加拿大分阶段适用对中国 AI 企业相关度：高数据与隐私数据跨境AI 监管

魁北克 25 号法（私营部门个人信息保护法，CQLR c. P-39.1）

《加强保护个人信息的立法现代化法》（2021 年第 25 章）对《私营部门个人信息保护法》的修订

魁北克国民议会；执法机关为信息访问委员会（Commission d’accès à l’information） · CQLR c. P-39.1；S.Q. 2021, c. 25

25 号法把魁北克私营部门隐私法改造成北美最严格的框架之一，与本文档其他辖区相比有三处独特之处。第一，第 12.1 条要求企业在以完全自动化处理个人信息作出决定时，最迟在告知决定的同时告知个人该决定系纯自动化作出；并应个人要求告知用于作出该决定的个人信息、导致该决定的理由与主要因素和参数、以及其要求更正所用个人信息的权利；还必须给予个人向企业内有权复审该决定的人员提出陈述的机会。第二，第 17 条把境外传输的门槛前置为强制隐私影响评估：在把个人信息传出魁北克之前必须开展评估，并特别考虑信息的敏感性、拟使用目的、将适用的保护措施（含合同措施）、以及信息将被传入的州的法律框架（包括该州适用的个人信息保护原则）；只有评估确认信息将获得充分保护时方可传输，且传输须以书面协议为据，该协议须特别考虑评估结论与为缓解已识别风险而商定的条款；把收集、使用、传输或保存个人信息的任务委托给魁北克以外的人或机构时同样适用。第三，罚则严厉：第 90.12 条的行政罚款上限为自然人 5 万加元、其他情形 1,000 万加元或上一财年全球营业额的 2%（取其高者）；第 91 条的刑事罚金为自然人 5,000 至 10 万加元、其他情形 1.5 万至 2,500 万加元或全球营业额的 4%（取其高者）。此外第 3.3 条要求任何涉及个人信息收集、使用、传输、保存或销毁的信息系统或电子服务交付系统的取得、开发或改造项目都须开展隐私影响评估，AI 系统上线基本必然触发。

已对照官方来源核实 · 2026-09-12已对照官方原文核实

它管不管得到我？

适用于在魁北克开展经营的任何人（person carrying on an enterprise），不以设立实体为前提。中国 AI 企业的典型触发动作：（1）在魁北克设有办公室、研发中心或雇员；（2）向魁北克居民提供在线产品或服务并收集其个人信息——魁北克对法语服务与消费者保护的执法一向积极，面向消费者的 AI 产品需特别关注；（3）为魁北克企业客户提供模型、评分、客服自动化或数据处理服务，从而被其依第 17 条要求签署书面协议并配合隐私影响评估；（4）把魁北克个人信息传至中国、美国或其他省份处理——注意第 17 条的"魁北克以外"包括加拿大其他省份，不限于国境之外，这是很多企业误判之处；（5）在魁北克面向个人作出纯自动化的授信、定价、筛选或账号处置决定。

重点行业：通用、大模型 / 生成式 AI、企业软件 SaaS、金融科技 AI、计算机视觉

适用时间线

2022-09-22
第一阶段生效：隐私负责人、保密事件（confidentiality incident）制度等
25 号法第 175 条第 2 项列明于 2022-09-22 生效的条款，其中第 103 条新增 P-39.1 第 3.1 条（企业经营者对其持有的个人信息负责）与第 3.5 至 3.8 条（保密事件的缓解、通报、风险评估与登记簿）。
2023-09-22
主体条款生效：同意、透明度、自动化决策告知、境外传输前的隐私影响评估、行政罚款与刑事罚则等
第 175 条主文规定本法各条自 2023-09-22 起生效，另列四项例外：第 1 项（部分条款自 2021-09-22 即御准日生效）、第 2 项（含 P-39.1 第 3.1、3.5–3.8 条在内的一批条款自 2022-09-22 生效）、第 3 项（数据可携相关条款自 2024-09-22 生效）、第 4 项（第 160 条制定 P-39.1 第 91 条第 3 项的部分，自《信用评估机构法》（2020 年第 21 章）第 108 条生效之日起生效，无固定日历日）。2023-09-22 这一批包含 P-39.1 第 8.2 条（以技术手段收集须公布隐私政策）、第 12.1 条（纯自动化决策告知与陈述机会）、第 17 条（境外传输前的隐私影响评估与书面协议）、第 3.3 条（信息系统项目的隐私影响评估）以及第 90.1 条以下的行政罚款与第 91 条的刑事罚则。
2024-09-22
数据可携权生效（P-39.1 第 27 条第三款）
第 175 条第 3 项规定 25 号法第 30 条与第 120 条中制定 P-39.1 第 27 条第三款的部分自 2024-09-22 生效：除非会造成严重的实际困难，向申请人收集的、且非利用其个人信息创建或推断的计算机化个人信息，须应其要求以结构化、通用的技术格式提供，并应要求传送给依法有权收集此类信息的任何人或机构。

