Bill C-36 y la PPCDA: la tercera reestructuración de la ley de privacidad de Canadá, que está redibujando los límites de cumplimiento en la era de la IA

El 15 de junio de 2026, el gobierno federal de Canadá presentó el proyecto de ley C-36. Si se aprueba, sustituirá la Ley de Protección de la Información Personal y Documentos Electrónicos (PIPEDA) por la Ley de Protección de la Privacidad y los Datos de los Consumidores (Protecting Privacy and Consumer Data Act, PPCDA). Según el texto oficial de presentación del proyecto de ley y las interpretaciones de despachos jurídicos, este es el tercer intento del gobierno federal —y posiblemente el más ambicioso— de modernizar la ley de privacidad del sector privado. No solo modifica las reglas, sino que reconstruye al propio regulador.

I. El hecho en sí: no es una reforma, es cambiar el esqueleto

Desde su promulgación en 2000, la PIPEDA ha funcionado durante mucho tiempo con un modelo de «recomendación—cumplimiento»: la Oficina del Comisionado de Privacidad investiga denuncias y formula recomendaciones, pero carece de la facultad de dictar órdenes vinculantes e imponer multas directamente. El cambio central de la PPCDA consiste en concentrar la autoridad regulatoria en materia de privacidad y seguridad digital en un nuevo organismo: la Comisión de Seguridad Digital y Protección de Datos de Canadá (Digital Safety and Data Protection Commission of Canada).

Dicha comisión proviene de la «Comisión de Seguridad Digital» creada por el proyecto de ley C-34, Ley de Redes Sociales Seguras; fue renombrada y se le ampliaron sus responsabilidades, adquiriendo un papel adicional más allá de la aplicación de la ley en materia de privacidad y la seguridad digital. En torno a la supervisión de la privacidad, la PPCDA establece tres órganos:

• Comisionado de Privacidad y Datos de los Consumidores: investiga y resuelve informalmente las quejas sobre privacidad, celebra acuerdos de cumplimiento, realiza auditorías y emite notificaciones de incumplimiento;
• Comisión: dicta órdenes vinculantes;
• División de Privacidad y Datos de los Consumidores: se ocupa de la resolución de controversias.

Esto difiere claramente del enfoque del proyecto de ley C-27. El C-27 intentó dejar la investigación de quejas en manos del Comisionado de Privacidad y crear por separado un «Tribunal de Protección de la Información Personal y los Datos» encargado de las sanciones pecuniarias y las órdenes; la PPCDA no sigue esa vía de reparto de competencias, sino que hace que una misma comisión concentre tanto la investigación como la aplicación de la ley.

II. Por qué ahora: tres hilos que confluyen

Primero, la brecha de aplicación de la ley ha existido durante mucho tiempo. Durante más de veinte años, la aplicación de la privacidad en el sector privado canadiense dependió principalmente de mecanismos de reputación y del cumplimiento voluntario, lo que la fue distanciando gradualmente del rigor regulatorio de sus principales socios comerciales. La PPCDA incorpora explícitamente «respetar las obligaciones de Canadá en materia de comercio internacional» y «apoyar el crecimiento económico, la competencia y la innovación en el mercado canadiense» como factores que la comisión debe considerar en el ejercicio de sus funciones, lo que indica que los legisladores soportan una doble presión: reglas demasiado débiles dañarían la credibilidad en los flujos transfronterizos de datos, mientras que reglas demasiado onerosas asfixiarían a las empresas locales.Segundo, la gobernanza de la IA no encuentra un lugar para una legislación independiente. La PPCDA no establece una ley de regulación separada de la inteligencia artificial, sino que integra la IA en el marco de privacidad y la aborda mediante obligaciones de transparencia: cuando se utilizan sistemas de decisión automatizada o IA para tomar decisiones con efectos legales o significativos sobre una persona, la organización debe explicarle cómo se tomó la decisión, qué datos se utilizaron y qué factores principales intervinieron. Se trata de un compromiso pragmático: no crear una nueva ley, sino adscribir primero obligaciones exigibles al régimen de privacidad ya existente.

