先说三句：加拿大《网络隐私法案》C-27 曾提出《消费者隐私保护法》（CPPA），承诺给网民 5 个全新数据权利——删除、携带、算法透明、撤回同意、私人诉讼，但它在 2025 年 1 月 6 日国会休会（prorogation）时已胎死腹中，至今没有成为法律；目前联邦私营部门隐私法仍是老的 PIPEDA；魁北克的 25 号法案（Law 25）已生效，是加拿大当下最严格的隐私标准。本文把法案里的 5 个权利逐条讲透，并告诉你现在手里真正能用的权利有哪些。
一、C-27 到底是个什么法案
《数字宪章实施法案，2022》（Digital Charter Implementation Act, 2022），即国会法案 C-27（Bill C-27），2022 年 6 月 16 日在众议院一读。它的野心很大，一口气要立三部法：
- 《消费者隐私保护法》（Consumer Privacy Protection Act，简称 CPPA）：取代联邦老法《个人信息保护和电子文件法》（PIPEDA）中私营部门部分的核心；
- 《个人信息与数据保护法庭法》（Personal Information and Data Protection Tribunal Act，PIDPTA）：设立专门的数据保护法庭；
- 《人工智能和数据法》（Artificial Intelligence and Data Act，简称 AIDA）：加拿大第一部联邦人工智能专门立法。
2023 年 4 月，C-27 通过众议院二读，送交工业与科技常设委员会（INDU）逐条审议，委员会开了 31 场会议、听了 69 位证人。但 2025 年 1 月 6 日国会休会（prorogation），法案直接”死在议事日程上”（dies on the Order Paper），2021 年前任法案 C-11 也是同样命运。截至 2026 年 10 月 14 日，联邦政府尚未推出接替的新法案，CPPA 仍然不是法律。任何跟你说”C-27 已经生效”的信息都是错的。
二、5 个新权利全解：权利 1——数据删除权（Right to Disposal）
CPPA 拟新增的核心权利之一：个人可以要求企业删除（dispose of）其控制之下的你的个人信息，企业必须执行，除非有法定例外情形（如履行合同必需、防范欺诈等）。这比现行 PIPEDA 下”撤回同意”更进一步——撤回同意主要约束未来使用，删除权直接要求把已存数据抹掉。
对普通网民的意义：比如你多年不用的一家电商 APP，里面存着你十年前的地址、电话、支付记录。按 CPPA，你可以写一封邮件要求”删除我的全部个人信息”，企业必须响应。同时法案特别强化了对未成年人的保护：凡是从未成年人处收集的信息默认视为”敏感信息”，企业对涉及未成年人的删除请求要更爽快地执行。
现在能用吗？CPPA 本身未生效。但魁北克 Law 25 2023–2024 年分阶段生效后，魁省居民已实际享有”停止传播、去索引和删除”（right to be forgotten）的权利。若你在魁北克，可以直接援引省法行使删除权，其他省份暂以 PIPEDA 下的投诉和协商途径为主。
三、权利 2——数据携带权（Data Mobility / Data Portability）
第二个新权利是数据携带：个人有权要求一家企业把自己的个人信息转移给另一家指定企业。这要配合未来的”数据携带框架”（data mobility framework）法规落地。典型场景：你想从一家银行换到另一家，不用重新提交收入证明、账单记录，数据可以直接”打包带走”。这类似于欧盟 GDPR 下的数据可携带权。
对消费者最实际的好处是打破”数据锁定”：社交平台、银行、保险公司都不能再用”你所有历史数据都在我这”来绑住你。法案还要求这种转移必须在安全、可互操作的格式下进行，不能企业之间互相设置技术壁垒。
时间线提醒：该权利高度依赖后续法规细则，即使 CPPA 将来重新提出并通过，框架落地也需要数年。短期内，换银行、换保险仍然建议你自己导出对账单和保单 PDF 备份。
四、权利 3——算法透明权（Algorithmic Transparency）
这是 C-27 里最有时代感的一条：当企业用自动化决策系统（automated decision system）对你做出预测、推荐或决定，且该决定可能对你产生”重大影响”（significant impact）时，你有权要求企业解释这个决定是怎么来的。
