Bill C-36: tercer intento de reforma de privacidad en Canadá, las consideraciones estratégicas tras la ausencia de la IA

El 15 de junio de 2026, el gobierno federal de Canadá volvió a poner en marcha la reforma de la ley de privacidad del sector privado. El proyecto de ley C-36, presentado por el recién creado "Ministro de Inteligencia Artificial e Innovación Digital", Evan Solomon, propone sustituir la PIPEDA, con más de dos décadas de historia, por la Ley de Protección de la Privacidad y los Datos del Consumidor (PPCDA). Este es el tercer intento en seis años, después del C-11 de 2020 y el C-27 de 2022. Los dos proyectos anteriores fracasaron por no completar su trámite en el Parlamento. En apariencia, se trata simplemente de un esfuerzo legislativo repetido, pero un análisis profundo del contenido y el momento del proyecto de ley C-36 revela que Canadá está ajustando su estrategia general de gobernanza digital: el desacoplamiento de la reforma de la privacidad y la regulación de la IA, la consolidación de las competencias regulatorias y la apertura de excepciones para los datos de entrenamiento de la IA muestran que Ottawa intenta encontrar un nuevo equilibrio entre la protección de los ciudadanos y el control de la carga regulatoria.

Seis años, tres intentos: ¿por qué es tan difícil la reforma?

La reforma de la ley de privacidad en Canadá avanza con dificultad. Desde la entrada en vigor de la PIPEDA, su marco básico no ha cambiado, mientras que la economía digital ha cambiado radicalmente. La implementación del GDPR y la aparición de la Ley 25 de Quebec han ejercido presión sobre el nivel federal para adoptar estándares unificados. Sin embargo, el fracaso del C-11 y del C-27 no se debió a la falta de consenso, sino al alcance excesivo de la legislación y a la falta de sincronía con el ciclo político. El C-27, en particular, vinculaba la reforma de la privacidad con la regulación de la IA (AIDA), y la controversia en torno a la AIDA lastró todo el proyecto. La industria, el mundo académico y la sociedad civil no coincidían sobre la severidad y los límites jurisdiccionales de la regulación de la IA, lo que paralizó el proyecto en la fase de comisión. Ahora, el proyecto de ley C-36 ha eliminado por completo la IA y se centra únicamente en la privacidad, lo que es claramente una lección aprendida del fracaso.

¿Qué hay de diferente esta vez? Ausencia de la IA y nuevo organismo regulador

La diferencia más notable entre el proyecto de ley C-36 y el C-27 es que ya no incluye una ley de IA independiente. Esto no significa que la IA no sea importante, sino que el gobierno ha optado por abordarla por separado en la Estrategia Nacional de IA publicada el 4 de junio, en la que se menciona explícitamente la necesidad de modernizar la ley de privacidad, pero se guarda silencio sobre la legislación de IA. Esto implica que Canadá no promulgará a corto plazo una regulación integral de IA similar a la Ley de Inteligencia Artificial de la UE, sino que dependerá de las leyes existentes, incluida la próxima ley de privacidad actualizada, para hacer frente a los riesgos de la IA. Otro cambio importante es la integración de la estructura regulatoria. El proyecto de ley C-36 propone transferir la supervisión de la privacidad del sector privado desde la Oficina del Comisionado de Privacidad (OPC) a un nuevo organismo aún no creado: la "Comisión de Seguridad Digital y Protección de Datos" (Digital Safety and Data Protection Commission). Esta comisión surge del proyecto de ley sobre daños en línea C-34, que está en examen, lo que significa que la privacidad y la protección de datos personales se fusionarán con la regulación de la seguridad en línea. Este modelo de "una comisión con múltiples competencias" es el primero en Canadá y tiene como objetivo reducir la fragmentación regulatoria, pero también plantea preocupaciones sobre la concentración de poder.