义务清单（5 条）

每条都写明触发条件、需要留存的证据与条款出处

纯自动化决策的告知、解释与人工复审陈述机会

严重度极高P-39.1 s. 12.1；s. 90.1(5)

第 12.1 条要求：在利用个人信息作出完全基于自动化处理的决定时，最迟在告知该决定的同时告知当事人该决定系纯自动化作出；并应其要求告知（一）用于作出该决定的个人信息、（二）导致该决定的理由与主要因素和参数、（三）其要求更正所用个人信息的权利；此外必须给予当事人向企业内有权复审该决定的人员提出陈述的机会。工程上意味着：模型输出需要可映射到"主要因素与参数"的解释层、需要保留决策时点的输入快照以便应对更正请求、并需要一条把陈述送达有权复审者的人工工单链路。

触发条件: 在魁北克对个人作出纯自动化决定的企业（信贷、保险、定价、招聘筛选、账号处置、内容处理等），以及为其提供决策模型的供应商。; 开始适用：2023-09-22
做完之后应留存的证据: · 纯自动化决策清单与告知文案（法语与英语版本）
· "理由、主要因素与参数"的解释输出样例与生成方法说明
· 决策时输入快照的留存策略与调取记录
· 陈述受理与人工复审工单记录（含复审人权限证明）

首次达标投入估算：8–20 人日（估算，非承诺）

魁北克境外传输：事前隐私影响评估与书面协议

严重度极高P-39.1 s. 17

第 17 条要求在把个人信息传出魁北克之前开展隐私影响评估，并特别考虑：信息的敏感性；拟使用目的；将适用的保护措施（包括合同措施）；以及信息将被传入的州的法律框架，包括该州适用的个人信息保护原则。只有评估确认该信息将获得充分保护（特别是参照公认的个人信息保护原则）时方可传输；且该传输须以书面协议为据，协议须特别考虑评估结论以及（如适用）为缓解评估中识别出的风险而商定的条款。把收集、使用、传输或保存个人信息的任务委托给魁北克以外的人或机构时，适用同样规则。注意"魁北克以外"包括加拿大其他省份。第 17 条末款规定本条不适用于依第 18 条第一款第 7 项作出的传达（该项为不需同意的特定传达情形），除此之外没有其他豁免口子。

触发条件: 把魁北克个人信息送往中国、美国、新加坡或加拿大其他省份处理、存储或访问的每一条链路，包括境外团队的远程运维访问。; 时限：在传输发生之前完成评估并签署书面协议。; 开始适用：2023-09-22
做完之后应留存的证据: · 第 17 条隐私影响评估报告（覆盖四项法定考量因素）
· 目的地法律框架分析（含该州个人信息保护原则的对照）
· 已签署的书面协议（须体现评估结论与风险缓解条款）
· 传输清单与定期复评记录（接收方或法律环境变化时触发）

首次达标投入估算：8–18 人日（估算，非承诺）

保密事件的缓解、通报与登记簿

严重度高P-39.1 ss. 3.5–3.8

第 3.5 条要求企业经营者在有理由相信发生涉及其持有的个人信息的保密事件时，采取合理措施降低损害风险并防止同类事件再次发生；若事件存在严重损害风险，须迅速通知信息访问委员会，并通知其个人信息受影响的每一个人（未通知的，委员会可命令其通知）；亦可向能够降低风险的人或机构通报必要的最小范围个人信息，此时须由企业内负责保护个人信息的人员记录该通报。第 3.7 条要求在评估损害风险时特别考虑信息的敏感性、其使用的预期后果、以及该信息被用于损害目的的可能性，并须咨询企业内负责保护个人信息的人员。第 3.8 条要求保存保密事件登记簿，其内容可由政府条例规定。

触发条件: 在魁北克经营的所有企业，包括无本地实体但向魁北克居民提供服务的境外主体。; 开始适用：2022-09-22
做完之后应留存的证据: · 保密事件登记簿（按条例要求的字段）
· 严重损害风险评估记录（含与隐私负责人的咨询留痕）
· 向委员会与个人的通知文本及送达证明
· 向可降低风险的第三方通报的记录（含最小化范围说明）

