说清楚你的生意，拿走一份能派工的义务清单

第 12.1 条要求：在利用个人信息作出完全基于自动化处理的决定时，最迟在告知该决定的同时告知当事人该决定系纯自动化作出；并应其要求告知（一）用于作出该决定的个人信息、（二）导致该决定的理由与主要因素和参数、（三）其要求更正所用个人信息的权利；此外必须给予当事人向企业内有权复审该决定的人员提出陈述的机会。工程上意味着：模型输出需要可映射到"主要因素与参数"的解释层、需要保留决策时点的输入快照以便应对更正请求、并需要一条把陈述送达有权复审者的人工工单链路。

需留存证据：纯自动化决策清单与告知文案（法语与英语版本）；"理由、主要因素与参数"的解释输出样例与生成方法说明；决策时输入快照的留存策略与调取记录；陈述受理与人工复审工单记录（含复审人权限证明）

第 17 条要求在把个人信息传出魁北克之前开展隐私影响评估，并特别考虑：信息的敏感性；拟使用目的；将适用的保护措施（包括合同措施）；以及信息将被传入的州的法律框架，包括该州适用的个人信息保护原则。只有评估确认该信息将获得充分保护（特别是参照公认的个人信息保护原则）时方可传输；且该传输须以书面协议为据，协议须特别考虑评估结论以及（如适用）为缓解评估中识别出的风险而商定的条款。把收集、使用、传输或保存个人信息的任务委托给魁北克以外的人或机构时，适用同样规则。注意"魁北克以外"包括加拿大其他省份。第 17 条末款规定本条不适用于依第 18 条第一款第 7 项作出的传达（该项为不需同意的特定传达情形），除此之外没有其他豁免口子。

需留存证据：第 17 条隐私影响评估报告（覆盖四项法定考量因素）；目的地法律框架分析（含该州个人信息保护原则的对照）；已签署的书面协议（须体现评估结论与风险缓解条款）；传输清单与定期复评记录（接收方或法律环境变化时触发）

打开工具：跨境传输矩阵

第 3.5 条要求企业经营者在有理由相信发生涉及其持有的个人信息的保密事件时，采取合理措施降低损害风险并防止同类事件再次发生；若事件存在严重损害风险，须迅速通知信息访问委员会，并通知其个人信息受影响的每一个人（未通知的，委员会可命令其通知）；亦可向能够降低风险的人或机构通报必要的最小范围个人信息，此时须由企业内负责保护个人信息的人员记录该通报。第 3.7 条要求在评估损害风险时特别考虑信息的敏感性、其使用的预期后果、以及该信息被用于损害目的的可能性，并须咨询企业内负责保护个人信息的人员。第 3.8 条要求保存保密事件登记簿，其内容可由政府条例规定。

需留存证据：保密事件登记簿（按条例要求的字段）；严重损害风险评估记录（含与隐私负责人的咨询留痕）；向委员会与个人的通知文本及送达证明；向可降低风险的第三方通报的记录（含最小化范围说明）

AI 事件与严重事故报告记录（事件台账 + 对外报告底稿）

第 3.3 条要求任何涉及个人信息收集、使用、传输、保存或销毁的信息系统或电子服务交付系统的取得、开发或改造项目都须开展隐私影响评估——引入或重构 AI 能力（模型接入、向量检索、语音或影像处理）通常直接落入"改造信息系统"的范畴。第 3.1 条确立企业经营者对其持有的个人信息负保护责任。第 8.2 条要求以技术手段收集个人信息的主体在企业网站（如有）上公布以清晰简明语言撰写的隐私政策，并通过任何适当方式向相关个人传播；政策修订的通知亦然。

需留存证据：按项目建立的隐私影响评估档案与结论；AI 能力引入／改造的项目立项与评估触发记录；法语隐私政策发布版本与更新通知留痕；隐私负责人对评估的参与与签署记录

第 27 条要求企业应个人要求确认其个人信息的存在、向其传达该信息并允许其取得副本；应申请人要求，计算机化个人信息须以书面且可理解的抄本形式提供；自 2024-09-22 起，除非会造成严重的实际困难，向申请人收集的、且非利用其个人信息创建或推断的计算机化个人信息，须应其要求以结构化、通用的技术格式提供，并应要求传送给依法有权收集此类信息的任何人或机构；申请人为残障人士的，须应要求提供合理便利以便其行使访问权。第 28 条另赋予在个人信息不准确、不完整或含混，或其收集、传达、保存未经法律授权时要求更正的权利。AI 企业需要提前界定"创建或推断的信息"的边界——模型推断出的画像标签、嵌入向量与评分通常不在可携范围内，但这一界定必须有据可查。

