Proyecto de Ley C-36 y la PPCDA: Canadá reescribe por tercera vez su ley de privacidad, y la gobernanza de datos de la IA queda encuadrada en el marco de protección al consumidor

Bill C-36 y la PPCDA: Canadá reescribe por tercera vez la ley de privacidad y la gobernanza de datos de IA queda incluida en el marco de protección al consumidor

La última reestructuración sustantiva de la ley federal de privacidad de Canadá se completó antes de que los teléfonos inteligentes y la economía de los datos reescribieran por completo internet. Más de veinte años después, el gobierno federal vuelve a intentar reemplazarla; ya es el tercer intento.

I. El acontecimiento: no se trata de cambiar una ley, sino de reconstruir la arquitectura de aplicación

El 15 de junio de 2026, el Gobierno de Canadá presentó el Bill C-36. Si se aprueba, sustituirá la Ley de Protección de Información Personal y Documentos Electrónicos (PIPEDA) por la Ley de Protección de la Privacidad y los Datos de los Consumidores (Protecting Privacy and Consumer Data Act, PPCDA).

A primera vista, se trata de una sustitución legal; en esencia, los cambios se concentran en tres puntos.

Primero, la potestad de aplicación pasa de la "recomendación" a la "orden". En el marco de la PIPEDA, la Oficina del Comisionado de Privacidad de Canadá promovía el cumplimiento mediante investigaciones y recomendaciones. La PPCDA, en cambio, concentra la autoridad regulatoria en materia de privacidad y seguridad digital en un nuevo organismo: la Comisión Canadiense de Seguridad Digital y Protección de Datos, que cuenta con tres entidades funcionales:

• Comisionado de Privacidad y Datos de los Consumidores: investiga quejas y las resuelve de manera informal, celebra acuerdos de cumplimiento, realiza auditorías y emite notificaciones de incumplimiento;
• Comisión: emite órdenes vinculantes;
• Tribunal de Privacidad y Datos de los Consumidores: se encarga de la resolución de controversias.

Segundo, las sanciones y el derecho de acción privada se introducen al mismo tiempo. La Comisión podrá imponer a las organizaciones incumplidoras multas de hasta 10 millones de dólares canadienses o el 3 % de los ingresos globales (el que sea mayor); para delitos graves perseguibles por acusación —por ejemplo, incumplir la protección de denunciantes, obstaculizar una investigación de privacidad o incumplir los requisitos de notificación de brechas de datos— el límite máximo de la multa se eleva a 25 millones de dólares canadienses o el 5 % de los ingresos globales. Además, siempre que el Comisionado emita una determinación formal de incumplimiento y esta no sea revocada mediante apelación judicial, los consumidores afectados obtienen un derecho de acción privada para reclamar por pérdidas o daños.

Tercero, el cumplimiento pasa de los "principios" a los "documentos". La PPCDA exige que las organizaciones establezcan un plan de gestión de la privacidad que especifique las medidas de protección de la información personal, los procesos para atender solicitudes de información y quejas, los requisitos de capacitación del personal, así como una descripción de las políticas y procedimientos correspondientes. Las reglas sobre el consentimiento también se endurecen: el consentimiento debe ser válido y, en principio, expreso, y solo puede exceptuarse cuando sea apropiado basarse en el consentimiento tácito; las organizaciones deben informar en lenguaje claro el propósito y la forma de la recolección, las consecuencias razonablemente previsibles, los tipos específicos de información que se busca recopilar y el nombre o tipo de terceros que podrían recibir la información.

II. Por qué ahora: la elección de rumbo detrás de tres intentos

Para entender el C-36, hay que situarlo de nuevo en la secuencia legislativa.El proyecto de ley C-27 propuso crear el “Tribunal de Protección de Información Personal y Datos”, entregaba al tribunal la facultad de imponer multas y dictar órdenes, y dejaba la investigación en manos del Comisionado de Privacidad —un modelo de “separación entre investigación y adjudicación”, acompañado de legislación independiente sobre IA. Ese camino no llegó a completarse.

El proyecto de ley C-34, la Ley de Redes Sociales Seguras, estableció a su vez la Comisión de Seguridad Digital y dio lugar a la Ley de Seguridad Digital y la Ley de la Comisión de Seguridad Digital de Canadá.

El enfoque del C-36 combina los dos hilos anteriores: retoma el organismo del C-34, lo renombra como Comisión de Seguridad Digital y Protección de Datos y le añade funciones de aplicación en materia de privacidad; al mismo tiempo que abandona el modelo de separación del C-27 y ya no incluye legislación independiente sobre regulación de la IA, y, en su lugar, aborda la toma de decisiones automatizada mediante obligaciones de transparencia.