Tercero, integración institucional. La PPCDA y el Bill C-34 comparten la misma Comisión, lo que significa que Canadá está colocando la gobernanza de plataformas, la aplicación de la privacidad y la protección de datos en un mismo contenedor regulatorio, en lugar de que cada ámbito actúe por su lado.

Tres. Cinco ejes principales que merecen atención en el plano normativo

Intensidad de la aplicación. La Comisión puede emitir órdenes vinculantes, con multas máximas de 10 millones de dólares canadienses o el 3 % de los ingresos globales (el que sea mayor). Para delitos graves perseguibles por acusación, como violar la protección de denunciantes, obstruir investigaciones de privacidad o incumplir los requisitos de notificación de brechas de datos, el máximo es de 25 millones de dólares canadienses o el 5 % de los ingresos globales. La PPCDA también crea un derecho de acción privada: después de que el Comisionado emita una determinación formal de incumplimiento y esta no sea revocada en apelación ante un tribunal, los consumidores afectados podrán reclamar indemnización por pérdidas o daños.

Endurecimiento de las reglas de consentimiento y ampliación de excepciones. En principio, el consentimiento debe ser válido y expreso; solo en circunstancias apropiadas puede recurrirse al consentimiento tácito. Las organizaciones deben informar en lenguaje claro y sencillo los fines de la recopilación, la forma de recopilación, la forma de uso o divulgación, las consecuencias razonablemente previsibles, los tipos específicos de información buscada y el nombre o tipo de los terceros que podrían recibir la información. Al mismo tiempo, la PPCDA introduce dos nuevas excepciones: una, «actividades comerciales y expectativas razonables», es decir, la recopilación o el uso que esté dentro de lo que esperaría una persona razonable y que no se utilice para influir en el comportamiento o las decisiones de la persona; otra, «interés legítimo», siempre que dicho interés prevalezca sobre los efectos adversos razonablemente previsibles para la persona, y la organización debe identificar el interés legítimo, realizar una evaluación de impacto en la privacidad y adoptar medidas de mitigación razonables.

Delimitación formal entre desidentificación y anonimización. Los datos anonimizados se modifican de manera permanente hasta que la reidentificación no sea razonablemente previsible, por lo que quedan fuera del ámbito de aplicación de la PPCDA; los datos desidentificados siguen siendo información personal. Las organizaciones pueden desidentificar información personal sin consentimiento y usar los datos desidentificados para investigación y desarrollo internos, pero no para reidentificar a personas.

Transparencia de las decisiones automatizadas. Esta es una de las formas en que la PPCDA aborda la IA y también la primera vez que Canadá establece requisitos explícitos de explicabilidad para las decisiones automatizadas en una ley federal de privacidad del sector privado.Derechos sobre los datos y flujos transfronterizos. Las personas obtendrán el derecho a solicitar la disposición o eliminación de su información personal cuando retiren su consentimiento o cuando los datos ya no sean necesarios, así como el derecho a la portabilidad de datos para exigir que las organizaciones transfieran de forma segura los datos a otra organización designada. Antes de divulgar o transferir información personal fuera de Canadá, las organizaciones deberán realizar una evaluación de impacto sobre la privacidad. Además, las organizaciones deberán establecer un programa de gestión de la privacidad que abarque medidas de protección, procesos de tramitación de solicitudes de información y quejas, requisitos de formación del personal y la descripción de las políticas pertinentes.

IV. ¿Qué significa para la industria canadiense?

El impacto más directo es la reconstrucción de la infraestructura de cumplimiento. Los programas de gestión de la privacidad, las evaluaciones de impacto sobre la privacidad, las evaluaciones de interés legítimo, los procesos de desidentificación y los mecanismos de explicación de decisiones automatizadas no son obligaciones de divulgación puntuales, sino capacidades permanentes que deben integrarse en los procesos de producto e ingeniería. Para las grandes empresas con equipos jurídicos consolidados, esto es un costo; para las startups con recursos limitados, puede convertirse tanto en una barrera de entrada al mercado como en una prueba de cumplimiento al vender productos a clientes empresariales.