需留存证据：访问与可携请求处理流程及答复时限记录；"收集所得"与"创建或推断"信息的分类口径文档；结构化导出格式规范与导出样例；拒绝或部分拒绝的理由记录（含"严重实际困难"的论证）

第 10.1(1) 条要求在有合理理由相信安全保障措施泄露对个人构成重大伤害的现实风险时向专员报告；第 10.1(2) 条要求报告采用规定的形式与方式，并在组织确定发生泄露后尽快提交；第 10.1(3)(6) 条要求尽快直接、显著地通知受影响个人（规定情形下可间接通知）。第 10.1(7) 条界定"重大伤害"包括身体伤害、羞辱、名誉或人际关系损害、失业、丧失商业或职业机会、经济损失、身份盗用、信用记录的不利影响、以及财产的损害或灭失；第 10.1(8) 条列出判断"现实风险"的因素：所涉个人信息的敏感性、信息已被、正在或将被滥用的可能性，以及其他规定因素。

需留存证据："重大伤害现实风险"评估方法与逐案评估记录；向专员提交的报告及回执；个人通知文本与送达方式证明；依第 10.2 条向其他组织或政府机构通知的记录

AI 事件与严重事故报告记录（事件台账 + 对外报告底稿）

附表 1 第 4.1.3 条要求组织对其占有或保管的个人信息负责，包括已转交第三方处理的信息，并须通过合同或其他方式在第三方处理期间提供可比水平的保护。对把加拿大数据交给中国母公司、境外云或标注供应商的场景，需要落地的是：数据处理协议中的目的限制与不得再利用条款、子处理者审批、安全控制清单、审计与检查权、事件通知时限、政府调取请求应对与通知机制、以及合同终止时的返还与销毁。透明度上，OPC 一贯要求组织在隐私政策中说明个人信息可能被转交境外处理并因此受当地法律管辖。

需留存证据：数据处理协议（含可比保护条款、子处理者与审计条款）；供应商安全尽调问卷与评估结论；隐私政策中关于境外处理的披露文本；合同终止时数据返还／销毁的执行证明

打开工具：跨境传输矩阵

第 10.3(1) 条要求组织按规定保存其所涉全部安全保障措施泄露的记录，不以是否达到"重大伤害现实风险"门槛为限；专员可要求提供该记录。因此即便评估后认定无须报告，也必须留存评估过程与结论，否则在专员调查中无法自证。明知违反第 10.3(1) 条依第 28 条构成犯罪。

需留存证据：泄露事件登记簿（全量，含未达报告门槛的事件）；每起事件的风险评估结论与理由；记录保存期限与访问控制策略；向专员提供记录的应答流程

AI 事件与严重事故报告记录（事件台账 + 对外报告底稿）

附表 1 的原则要求在收集时或之前确定目的、就个人信息的收集使用与披露取得个人的知情同意、并把收集限制在为已确定目的所必需的范围内，且须以公平合法的手段收集。AI 产品的高频争点是：把用户输入、对话记录或上传素材用于模型训练是否属于原始目的范围；实践上应把训练用途单独列示、提供可理解的说明与选择，并在目的变更时重新取得同意。同时依"限制使用、披露与保留"原则设定保留期限并在到期后销毁，这直接约束提示日志与训练快照的留存策略。

需留存证据：目的清单与收集必要性论证；同意取得界面截图与版本记录（含训练用途的单独说明）；保留期限矩阵与到期销毁执行记录；目的变更时重新取得同意的流程与记录

附表 1 的"个人访问"原则要求在个人提出请求时告知其个人信息的存在、使用与披露情况并提供访问，同时允许其质疑信息的准确性与完整性并要求更正；"对合规提出质疑"原则要求组织指定专人负责合规，并建立可供个人就其合规情况提出质疑的程序。第 14 条允许投诉人在收到专员报告或被告知调查中止后，就报告涉及的特定条款事项向联邦法院申请听审。实务上需要预先定义：访问请求的检索范围（是否含提示日志、向量库、模型输出）、身份核验、第三方信息的处理方式与拒绝理由的记录。

需留存证据：访问请求处理流程与检索范围界定文件；访问请求台账（受理日、答复日、提供或拒绝范围与理由）；合规负责人的指定文件与对外公开渠道；合规质疑受理与处理记录