La orientación de esta elección es clara: Canadá opta por la “integración de los organismos reguladores + absorber la IA dentro del marco de privacidad existente”, y no por una legislación digital centralizada al estilo europeo, ni por una aplicación descentralizada por sectores al estilo estadounidense.

La PPCDA también ofrece una lista no exhaustiva de factores que la Comisión debe sopesar al ejercer sus funciones, entre ellos: los fines de la ley, el tamaño y los ingresos de la organización, la cantidad y sensibilidad de la información personal que controla la organización, el interés superior del niño, la importancia de respetar las obligaciones de comercio internacional de Canadá, el apoyo al crecimiento de la economía de mercado canadiense, la importancia de la competencia y la innovación, y cualquier otro asunto de interés público.

III. Qué significa para la industria canadiense

Los costos de cumplimiento aumentarán de forma estructural, pero con una distribución desigual. Los programas de gestión de la privacidad, las evaluaciones de impacto sobre la privacidad previas a las transferencias transfronterizas, la gestión del consentimiento y los resultados explicables de la toma de decisiones automatizada se traducirán en costos fijos. Para las grandes empresas con equipos jurídicos y de privacidad, esto supone una transformación de procesos; para las pymes y las startups en etapa temprana, puede ser una variable en el ritmo de producto y de financiación. El proyecto de ley incorpora “el tamaño y los ingresos de la organización” y “la cantidad y sensibilidad de la información” entre las consideraciones de aplicación, lo que equivale a reconocer, en el texto legal, la necesidad de una aplicación diferenciada; esto es a la vez un amortiguador para las pymes y otorga discrecionalidad a las autoridades reguladoras.

La reutilización de datos obtiene una vía estrecha. La PPCDA distingue formalmente entre “datos desidentificados” y “datos anonimizados”: los datos anonimizados, una vez modificados de forma permanente y cuando ya no existe un riesgo de reidentificación razonablemente previsible, quedan fuera del ámbito de aplicación de la ley; los datos desidentificados siguen siendo información personal, pero las organizaciones pueden utilizarlos para investigación y desarrollo internos sin el consentimiento de la persona, y se prohíbe explícitamente usarlos para reidentificar a personas. Para los equipos canadienses de IA que dependen del entrenamiento con datos y de la iteración de modelos, esta línea divisoria puede ser más importante que cualquier cláusula de multas.

La portabilidad de datos se convierte en una herramienta de competencia. Las personas tendrán derecho a exigir que una organización transfiera sus datos de forma segura y directa a otra organización designada. Este tipo de marco de “movilidad de datos” suele considerarse internacionalmente un medio para reducir los costos de cambio y debilitar el efecto de bloqueo de las plataformas existentes; su efecto real depende de los estándares de interoperabilidad y no del derecho en sí.El derecho de eliminación cierra la brecha de herramientas. PIPEDA otorga a las personas el derecho a acceder a sus datos y a cuestionar su exactitud, pero carece de una herramienta clara de eliminación. La PPCDA permite solicitar la disposición o eliminación de información personal cuando se retira el consentimiento o cuando los datos ya no son necesarios.

A los flujos transfronterizos de datos se les añade un procedimiento previo. Las organizaciones deben completar una evaluación de impacto sobre la privacidad antes de divulgar o transferir información personal fuera de Canadá. Para las empresas canadienses que utilizan intensivamente infraestructura de nube y centros de datos estadounidenses, esta es una acción de cumplimiento habitual.

IV. Qué significa para la competencia tecnológica global

Si se sitúa la PPCDA en el sistema de coordenadas internacional, tres tendencias se vuelven más claras.

Primero, la aplicación de las normas de privacidad a nivel global está pasando del “consentimiento informado” a la “responsabilidad + riesgo”. El centro del cumplimiento ya no es obtener un consentimiento único, sino demostrar de forma continua que la organización tiene capacidad para gestionar riesgos——el plan de gestión de privacidad es producto de ese enfoque.

Segundo, la explicabilidad de la IA se está incorporando a la legislación de privacidad, en lugar de reservarse a una legislación específica. La PPCDA exige que las organizaciones que utilicen sistemas automatizados de toma de decisiones o IA para tomar decisiones con efectos legales o significativos sobre las personas expliquen a estas cómo se tomó la decisión, qué datos se utilizaron y qué factores principales intervinieron. Se trata de una gobernanza “integrada”: no hay que esperar una ley de IA; primero se cubren los riesgos más directos para los derechos individuales con el marco de privacidad existente. El costo es un ámbito de aplicación más bien estrecho——lo que regula es la explicación externa de la decisión, no el entrenamiento del modelo, el origen de los datos o los riesgos sistémicos.

