو قراره؛ والثاني «المصلحة المشروعة»، بشرط أن تفوق هذه المصلحة الآثار السلبية التي يمكن توقعها بشكل معقول على الفرد، ويجب على المنظمة تحديد المصلحة المشروعة، وإجراء تقييم لأثر الخصوصية، واتخاذ تدابير تخفيف معقولة.

الحد الرسمي بين نزع المعرّفات وإخفاء الهوية. البيانات المجهولة الهوية تُعدّل بشكل دائم بحيث لا يمكن توقع إعادة تحديد الهوية بشكل معقول، وبالتالي تخرج من نطاق اختصاص PPCDA؛ أما البيانات منزوعة المعرّفات فتظل معلومات شخصية. يمكن للمنظمة نزع المعرّفات من المعلومات الشخصية دون موافقة، واستخدام البيانات منزوعة المعرّفات في البحث والتطوير الداخلي، لكن لا يجوز استخدامها لإعادة تحديد هوية الأفراد.

شفافية اتخاذ القرار الآلي. وهذه إحدى الطرق التي يعالج بها PPCDA الذكاء الاصطناعي، وهي أيضًا المرة الأولى التي يفرض فيها قانون الخصوصية الفيدرالي للقطاع الخاص في كندا متطلبات واضحة لقابلية التفسير بشأن اتخاذ القرار الآلي.حقوق البيانات والتدفق العابر للحدود. سيُمنح الأفراد حق طلب التخلص من معلوماتهم الشخصية أو حذفها عند سحب الموافقة أو عندما لا تعود البيانات لازمة، وكذلك حق نقل البيانات الذي يسمح لهم بمطالبة المنظمات بنقل البيانات بأمان إلى منظمة أخرى محددة. وقبل الإفصاح عن المعلومات الشخصية أو نقلها خارج كندا، يجب على المنظمات إجراء تقييم لأثر الخصوصية. وبالإضافة إلى ذلك، يجب على المنظمات إنشاء برنامج لإدارة الخصوصية يشمل تدابير الحماية، وإجراءات التعامل مع طلبات المعلومات ومعالجة الشكاوى، ومتطلبات تدريب الموظفين، وشرحًا للسياسات ذات الصلة.

رابعًا، ماذا يعني ذلك للصناعة الكندية

الأثر الأكثر مباشرة هو إعادة بناء البنية التحتية للامتثال. فبرنامج إدارة الخصوصية، وتقييم أثر الخصوصية، وتقييم المصلحة المشروعة، وعمليات إزالة الهوية، وآلية تفسير اتخاذ القرارات الآلية — هذه ليست التزامات إفصاح لمرة واحدة، بل قدرات دائمة يلزم تضمينها في مسارات المنتجات والهندسة. وبالنسبة للشركات الكبيرة التي لديها فرق قانونية ناضجة، يمثل ذلك تكلفة؛ أما بالنسبة للشركات الناشئة محدودة الموارد، فقد يكون عتبة دخول إلى السوق، أو قد يكون دليل امتثال عند بيع المنتجات للعملاء من الشركات.

ثانيًا، استراتيجية تدفق البيانات. إن تقييم أثر الخصوصية قبل النقل العابر للحدود سيغيّر الطريقة التي تقيّم بها الشركات الكندية خدمات السحابة الأجنبية وخطوط أنابيب البيانات العابرة للحدود. وفي المقابل، فإن الجمع بين حق نقل البيانات وحق الحذف سيضغط على تصميم المنتجات التي تعتمد على الاحتفاظ بالبيانات، لكنه سيخلق أيضًا طلبًا في السوق على أدوات الامتثال وحوكمة البيانات وهندسة الخصوصية.

ثالثًا، المنطقة الرمادية في بيانات تدريب الذكاء الاصطناعي أُضيئت جزئيًا. فالبيانات منزوعة الهوية يمكن استخدامها في البحث والتطوير الداخلي، وهذا ذو دلالة جوهرية للنظام البيئي الكندي للذكاء الاصطناعي؛ لكن الخط الأحمر القائل «بعدم إعادة تحديد الهوية» يرسم أيضًا حدودًا لبناء مجموعات البيانات وإعادة استخدامها.

