Perspectivas de la reforma de privacidad en Canadá para 2026: ¿cómo reconfigurará la soberanía de datos la gobernanza digital?

Perspectivas de la reforma de privacidad en Canadá para 2026: ¿cómo remodelará la soberanía de datos la gobernanza digital?

El reinicio legislativo pendiente

Tras la agitación política de 2025, la reforma de la ley federal de privacidad del sector privado de Canadá vuelve a entrar en el panorama legislativo. Las elecciones federales provocadas por la renuncia del ex primer ministro Trudeau hicieron que la Ley de Implementación de la Carta Digital (Bill C-27), gestada durante años, muriera con la disolución del Parlamento. Aunque el Partido Liberal conservó el poder, la legislación integral de privacidad no regresó con la rapidez que algunos observadores esperaban.

Múltiples fuentes señalan que el nuevo proyecto de ley podría presentarse ya en el primer trimestre de 2026 o antes del receso parlamentario de verano. Constantine Karbaliotis, asesor del bufete nNovation de Ontario, afirmó que había oído que un proyecto de ley estaba preparado para reintroducirse antes de la Navidad de 2025, pero que se contuvo temporalmente por preocupaciones relacionadas con la soberanía de datos. Teresa Scassa, titular de la Cátedra de Investigación en Derecho y Políticas de la Información de la Universidad de Ottawa, dijo que los rumores más recientes apuntaban al primer trimestre como esa ventana.

El legado del C-27: lastrado por la definición de IA y el proceso electoral

El C-27 tenía originalmente tres cometidos: modernizar la PIPEDA mediante la Ley de Protección de la Privacidad del Consumidor, establecer un tribunal de protección de datos personales e introducir el primer marco regulador intersectorial de IA en Canadá, la Ley de Inteligencia Artificial y Datos (AIDA).

La AIDA fue ampliamente criticada en los debates parlamentarios por tener definiciones demasiado amplias; ni siquiera ofrecía un significado claro para el concepto central de “sistema de alto impacto”. Muchos parlamentarios y expertos en privacidad consideraron que, si la AIDA no hubiera estado vinculada al C-27, las probabilidades de que este último se aprobara habrían sido mayores. Sin embargo, el Parlamento nunca dio el paso de separarlos.

Otra variable sutil es la Unión Europea. En enero de 2024, la Comisión Europea renovó la decisión de adecuación de datos relativa a Canadá y, en esa decisión, señaló explícitamente que el C-27 era una razón importante para esa renovación y que vigilaría de cerca las actualizaciones posteriores de la PIPEDA. Esto debería haber constituido una presión externa para la reforma, pero Karbaliotis considera que la decisión de adecuación hizo, en cambio, que los legisladores canadienses perdieran el sentido de urgencia, algo que puede calificarse de “error fundamental”. En otras palabras, la activación de la válvula de seguridad institucional externa alivió inesperadamente la rendición de cuentas política interna.

Soberanía de datos: la mutación genética del nuevo proyecto de ley

Si el C-27 era la “versión 2.0” de la modernización de la privacidad, el nuevo proyecto de ley podría incorporar más tintes de soberanía de datos al marco original. El primer ministro de Canadá, Mark Carney, anunció en noviembre de 2025 una segunda ola de proyectos de construcción nacional, en la que convirtió la soberanía de datos en la agenda central y encargó su avance a la recién creada Oficina de Grandes Proyectos.Este enfoque político está cambiando los detalles técnicos de la legislación de privacidad. Karbaliotis opina que el nuevo proyecto de ley añadirá la obligación de evaluar los riesgos de la transferencia de datos fuera de Canadá, y podría «federalizar» varias disposiciones de transferencia de la Ley 25 de Quebec. También señala que la parte de privacidad del C-27 no exige explícitamente una evaluación de impacto sobre la privacidad, lo que constituye una brecha estructural. La necesidad de soberanía de datos es precisamente lo que justifica cerrar esa brecha.

Desde la perspectiva de la Unión Europea, este ajuste también ayuda a aliviar la preocupación de larga data por las «transferencias posteriores». Si los datos entran en Canadá sin restricciones lo bastante sólidas para impedir su flujo hacia terceros países, la confianza de la UE difícilmente podrá sostenerse.