Impacto en la industria: ajustes de cumplimiento y excepción para el entrenamiento de IAPara las empresas, la PPCDA conserva la mayoría de las cláusulas centrales del borrador anterior: basada en el consentimiento, pero añade excepciones como "actividades comerciales" e "interés legítimo"; distingue entre seudonimización y anonimización, la información anonimizada no está sujeta a la ley, y los estándares se han flexibilizado; las notificaciones de incumplimiento mantienen el estándar de "riesgo real de daño significativo". El cambio más llamativo es que se permite explícitamente, bajo ciertas condiciones, entrenar modelos de IA basados en información disponible públicamente sin necesidad de consentimiento. Esta excepción responde directamente a las demandas de la industria de la IA en cuanto a la obtención de datos. Por supuesto, esta excepción no es ilimitada: debe ajustarse a las expectativas de una persona razonable y no puede utilizarse para influir en el comportamiento o las decisiones de los individuos. Esto significa que las empresas de IA pueden usar en cierta medida los datos públicos en línea libremente, pero aún deben manejar la información sensible con cuidado. Al mismo tiempo, dado que las leyes de privacidad provinciales canadienses siguen existiendo, tras la aprobación de la ley federal, las empresas se enfrentarán a un rompecabezas de cumplimiento más complejo.

El significado para Canadá: el rompecabezas de la estrategia digital

Presentar el proyecto de ley de reforma de privacidad dos semanas después del lanzamiento de la estrategia de IA es un momento sugerente. Una ley de privacidad moderna y predecible es la base de la competitividad nacional en IA. Canadá tiene un sólido ecosistema de investigación en IA, pero su comercialización se ha visto limitada por la insuficiente fluidez de los datos y la ambigüedad de las reglas. Si se aprueba el Proyecto de Ley C-36, proporcionará un marco federal unificado, especialmente la excepción para el entrenamiento de IA, que podría atraer a más empresas a mantener el procesamiento de datos en Canadá. Además, fusionar la supervisión de la privacidad con la seguridad digital refleja la intención del gobierno de abordar los riesgos digitales con un enfoque de "ventanilla única" y mejorar la eficiencia de la aplicación. Sin embargo, esto también podría llevar a que la protección de la privacidad se margine en el discurso de la seguridad como prioridad, algo que merece atención continua.

Tendencias globales y perspectivas futuras

Canadá no es un caso aislado. La regulación global de la privacidad se está moviendo hacia la coexistencia de "europeización" y "localización". El RGPD se ha convertido en el punto de referencia de facto, pero los países realizan modificaciones adaptativas en los detalles. La introducción por parte de Canadá de la excepción de interés legítimo al estilo del RGPD, sin copiarla por completo, refleja su pragmatismo. Al mismo tiempo, la regulación de la IA muestra una tendencia a pasar de una legislación integral a una regulación sectorial integrada. Estados Unidos aún carece de una legislación unificada de privacidad a nivel federal, mientras que el marco regulatorio de IA de la Unión Europea acaba de implementarse. Canadá opta por abordar primero la privacidad y luego la IA, evitando que un "súper proyecto de ley" masivo vuelva a caer en un punto muerto. En los próximos 3 a 10 años, podemos esperar que muchos detalles de la PPCDA se dejen para regulaciones posteriores, como el marco de movilidad de datos y las reglas de transferencia transfronteriza, que determinarán si Canadá puede mantener una "decisión de adecuación" con la UE y, por lo tanto, sostener el flujo transfronterizo de datos. El papel de la nueva comisión reguladora también se irá aclarando gradualmente; su intensidad de aplicación y su elaboración de reglas darán forma a la trayectoria a largo plazo del mercado digital canadiense.

Tendencias a largo plazo: el punto de apoyo estratégico de la gobernanza de datosEl próximo campo de batalla de la reforma de la privacidad no está en el Capitolio, sino en el poder normativo de las agencias reguladoras. El proyecto de ley C-36 es en sí mismo un marco; lo que realmente afecta a la industria es la normativa posterior. Las empresas deberían abandonar la mentalidad de «esperar» y ajustar de antemano sus sistemas de cumplimiento de datos conforme a los requisitos del borrador de la PPCDA, especialmente en la gestión de la desidentificación y de los datos de entrenamiento de la IA. Para Canadá, el éxito o el fracaso de esta legislación no solo atañe a la privacidad, sino también a si el país puede establecer una ventaja en materia de datos en la carrera mundial de la IA. Si Canadá logra crear un sistema de gobernanza de datos que proteja los derechos de los ciudadanos y, al mismo tiempo, impulse la innovación, se convertirá en un «puente de reglas» en la era digital —ahí reside precisamente su importancia estratégica.