خامسًا، وضع ذلك في سياق المنافسة التكنولوجية العالمية

من حيث التوجه النظامي، يقترب PPCDA أكثر من النموذج الحديث الذي «تمتلك فيه الهيئات التنظيمية سلطات إصدار أوامر ملزمة وسلطات فرض غرامات»، بدلًا من الإطار التوصوي لقانون PIPEDA؛ وفي الوقت نفسه، لم يسلك مسار التشريع الأوروبي المستقل بشأن الذكاء الاصطناعي، بل أدرج متطلبات الشفافية المتعلقة بالذكاء الاصطناعي داخل قانون الخصوصية. وهذا يشكّل مسارًا وسطًا كنديًا: الاقتراب من معايير عالية في حماية البيانات، والإبقاء على عبء تشريعي مستقل أخف في تنظيم الذكاء الاصطناعي.

والآثار ذات اتجاهين. فبالنسبة إلى الشركات متعددة الجنسيات، قد تتحول كندا من «ولاية قضائية منخفضة الاحتكاك» إلى «ولاية قضائية للامتثال تتطلب نمذجة منفصلة»، وهو ما يزيد التكاليف، لكنه يعزز أيضًا مصداقية الادعاء بأن كندا وجهة بيانات موثوقة. وبالنسبة إلى الشركات المحلية، فإن قدرتها على بناء قدرات الامتثال قبل أن تُفرض عليها عقوبات ستؤثر مباشرة في قدرتها على الاستحواذ على أعمال من أسواق تخضع لتنظيم أكثر صرامة.

سادسًا، المسار المحتمل خلال السنوات الثلاث إلى العشر القادمةلم يدخل مشروع القانون C-36 حيّز النفاذ بعد، ويعتمد شكله النهائي على مداولات البرلمان. ويمكن أن يُتوقع بصورة معقولة عدة اتجاهات: أن تركز اللجنة، في مرحلة تأسيسها الأولى، على الأرجح، على التوجيهات واتفاقات الامتثال، ثم تتحول تدريجياً إلى حالات فرض عقوبات فعلية؛ وأن تظل مسائل التنسيق بين قانون الخصوصية في القطاع الخاص، والقوانين الإقليمية، ونظام الأمن الرقمي في مشروع القانون C-34، قائمة؛ وأن تظهر أولى القضايا المتنازع عليها حول حدود استثناء «المصلحة المشروعة»؛ وأن تتضح معايير إنفاذ التزامات الشفافية المتعلقة بالذكاء الاصطناعي، على الأرجح، عبر الحالات الفردية لا عبر اللوائح التفصيلية.

وعلى نطاق زمني أطول، فإن ما يستحق المراقبة فعلاً هو: هل ستتخذ كندا من PPCDA مرتكزاً طويل الأمد لحوكمة الذكاء الاصطناعي، أم ستضيف فوقه تشريعاً مخصصاً للذكاء الاصطناعي؟ سيحدد هذا الاختيار أين ستستقر كندا في نهاية المطاف بين «اليقين التنظيمي» و«سرعة الابتكار».

الخاتمة: لماذا يكتسي هذا الأمر أهمية استراتيجية بالنسبة إلى صناعة التكنولوجيا الكندية

لا تكمن الأهمية الاستراتيجية في ارتفاع سقف الغرامات أو انخفاضه، بل في أن طبيعة القدرة التنظيمية قد تغيرت. في كندا زمن PIPEDA، كانت حماية الخصوصية علاقة تفاوضية؛ ويحاول PPCDA تحويلها إلى علاقة قانونية قابلة للإنفاذ، ويكتب للمرة الأولى الالتزام بتفسير قرارات الذكاء الاصطناعي ضمن القواعد الفيدرالية للقطاع الخاص.

وبالنسبة إلى صناعة الذكاء الاصطناعي والصناعات الرقمية في كندا، يعني هذا أن أمرين يحدثان في الوقت نفسه: أن يتحول الامتثال من «إقرار لاحق» إلى «جزء من هندسة المنتج»؛ وأن تتحول قدرة حوكمة البيانات من بند كلفة قانونية إلى عنصر تنافسي قد يؤثر في التمويل، وفي مشتريات العملاء من الشركات، وفي التعاون الدولي في مجال البيانات. وفي بيئة تتحرك فيها البيانات عبر الحدود وتُنشر فيها أنظمة الذكاء الاصطناعي بوتيرة أسرع بكثير من الدورة التشريعية، فإن اختيار كندا أن تتولى حوكمة الذكاء الاصطناعي عبر قانون الخصوصية قرار عملي، وهو أيضاً رهان تضع فيه مصداقية نظامها على المحك. ويتوقف نجاحه على ما إذا كان إنفاذ القانون قابلاً للتوقع — وهذا بالضبط هو المتغير الأكثر استحقاقاً للمتابعة المستمرة في السنوات الخمس المقبلة.