Expectativas de los profesionales y los reguladores

Es notable que la Oficina del Comisionado de Privacidad (OPC) ha presentado expectativas de cumplimiento mucho mayores que las del C-27 para el nuevo proyecto de ley. El comisionado Philippe Dufresne, al testificar ante el Senado, enumeró varias prioridades, entre ellas otorgar a la OPC el poder de emitir órdenes vinculantes, imponer multas administrativas monetarias y realizar auditorías proactivas, además de establecer un marco de desidentificación y un mecanismo de derecho de supresión. También subrayó que la PIPEDA actualmente no ofrece ninguna protección especial a los niños, lo que no se ajusta a la realidad de la era digital, y propuso consagrar en la ley el principio del «interés superior del menor» y obligar a la OPC a elaborar un código de conducta sobre privacidad infantil.

Si estos requisitos se materializan, significarán que la supervisión de la privacidad en Canadá pasará de un modelo de «recomendaciones» a un modelo de «aplicación sancionadora». Para las empresas que dependen de información personal para entrenar modelos, operar algoritmos de recomendación u ofrecer servicios en línea a menores, esta transformación podría incidir en su actividad real antes que una legislación específica sobre IA.

Ley de privacidad: la línea de base predeterminada ante la ausencia de gobernanza de la IA

Mucha gente cree que el fracaso de la AIDA significa que la regulación de la IA en Canadá entra en un vacío, pero los expertos rechazan en general esa lectura simplista. Scassa señala que Canadá está preparando una estrategia nacional de IA y que ya se están impulsando numerosas medidas de gobernanza a nivel sectorial. La reforma de la ley de privacidad, incluso si no incluye reglas de IA, tendrá profundas implicaciones para la gobernanza de la IA.

Karbaliotis es más directo: un sólido régimen legal de protección de la privacidad es la piedra angular más importante para la regulación de la IA, porque establece la línea de base para todas las aplicaciones tecnológicas. Dufresne, en una reciente audiencia de la Cámara de los Comunes, también enfatizó que las organizaciones que usan IA deben ser transparentes respecto a sus decisiones y asumir la responsabilidad por las decisiones de IA que afectan a las personas. Si la ley de privacidad no logra modernizarse, la gobernanza de la IA también perderá su sostén institucional.

Tendencia a largo plazo: de un proyecto de ley a una infraestructura de soberanía digital

A través de la ventana legislativa de 2026, lo que realmente merece atención no es la victoria o derrota de una cláusula concreta, sino si Canadá puede aprovechar esta oportunidad para completar una serie de mejoras institucionales interconectadas.Si se aprueba la nueva ley de privacidad, surtirá efectos simultáneamente en tres dimensiones: en el plano de los derechos individuales, proporcionará mayores derechos de supresión y protección de los menores; en el plano del cumplimiento, sustituirá las “recomendaciones blandas” por multas y auditorías; en el plano transfronterizo, integrará el control de las transferencias de datos en el proyecto nacional de soberanía de datos. Este mecanismo, entrelazado con la futura estrategia de IA de Canadá, la legislación provincial de Quebec y la decisión de adecuación de la UE, podría dar forma a un estable “corredor de datos confiables de América del Norte”.

Por el contrario, si la reforma vuelve a retrasarse, Canadá no solo seguirá padeciendo el desgaste institucional de una PIPEDA envejecida, sino que también perderá posición en la definición de las reglas de la economía digital global. Europa avanza hacia su “Década Digital”, la Ley 25 de Quebec lleva varios años en vigor y los estados de EE. UU. están legislando a un ritmo acelerado. Cada año de demora aumenta un poco más la incertidumbre que enfrentan las empresas canadienses y las multinacionales en su matriz de cumplimiento normativo.

En una escala de 3 a 10 años, la modernización del Estado de derecho en materia de privacidad puede ser el paso más central para que Canadá convierta la “soberanía de datos” de eslogan en competitividad institucional. Por esta razón, la competencia periférica en torno a la reforma de la privacidad en 2026 merece una atención alta y sostenida por parte de la industria.