重大影响包括但不限于：贷款被拒、求职简历被 AI 筛掉、保险费率被算法上调、租房申请被系统打分淘汰。法案要求企业说明用了哪些数据、算法大致逻辑是什么。对普通人的操作意义是：下次被银行 APP 的信用评估”莫名其妙”拒绝，你可以要求人工复核并索要解释，而不是只能接受”系统就是这么判的”。
配套的 AIDA 还对”高影响 AI 系统”（high-impact AI systems，如招聘、生物识别、重要公共服务、医疗、执法场景的 AI）设定了额外的评估和记录义务。值得注意的是，即使 CPPA 夭折，各省雇主使用 AI 筛简历的趋势也在被监管盯上——安大略省已对招聘中的 AI 使用提出更严格的审视要求。
五、权利 4——撤回同意权（Withdrawal of Consent）的强化
PIPEDA 时代撤回同意的规则比较模糊。CPPA 拟明确：同意必须用”普通人能合理理解的通俗语言”（plain language）取得，企业必须事先说清楚五件事：收集目的、收集方式、可合理预见的后果、涉及的具体个人信息类型、以及接收数据的第三方名称或类型。撤回时也只需”合理通知”，企业不得设置障碍。
对网民的操作模板：每个 APP 的”隐私设置”里都有”撤回营销同意”或”关闭个性化广告”开关，CPPA 的精神就是这些开关必须真实有效——点关闭后企业必须停止基于同意的数据使用，而不是偷偷换个名目继续用。现在就可以做的：去手机设置里逐个检查高频 APP 的”个性化广告””数据共享”开关，能关的都关掉。
六、权利 5——私人诉讼权（Private Right of Action）
第五个新权利最”硬核”：当加拿大隐私专员办公室（OPC）或新设的数据保护法庭认定企业违反隐私义务后，受害个人可以直接起诉企业，要求赔偿因隐私侵害遭受的损失。这是现行 PIPEDA 下没有的——现在你只能向 OPC 投诉，等专员调查、公布结论，赔偿要走联邦法院的漫长程序。
配合的罚则也大幅加码：CPPA 拟引入行政罚款，最高可达企业全球年营收的 3% 或 1000 万加元（取其高）；刑事犯罪罚款最高可达全球年营收的 5% 或 2500 万加元。这个量级对标欧盟 GDPR，目的是让大公司真正把隐私合规当回事。
七、关键时间线：一眼看懂 C-27 的一生
- 2020 年 11 月 17 日：前任法案 C-11 一读；
- 2021 年 8 月 15 日：国会解散，C-11 夭折；
- 2022 年 6 月 16 日：C-27 一读，提出 CPPA + 法庭法 + AIDA 三件套；
- 2023 年 4 月 24 日：众议院二读通过，转 INDU 委员会审议；
- 2023 年 10 月–2024 年 5 月：委员会逐条审议、听取 69 位证人，部长提交 CPPA/AIDA 修正案文本；
- 2025 年 1 月 6 日：国会休会（prorogation），C-27 死亡，委员会研究同步终止；
- 2026 年 10 月 14 日（今天）：尚无接替法案提出，联邦私营部门隐私法仍是 PIPEDA。
八、现在真正能用的权利清单（不依赖 C-27）
C-27 没通过，不代表你手里没牌。以下是 2026 年今天你实际可用的隐私权利：
- 知情权：企业必须告知收集目的、用途和披露对象，隐私政策必须清晰可读；
- 访问权：可向企业索要其持有的你的个人信息副本；
- 更正权：信息有误可要求更正；
- 撤回同意：PIPEDA 下已有，可随时撤回（需合理通知）；
- 向 OPC 投诉：企业不理你，可向加拿大隐私专员办公室投诉，专员可调查、公布结论并移交联邦法院；
- 魁北克居民额外权利：Law 25 下的删除/去索引权、强制隐私影响评估、默认最高负责人担责；
- 各省省法：阿尔伯塔、BC 省有各自的《个人信息保护法》（PIPA），省内经营活动适用省法。
九、常见坑与红线：6 条
- 坑 1：”C-27 已生效”的营销话术——有公司借法案名头推销”合规服务”或吓唬消费者，记住：C-27 不是法律，任何以”新法已生效”为前提的收费服务都要警惕。
- 坑 2：把”删除账号”当成”删除数据”——很多平台注销账号后仍保留数据用于”分析”，真正的删除要书面要求并拿到确认回复。
- 坑 3：隐私政策一拉到底点同意——CPPA 想解决的正是这个问题：同意必须是”通俗语言+五要素说明”。现在的做法是：重点看”数据共享””第三方”章节。
