《个人信息保护和电子文件法》
加拿大议会；执法机关为加拿大隐私专员公署（OPC） · S.C. 2000, c. 5
PIPEDA 适用于在商业活动过程中收集、使用或披露个人信息的组织，其实体要求由附表 1 的十项公平信息原则承载：问责、确定目的、同意、限制收集、限制使用披露与保留、准确性、安全保障、公开性、个人访问、以及对合规提出质疑。对出海企业最关键的两条是：附表 1 第 4.1.3 条明确组织对其占有或保管的个人信息负责，包括已转交第三方处理的信息，且必须通过合同或其他方式在第三方处理期间提供可比水平的保护——这正是把数据交给中国母公司或境外供应商处理时的法律抓手；以及第 10.1 条确立的安全保障措施泄露报告制度：当有合理理由相信泄露对个人构成"重大伤害的现实风险"时，须以规定的形式与方式尽快向专员报告，并尽快通知受影响个人，通知内容须足以使其理解泄露对自身的意义并采取可行的降险或减损措施；第 10.2 条还要求在能够降低或减轻伤害风险时通知其他组织或政府机构；第 10.3 条要求保存泄露记录。第 28 条规定明知违反第 10.1 条等条款或妨碍专员调查与审计的，构成可依简易程序定罪处不超过 1 万加元罚金、或可诉罪处不超过 10 万加元罚金的犯罪。
中国 AI 企业受 PIPEDA 约束的典型情形：（1）在加拿大设立子公司、研发中心或销售实体，在商业活动中处理客户或用户个人信息；（2）虽在境外，但向加拿大个人提供商业性产品或服务并处理其个人信息——OPC 一贯以与加拿大存在"真实且实质的联系"作为对跨境组织主张管辖的依据；（3）作为加拿大企业客户的处理方接收其个人信息用于标注、训练、推理或运维——此时客户依附表 1 第 4.1.3 条须以合同方式向你施加可比保护水平，实务上表现为数据处理协议、安全问卷、审计权与分包限制；（4）加拿大雇员数据——注意 PIPEDA 对雇员个人信息的适用限于联邦事务、工程或业务，省级受规管企业的雇员数据适用省法。此外，魁北克、艾伯塔与不列颠哥伦比亚三省有被认定为"实质相似"的省级私营部门隐私法，在这些省内的商业活动优先适用省法（见本语料的魁北克条目）。
重点行业：通用、大模型 / 生成式 AI、企业软件 SaaS、金融科技 AI、计算机视觉
2026-06-15日期未最终确定
新一届议会提出 C-36 号法案，拟制定《保护隐私与消费者数据法》并修订 PIPEDA（尚未通过）
LEGISinfo 记录：第 45 届议会第 1 会期政府法案 C-36，全称"制定《保护隐私与消费者数据法》、修订《个人信息保护和电子文件法》并对其他法律作相应修订的法案"，一读完成于 2026-06-15，抓取当日状态为"众议院二读审议中"，未获御准。因此 PIPEDA 现行文本仍然适用，但联邦私营部门隐私制度处于可能被改写的立法周期中，进入加拿大市场的合规设计应把该法案纳入跟踪项。注意：该法案的长标题不涉及人工智能立法，不是 AIDA 的继任者。
2026-09-12
核实：PIPEDA 仍为加拿大联邦私营部门隐私法，取代它的《消费者隐私保护法》未获通过
原拟以《消费者隐私保护法》《个人信息与数据保护法庭法》《人工智能与数据法》取代／补充 PIPEDA 的 C-27 号法案，随第 44 届议会第 1 会期（2021-11-22 至 2025-01-06）结束而失效，从未成为法律。因此 PIPEDA 及其附表 1 的十项公平信息原则仍然是联邦私营部门的现行规则。
每条都写明触发条件、需要留存的证据与条款出处
附表 1 第 4.1.3 条要求组织对其占有或保管的个人信息负责，包括已转交第三方处理的信息，并须通过合同或其他方式在第三方处理期间提供可比水平的保护。对把加拿大数据交给中国母公司、境外云或标注供应商的场景，需要落地的是：数据处理协议中的目的限制与不得再利用条款、子处理者审批、安全控制清单、审计与检查权、事件通知时限、政府调取请求应对与通知机制、以及合同终止时的返还与销毁。透明度上，OPC 一贯要求组织在隐私政策中说明个人信息可能被转交境外处理并因此受当地法律管辖。
