Bill C-36 与 PPCDA：加拿大隐私法第三次重构，正在重画 AI 时代的合规边界

2026 年 6 月 15 日，加拿大联邦政府提交了 Bill C-36。如果获得通过，它将用《保护隐私与消费者数据法》（Protecting Privacy and Consumer Data Act，PPCDA）取代《个人信息保护与电子文件法》（PIPEDA）。据提交该法案的官方文本与律所解读，这是联邦政府第三次、也可能是力度最大的一次私营部门隐私法现代化尝试。它不只修改规则，还重建了监管机构本身。

一、事件本身：不是修法，是换骨架

PIPEDA 自 2000 年出台以来，长期依靠「建议—合规」模式运行：隐私专员公署调查投诉、提出建议，但缺乏直接下达约束性命令与罚款的权力。PPCDA 的核心变化在于，把隐私与数字安全事务的监管权集中交给一个新机构——加拿大数字安全与数据保护委员会（Digital Safety and Data Protection Commission of Canada）。

该委员会承继自 Bill C-34《安全社交媒体法》所设立的「数字安全委员会」，被重新命名并扩展职责，在隐私执法与数字安全之外获得了进一步的角色。围绕隐私监督，PPCDA 设立三个主体：

• 隐私与消费者数据专员：调查并非正式解决隐私投诉、签订合规协议、开展审计、发出违规通知；
• 委员会：作出具有约束力的命令；
• 隐私与消费者数据司：处理争议解决。

这与 Bill C-27 的思路明显不同。C-27 曾试图把投诉调查留给隐私专员，另设「个人信息与数据保护法庭」负责财务处罚与命令；PPCDA 不走这条分权路径，而是让同一个委员会同时掌握调查与执法。

二、为什么是现在：三条线索交汇

第一，执法缺口长期存在。 二十余年间，加拿大私营部门隐私执法主要依赖声誉机制与自愿合规，与主要贸易伙伴的监管强度逐渐拉开距离。PPCDA 明确把「尊重加拿大国际贸易义务」「支持加拿大市场的经济增长、竞争与创新」写入委员会履职的考量因素，说明立法者同时承受两重压力：规则太弱会损害数据跨境流动中的可信度，规则过重又会挤压本土企业。

第二，AI 治理找不到独立立法的位置。 PPCDA 没有设置单独的人工智能监管法，而是把 AI 纳入隐私框架，通过透明度义务处理：使用自动化决策系统或 AI 作出对个人有法律或重大影响的决定时，组织必须向个人解释决定如何作出、使用了哪些数据、涉及哪些主要因素。这是一种务实的折中——不另立新法，先把可执行的义务挂在已有的隐私制度上。

第三，机构整合。 PPCDA 与 Bill C-34 共享同一个委员会，意味着加拿大正在把平台治理、隐私执法与数据保护放进同一个监管容器，而不是各自为政。

三、规则层面值得关注的五条主线

执法强度。 委员会可下达约束性命令，最高罚款为 1000 万加元或全球营收的 3%（取较高者）。对于违反举报人保护、妨碍隐私调查、违反数据泄露通报要求等严重可公诉罪行，最高为 2500 万加元或全球营收的 5%。PPCDA 还创设私人诉权：在专员作出正式违规认定、且未被法院上诉推翻之后，受影响的消费者可就损失或伤害寻求赔偿。

同意规则的收紧与例外扩容。 同意原则上必须是有效且明示的，只有在适当情形下才可依赖默示同意。组织必须以通俗语言告知收集目的、收集方式、使用或披露方式、可合理预见的后果、所寻求信息的具体类型，以及可能接收信息的第三方名称或类型。与此同时，PPCDA 引入两类新例外：一是「商业活动与合理期待」，即在合理人预期之内、且不用于影响个人行为或决定的收集或使用；二是「正当利益」，前提是该利益超过对个人的可合理预见不利影响，且组织必须识别正当利益、开展隐私影响评估并采取合理减缓措施。

