加拿大Bill C-36隐私改革法案随议会复会重回议程：罚款上限提至1000万加元或全球营收3%

法案的核心变化包括：以新法整体取代PIPEDA第一部分而非零散修订；将罚款上限提高至1000万加元或企业全球营收的3%，取较高者；改变有效同意的认定标准；新增针对欺诈预防与商业活动的例外；并把执法权交给新的委员会。这已是加拿大第三次尝试替换PIPEDA——2020年的C-11与2022年的C-27均在同一立法程序中途夭折，Bill C-36的文本（含英法双语栏）超过300页，是三版中执法架构最为详细的。

制度架构上，法案将把隐私监督并入“加拿大数字安全与数据保护委员会”——该机构原由Bill C-34《安全社交媒体法》提出。委员会中的一名成员将被指定为隐私与消费者数据专员，承接现任隐私专员今日承担的投诉调查与审计职能，同时获得发出可复议罚款的违规通知与作出约束性命令的新权力。更广泛的委员会本身还将承担研究、公众教育、指南制定、咨询与违规通知审查职能。这一制度授权范围比PIPEDA现行执法结构更宽，总体形态接近欧洲数据保护机构常设的监管架构。

值得注意的是时间上的巧合：据引述，欧洲数据保护委员会另定于2026年9月17日举行第123次全体会议，恰在加拿大议会复会前数日。两项事态并无正式关联，但落在同一周内，对跨法域运营的隐私团队而言需要同步跟踪。

法案尚未生效：仍需通过委员会审查、参议院表决与御准。对企业而言，最需要提前准备的并非罚则本身，而是“有效同意”标准趋严后带来的实务变化——隐私政策的分层告知、同意记录的留存与举证、以及跨境传输环节的信息披露都需要相应改造。同时，新委员会获得罚款权意味着未来与监管机关的沟通将从“建议性磋商”转向“可复议的行政程序”，应对策略也应随之调整。