首次达标投入估算：5–12 人日（估算，非承诺）

用模板：AI 事件与严重事故报告记录（事件台账 + 对外报告底稿）

信息系统项目的隐私影响评估与隐私政策公布

严重度高P-39.1 ss. 3.1、3.3、8.2

第 3.3 条要求任何涉及个人信息收集、使用、传输、保存或销毁的信息系统或电子服务交付系统的取得、开发或改造项目都须开展隐私影响评估——引入或重构 AI 能力（模型接入、向量检索、语音或影像处理）通常直接落入"改造信息系统"的范畴。第 3.1 条确立企业经营者对其持有的个人信息负保护责任。第 8.2 条要求以技术手段收集个人信息的主体在企业网站（如有）上公布以清晰简明语言撰写的隐私政策，并通过任何适当方式向相关个人传播；政策修订的通知亦然。

触发条件: 在魁北克上线或改造任何处理个人信息的系统的企业，包括为魁北克客户交付 AI 模块的供应商（客户会把第 3.3 条评估义务转嫁为交付前的配合要求）。; 开始适用：2023-09-22
做完之后应留存的证据: · 按项目建立的隐私影响评估档案与结论
· AI 能力引入／改造的项目立项与评估触发记录
· 法语隐私政策发布版本与更新通知留痕
· 隐私负责人对评估的参与与签署记录

首次达标投入估算：6–15 人日（估算，非承诺）

数据可携权与访问、更正请求的处理

严重度中P-39.1 ss. 27、28

第 27 条要求企业应个人要求确认其个人信息的存在、向其传达该信息并允许其取得副本；应申请人要求，计算机化个人信息须以书面且可理解的抄本形式提供；自 2024-09-22 起，除非会造成严重的实际困难，向申请人收集的、且非利用其个人信息创建或推断的计算机化个人信息，须应其要求以结构化、通用的技术格式提供，并应要求传送给依法有权收集此类信息的任何人或机构；申请人为残障人士的，须应要求提供合理便利以便其行使访问权。第 28 条另赋予在个人信息不准确、不完整或含混，或其收集、传达、保存未经法律授权时要求更正的权利。AI 企业需要提前界定"创建或推断的信息"的边界——模型推断出的画像标签、嵌入向量与评分通常不在可携范围内，但这一界定必须有据可查。

触发条件: 在魁北克经营并持有个人信息的所有企业。; 开始适用：2024-09-22
做完之后应留存的证据: · 访问与可携请求处理流程及答复时限记录
· "收集所得"与"创建或推断"信息的分类口径文档
· 结构化导出格式规范与导出样例
· 拒绝或部分拒绝的理由记录（含"严重实际困难"的论证）

首次达标投入估算：5–12 人日（估算，非承诺）

罚则

第 90.12 条：行政罚款上限为自然人 5 万加元；其他情形为 1,000 万加元，或上一财年全球营业额的 2%（取其高者）。第 91 条：包括未在必要时向委员会或相关个人通报保密事件、未按第 10 条采取必要安全措施、以及在未获授权的情况下利用去标识信息识别或试图识别自然人等情形，构成犯罪，自然人处 5,000 至 10 万加元罚金，其他情形处 1.5 万至 2,500 万加元罚金，或全球营业额的 4%（取其高者）。第 90.1 条第 5 项特别把"未告知纯自动化决策所涉个人或未给予其提出陈述的机会（违反第 12.1 条）"列为可处行政罚款的情形。

已知不确定之处

（1）本条目所据 P-39.1 合订本标注"截至 2026-04-07"，2026 年 4 月之后的修订未纳入；（2）《保密事件条例》（A-2.1, r. 3.1）的具体字段要求未在本轮抓取原文，通报与登记簿的格式须以该条例为准；（3）第 90.12 条与第 91 条的罚款金额、第 90.1 条六项行政罚款情形、第 175 条四项生效例外均已对照官方文本逐字核对；未逐条核对的是 25 号法第 175 条第 2 项所列全部条款（该项跨越 A-2.1 与 P-39.1 两部法律、条目众多，本条目只摘取与私营部门相关的部分）；（4）魁北克对法语服务的《法语宪章》要求与本法叠加适用，本条目未展开。

可直接下载的交付模板

AI 事件与严重事故报告记录（事件台账 + 对外报告底稿）