- 坑 4：免费 APP 的代价是数据——同意撤回后企业可能换用”合法利益”等名目继续处理，定期复查授权比一次性设置更重要。
- 红线 5：跨境传输——你的数据被传到加拿大境外（如美国云服务器）时，企业应做增强披露；在魁北克还需正式评估。涉及敏感信息时多问一句”数据存哪”。
- 红线 6：未成年人数据——给孩子注册 APP、上传孩子照片前，确认平台有儿童隐私保护条款；魁省 Law 25 下 14 岁以下儿童信息保护最为严格。
十、新手 checklist：今天就能做的 7 件事
- ☐ 给 3 个最常用的 APP 发邮件，要求提供你的个人信息副本（行使访问权）；
- ☐ 关闭手机系统级”个性化广告”和”跨 APP 追踪”；
- ☐ 检查银行/保险 APP 的”数据共享”开关，能关则关；
- ☐ 给已停用的旧账号发删除请求，留存书面确认；
- ☐ 魁北克居民：向常用平台行使删除/去索引权；
- ☐ 被算法拒绝（贷款/求职/保险）时，书面要求人工复核和解释；
- ☐ 企业 30 天不回复你的权利请求，向 OPC（priv.gc.ca）提交投诉。
十一、C-27 死了，之后会怎样
法案死亡不等于议题死亡。三个方向值得普通网民关注：一是联邦政府大概率会以新法案形式重启隐私改革，CPPA 的 5 个权利设计已是跨党派共识度较高的部分，重提时很可能保留骨架；二是各省正在”补位”，魁北克 Law 25 已是北美最严之一，安大略、BC、阿尔伯塔都在推进各自改革；三是欧盟已完成对加拿大隐私”充分性认定”（adequacy decision）的首次复审，明确表示 C-27 式改革能进一步强化保护——这关系到加欧数据自由流动的经济利益，是重启立法的硬动力。
对普通人的建议就一句话：别等新法，用好现有权利。PIPEDA + 各省省法 + OPC 投诉渠道，已经是一套能用的工具箱。等 CPPA 真正重提通过那天，你今天养成的”定期查授权、书面要删除”习惯，会直接变成新法下的熟练操作。
十二、FAQ
Q1：C-27 现在到底算不算法律？我需要遵守吗？
A：不算。它 2025 年 1 月 6 日随国会休会而死亡，从未生效。普通网民和企业现在遵守的仍是 PIPEDA（联邦）及各省相关法律。但企业仍建议提前按 CPPA 方向做准备，因为改革重启是大概率事件。
Q2：我想让某公司删除我的数据，具体怎么写请求？
A：发邮件给该公司的隐私负责人（privacy officer），写明：你的姓名、账号信息、”要求删除贵公司持有的我的全部个人信息并书面确认”。魁北克居民可直接援引 Law 25，其他省份援引 PIPEDA 下的访问/更正与撤回同意权利。若 30 天无实质回复，向 OPC 投诉。
Q3：数据携带权现在能用吗？我想换银行不重交材料。
A：还不能。这是 CPPA 拟新增、依赖后续”数据携带框架”法规的权利，目前没有法律依据强制银行之间直接转交你的资料。现阶段换银行仍需自己准备收入证明、账单等文件，建议提前导出 PDF 备份。
Q4：被 AI 拒绝贷款/求职，我现在有什么办法？
A：CPPA 的算法透明权尚未生效，但你可以：① 书面要求企业说明拒绝理由并申请人工复核；② 若怀疑歧视，向加拿大人权委员会或省人权机构咨询；③ 向 OPC 投诉企业未充分说明自动化决策依据。保留所有书面沟通记录。
Q5：C-27 的罚款 3% 营收是真的吗？对我有什么用？
A：这是 CPPA 草案拟定的行政罚款上限（全球营收 3% 或 1000 万加元取其高；刑事犯罪 5% 或 2500 万加元），从未生效。它的意义在于告诉你未来企业违规成本会很高——现在投诉、留证据，将来新法落地后维权环境只会更好。
相关阅读
相关阅读
官方来源：Office of the Privacy Commissioner of Canada (priv.gc.ca)、Parliament of Canada LEGISinfo (lop.parl.ca)、Government of Canada Justice Laws Website (laws-lois.justice.gc.ca)。核验于 2026年10月14日。
关键政策以 IRCC / CRA / 各省官网为准。本文仅供信息参考，不构成法律/移民/医疗/投资建议。
📱 更多加拿大生活干货，欢迎加微信交流：UUUMGT