去标识化与匿名化的正式分界。 匿名化数据被永久修改至无法合理预见重新识别，从而脱离 PPCDA 管辖；去标识化数据仍属个人信息。组织可在未经同意的情况下将个人信息去标识化，并将去标识化数据用于内部研发，但不得用于重新识别个人。

自动化决策透明度。 这是 PPCDA 处理 AI 的方式之一，也是加拿大首次在联邦私营部门隐私法中对自动化决策提出明确的可解释性要求。

数据权利与跨境流动。 个人将获得在撤回同意或数据不再需要时请求处置或删除个人信息的权利，以及要求组织将数据安全转移至另一指定组织的数据可携权。组织在向加拿大境外披露或转移个人信息前，必须开展隐私影响评估。此外，组织须建立隐私管理程序，涵盖保护措施、信息请求与投诉处理流程、员工培训要求以及相关政策的说明。

四、对加拿大产业意味着什么

最直接的冲击是合规基础设施的重建。隐私管理程序、隐私影响评估、正当利益评估、去标识化流程、自动化决策解释机制——这些不是一次性披露义务，而是需要嵌入产品与工程流程的常设能力。对拥有成熟法务团队的大型企业，这是成本；对资源有限的初创公司，这既可能成为市场进入门槛，也可能成为向企业客户销售产品时的合规证明。

其次是数据流动策略。跨境传输前的隐私影响评估，会改变加拿大企业评估境外云服务与跨国数据管道的方式。与之相对，数据可携权与删除权的组合会给依赖数据留存的产品设计带来压力，但也会催生合规工具、数据治理与隐私工程的市场需求。

第三，AI 训练数据的灰色地带被部分照亮。去标识化数据可用于内部研发，这一点对加拿大 AI 生态具有实质意义；但「不得重新识别」的红线，同样为数据集的构建与复用划出边界。

五、放进全球科技竞争里看

从制度取向上看，PPCDA 更接近「监管机构具备约束性命令权与罚款权」的现代模式，而非 PIPEDA 的建议式框架；同时它没有走欧盟式独立 AI 立法的路线，而是把 AI 透明度要求嵌入隐私法。这构成一种加拿大式的中间路径：在数据保护上向高标准靠拢，在 AI 监管上保持较轻的独立立法负担。

其后果是双向的。对跨国企业而言，加拿大可能从「低摩擦司法辖区」转向「需要单独建模的合规辖区」，这会增加成本，但也会提高加拿大作为可信数据目的地这一主张的说服力。对本土企业而言，能否在被处罚之前建立起合规能力，将直接影响其承接来自监管更严格市场业务的能力。

六、未来三到十年的可能轨迹

Bill C-36 尚未生效，其最终形态取决于议会审议。可以合理预期几个方向：委员会在成立初期大概率以指引与合规协议为主，逐步转向实际处罚案例；私营部门隐私法与省级法、以及 Bill C-34 数字安全制度之间的协调问题会持续出现；围绕「正当利益」例外的边界，可能出现第一批争议案件；AI 透明度义务的执行标准，很可能通过个案而非细则逐步明确。

更长的时间尺度上，真正值得观察的是：加拿大是否会把 PPCDA 作为 AI 治理的长期落脚点，还是在其之上再叠加专门的 AI 立法。这个选择将决定加拿大在「监管确定性」与「创新速度」之间最终落在哪一点。

结语：为什么这件事对加拿大科技产业具有战略意义

战略意义不在于罚款上限的高低，而在于监管能力的性质发生了变化。PIPEDA 时代的加拿大，隐私监管是一种协商关系；PPCDA 试图把它变成一种可执行的法律关系，并且第一次把 AI 决策的解释义务写进联邦私营部门规则。

对加拿大 AI 与数字产业而言，这意味着两件事同时发生：合规从「事后声明」变成「产品架构的一部分」；而数据治理能力，从法务成本项变成可能影响融资、企业客户采购与国际数据合作的竞争要素。在一个数据跨境流动与 AI 系统部署速度远快于立法周期的环境里，加拿大选择用隐私法承接 AI 治理，是一个务实的决定，也是一次把制度可信度押上去的赌注。它能否成立，取决于执法是否可预期——而这，正是未来五年最值得持续跟踪的变量。