Tercero, vincular las multas a los ingresos globales ya es una práctica de referencia. Los dos tramos del 3 % y el 5 % de la PPCDA se sitúan en la misma lógica que el diseño de sanciones del Reglamento General de Protección de Datos (GDPR) de la Unión Europea, que fija como límite un porcentaje de la facturación anual global. La esencia de este tipo de diseño es alinear la capacidad disuasoria de la aplicación de la ley con la escala global de las empresas, y no con el tamaño de su mercado local.

V. Qué puede ocurrir en los próximos 3–10 años

Corto plazo (1–3 años): el proyecto de ley aún debe pasar por el procedimiento parlamentario y todavía no ha entrado en vigor. La verdadera ventana de observación son las primeras acciones de aplicación tras su entrada en vigor: el modo en que la comisión use sus facultades para emitir órdenes, defina el criterio “preponderante” dentro de la excepción de “interés legítimo” y trate las evaluaciones de impacto sobre la privacidad que dependan de esa excepción determinará si este marco se queda en el papel o crea jurisprudencia.

Medio plazo (3–5 años): el margen de interpretación de la obligación de explicar las decisiones automatizadas se convertirá en el foco. ¿Qué se considera un “efecto legal o significativo”? ¿Cómo trazar la línea entre sistemas de recomendación, sistemas de fijación de precios, selección de personal y evaluación crediticia? Una vez que estos límites se definan por vía de aplicación de la ley o judicial, determinarán directamente las restricciones de diseño de los productos canadienses de IA.Largo plazo (5–10 años): seguirán existiendo dos tensiones estructurales. Una es la superposición de leyes federales y provinciales de privacidad —el Proyecto de Ley 25 de Quebec, la FIPPA de Columbia Británica y otros regímenes provinciales coexisten con el marco federal, por lo que las empresas que operan en varias provincias se enfrentarán a múltiples conjuntos de normas. La otra es si sigue siendo necesaria una legislación específica sobre IA —cuando las leyes de privacidad asumen parte de las funciones de transparencia de la IA, el que Canadá vuelva a intentar una legislación independiente sobre IA, como con C-27, o que mantenga a largo plazo este enfoque integrado, afectará su posición y credibilidad en las negociaciones internacionales sobre gobernanza de la IA.

Conclusión: la tendencia a largo plazo que realmente merece un seguimiento continuo

La esencia del Proyecto de Ley C-36 y de la PPCDA no es un aumento o una reducción de la carga de cumplimiento, sino que Canadá está tendiendo la infraestructura normativa de base para una economía impulsada por los datos.

La importancia estratégica de esto para el futuro de la industria tecnológica canadiense radica en que: Canadá está definiendo su nivel de gobernanza digital mediante la “capacidad de hacer cumplir las normas” y no la “cantidad de legislación”. Durante las últimas dos décadas, la PIPEDA ha sido ampliamente considerada un marco sin dientes; el cumplimiento de carácter recomendatorio difícilmente genera un efecto disuasorio y tampoco proporciona moneda de cambio en las negociaciones internacionales sobre interoperabilidad. La PPCDA concentra la investigación, las órdenes, las sanciones y el derecho de acción privada en manos de un solo organismo, en un intento por cambiar esa impresión.

Pero la variable que realmente determina el éxito o el fracaso no está en el texto de la ley, sino en dos preguntas que aún no tienen respuesta: si los organismos reguladores pueden desarrollar una capacidad especializada que esté a la altura del ritmo de la evolución tecnológica; y si la estrecha puerta de que “los datos desidentificados puedan utilizarse para investigación y desarrollo interno” acabará siendo interpretada como una vía legítima para los datos de entrenamiento de IA, o como una excepción que se restrinja caso por caso.

Si lo primero se cumple, Canadá obtendrá en la competencia global de IA un activo subestimado: un conjunto predecible de reglas de uso de datos basadas en el riesgo; si lo segundo se endurece, las empresas se verán obligadas a trasladar las fases de entrenamiento e inferencia fuera de Canadá, y la modernización de la ley de privacidad se convertirá, paradójicamente, en un impulso para la deslocalización industrial.

Esta es, precisamente, la tarea pendiente de Canadá que más merece seguirse de cerca durante la próxima década.