En segundo lugar está la estrategia de flujo de datos. La evaluación de impacto sobre la privacidad previa a la transferencia transfronteriza cambiará la forma en que las empresas canadienses evalúan los servicios en la nube en el extranjero y los canales de datos transnacionales. En contraste, la combinación del derecho a la portabilidad de datos y el derecho a la eliminación ejercerá presión sobre el diseño de productos que dependen de la retención de datos, pero también generará demanda de mercado para herramientas de cumplimiento, gobernanza de datos e ingeniería de privacidad.

En tercer lugar, la zona gris de los datos de entrenamiento de IA queda parcialmente iluminada. Los datos desidentificados pueden usarse para investigación y desarrollo internos, lo cual tiene un significado sustantivo para el ecosistema canadiense de IA; pero la línea roja de «no reidentificar» también traza límites para la construcción y reutilización de conjuntos de datos.

V. En el contexto de la competencia tecnológica global

Desde el punto de vista de su orientación institucional, la PPCDA se acerca más al modelo moderno en el que «el regulador tiene poderes de orden vinculante y de multa» que al marco recomendatorio de la PIPEDA; además, no sigue la ruta europea de legislación independiente sobre IA, sino que incorpora los requisitos de transparencia de la IA en la ley de privacidad. Esto constituye una vía intermedia de estilo canadiense: acercarse a estándares altos en protección de datos y mantener una carga legislativa independiente más ligera en la regulación de la IA.

Sus consecuencias son bidireccionales. Para las empresas multinacionales, Canadá podría pasar de ser una «jurisdicción de baja fricción» a una «jurisdicción de cumplimiento que requiere modelización por separado», lo que aumentará los costos, pero también reforzará la credibilidad de la pretensión de Canadá como destino confiable de datos. Para las empresas locales, la posibilidad de desarrollar capacidades de cumplimiento antes de ser sancionadas afectará directamente su capacidad de asumir negocios provenientes de mercados con regulaciones más estrictas.

VI. Posible trayectoria en los próximos tres a diez años

El proyecto de ley C-36 aún no ha entrado en vigor, y su forma final depende del examen parlamentario. Es razonable prever varias direcciones: es probable que la Comisión, en sus inicios, se centre en directrices y acuerdos de cumplimiento, y pase gradualmente a casos de sanciones reales; seguirán surgiendo problemas de coordinación entre la ley de privacidad del sector privado, las leyes provinciales y el régimen de seguridad digital del proyecto de ley C-34; en torno a los límites de la excepción de «interés legítimo» podrían aparecer los primeros casos controvertidos; los estándares de aplicación de las obligaciones de transparencia de la IA probablemente se irán clarificando caso por caso, más que mediante normas detalladas.

En una escala temporal más larga, lo que realmente vale la pena observar es: si Canadá adoptará la PPCDA como punto de anclaje a largo plazo para la gobernanza de la IA, o si, por encima de ella, añadirá una legislación específica sobre IA. Esta elección determinará en qué punto acabará situándose Canadá entre la «certeza regulatoria» y la «velocidad de innovación».

Conclusión: por qué este asunto tiene importancia estratégica para la industria tecnológica canadiense

La importancia estratégica no radica en el nivel máximo de las multas, sino en que la naturaleza de la capacidad regulatoria ha cambiado. En el Canadá de la era PIPEDA, la regulación de la privacidad era una relación de negociación; la PPCDA busca convertirla en una relación jurídica exigible y, por primera vez, incorpora el deber de explicación de las decisiones de IA en las normas federales del sector privado.

Para la industria canadiense de IA y digital, esto significa que ocurren dos cosas a la vez: el cumplimiento pasa de ser una «declaración a posteriori» a ser «parte de la arquitectura del producto»; y la capacidad de gobernanza de datos pasa de ser una partida de costos legales a un factor competitivo que puede influir en el financiamiento, las compras de clientes empresariales y la cooperación internacional en materia de datos. En un entorno en el que el flujo transfronterizo de datos y la velocidad de despliegue de sistemas de IA superan con creces el ciclo legislativo, que Canadá elija usar la ley de privacidad para hacerse cargo de la gobernanza de la IA es una decisión pragmática y también una apuesta en la que pone en juego la credibilidad institucional. Que pueda consolidarse depende de si la aplicación de la ley es predecible —y esa es, precisamente, la variable que más vale la pena seguir de cerca durante los próximos cinco años.