首次达标投入估算：5–12 人日（估算，非承诺）
第 10.1(1) 条要求在有合理理由相信安全保障措施泄露对个人构成重大伤害的现实风险时向专员报告；第 10.1(2) 条要求报告采用规定的形式与方式，并在组织确定发生泄露后尽快提交；第 10.1(3)(6) 条要求尽快直接、显著地通知受影响个人（规定情形下可间接通知）。第 10.1(7) 条界定"重大伤害"包括身体伤害、羞辱、名誉或人际关系损害、失业、丧失商业或职业机会、经济损失、身份盗用、信用记录的不利影响、以及财产的损害或灭失；第 10.1(8) 条列出判断"现实风险"的因素：所涉个人信息的敏感性、信息已被、正在或将被滥用的可能性，以及其他规定因素。
首次达标投入估算：4–10 人日（估算，非承诺）
第 10.3(1) 条要求组织按规定保存其所涉全部安全保障措施泄露的记录，不以是否达到"重大伤害现实风险"门槛为限；专员可要求提供该记录。因此即便评估后认定无须报告，也必须留存评估过程与结论，否则在专员调查中无法自证。明知违反第 10.3(1) 条依第 28 条构成犯罪。
首次达标投入估算：2–6 人日（估算，非承诺）
附表 1 的原则要求在收集时或之前确定目的、就个人信息的收集使用与披露取得个人的知情同意、并把收集限制在为已确定目的所必需的范围内，且须以公平合法的手段收集。AI 产品的高频争点是：把用户输入、对话记录或上传素材用于模型训练是否属于原始目的范围；实践上应把训练用途单独列示、提供可理解的说明与选择，并在目的变更时重新取得同意。同时依"限制使用、披露与保留"原则设定保留期限并在到期后销毁，这直接约束提示日志与训练快照的留存策略。
首次达标投入估算：5–12 人日（估算，非承诺）
附表 1 的"个人访问"原则要求在个人提出请求时告知其个人信息的存在、使用与披露情况并提供访问，同时允许其质疑信息的准确性与完整性并要求更正；"对合规提出质疑"原则要求组织指定专人负责合规，并建立可供个人就其合规情况提出质疑的程序。第 14 条允许投诉人在收到专员报告或被告知调查中止后，就报告涉及的特定条款事项向联邦法院申请听审。实务上需要预先定义：访问请求的检索范围（是否含提示日志、向量库、模型输出）、身份核验、第三方信息的处理方式与拒绝理由的记录。
首次达标投入估算：4–10 人日（估算，非承诺）
第 28 条：明知违反第 8(8) 条、第 10.1 条、第 10.3(1) 条或第 27.1(1) 条，或妨碍专员及其代表进行投诉调查或审计的组织，构成犯罪：依简易程序定罪处不超过 1 万加元罚金；按可诉罪定罪处不超过 10 万加元罚金。此外投诉人可依第 14 条就专员报告所涉事项向联邦法院申请听审，法院可判予损害赔偿。
（1）第 10.1 条的"规定形式与方式"与第 10.3 条的记录要求由《泄露安全保障措施条例》（Breach of Security Safeguards Regulations）细化，本轮未抓取该条例原文，提交前请以其规定的表格与字段为准；（2）PIPEDA 对雇员个人信息的适用限于联邦事务、工程或业务，本条目未逐条核对第 4 条适用范围的全部但书；（3）省级"实质相似"法律的认定清单未在本轮核实，进入特定省份前应确认适用哪一部法律；（4）C-36 号法案仍在审议中，其对 PIPEDA 的具体修改内容未在本条目展开——本轮只核实了 LEGISinfo 的法案状态记录，未阅读法案正文。
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。