Chính phủ liên bang Canada vừa công bố một dự luật quyền riêng tư mới, có thể thay đổi căn bản cách các công ty sử dụng thông tin cá nhân của người dân, bao gồm việc hạn chế hành vi tăng giá dựa trên lịch sử duyệt web, vị trí địa lý hoặc thói quen mua sắm.
Dự luật C-36, có tên chính thức là Đạo luật Bảo vệ Quyền riêng tư và Dữ liệu Người tiêu dùng, đã được Bộ trưởng Bộ Trí tuệ nhân tạo và Đổi mới Kỹ thuật số Evan Solomon trình lên Hạ viện vào ngày 15/6/2026. Nếu được thông qua, đạo luật này sẽ thay thế luật quyền riêng tư hiện hành của Canada, vốn đã có từ hơn 25 năm trước, khi điện thoại thông minh, mạng xã hội và trí tuệ nhân tạo chưa ra đời.
Dự luật được đưa ra trong bối cảnh năm 2026 chứng kiến hàng loạt cải cách bảo vệ người tiêu dùng liên bang, bao gồm trần phí ngân hàng, cấm phí điện thoại di động và các quy định chặt chẽ hơn đối với dịch vụ kỹ thuật số.
Định giá giám sát là gì và tại sao bạn nên quan tâm?
Định giá giám sát là hành vi các công ty sử dụng dữ liệu cá nhân của bạn để tính giá khác nhau cho cùng một sản phẩm hoặc dịch vụ. Không giống như giảm giá, phiếu giảm giá hay ưu đãi thành viên, hình thức này dựa trên thông tin như vị trí, thu nhập, lịch sử mua hàng và loại thiết bị bạn đang sử dụng để xác định mức giá tối đa mà bạn sẵn sàng trả. Tài liệu của chính phủ về Dự luật C-36 xác định đây là hành vi sử dụng thông tin cá nhân không công bằng mà luật mới nhắm tới.
Dự luật C-36 mang lại lợi ích gì cho người dân?
Dự luật C-36 sẽ thay thế Phần 1 của Đạo luật Bảo vệ Thông tin Cá nhân và Tài liệu Điện tử (PIPEDA) bằng một đạo luật hoàn toàn mới. Những thay đổi chính bao gồm:
- Quyền yêu cầu xóa dữ liệu: Bạn có quyền yêu cầu công ty xóa thông tin cá nhân trong một số trường hợp, như khi dữ liệu được thu thập không có sự đồng ý hoặc không còn cần thiết.
- Minh bạch về quyết định tự động: Các công ty sử dụng AI hoặc thuật toán để đưa ra quyết định ảnh hưởng đến bạn (ví dụ: phê duyệt tín dụng, tuyển dụng, định giá) phải thông báo và giải thích cách thức hoạt động. Bạn có quyền yêu cầu xem xét lại bởi con người.
- Bảo vệ dữ liệu trẻ em: Thông tin của người dưới 18 tuổi được coi là nhạy cảm, đòi hỏi tiêu chuẩn bảo vệ cao hơn.
- Đồng ý có ý nghĩa: Công ty phải giải thích rõ ràng bằng ngôn ngữ đơn giản về loại dữ liệu thu thập, mục đích và cách sử dụng. Không được ép buộc người dùng đồng ý thu thập dữ liệu không cần thiết.
- Di chuyển dữ liệu: Bạn có thể chuyển dữ liệu cá nhân từ công ty này sang công ty khác, tương tự như chuyển mạng điện thoại.
Cơ chế thực thi và mức phạt
Một điểm yếu lớn của luật hiện hành là năng lực thực thi hạn chế. Dự luật C-36 khắc phục điều này bằng cách thành lập Ủy ban An toàn Kỹ thuật số và Bảo vệ Dữ liệu Canada, có quyền ra lệnh ràng buộc và áp mức phạt tài chính đáng kể.
| Loại vi phạm | Mức phạt tối đa |
|---|---|
| Phạt hành chính | 10 triệu CAD hoặc 3% tổng doanh thu toàn cầu (tùy theo mức cao hơn) |
| Vi phạm nghiêm trọng nhất | 25 triệu CAD hoặc 5% tổng doanh thu toàn cầu |
Ngoài ra, luật cho phép người dân khởi kiện đòi bồi thường thiệt hại sau khi có phán quyết hoặc thỏa thuận tuân thủ. Đây là bước tiến lớn so với hệ thống hiện tại, nơi các nạn nhân của vụ rò rỉ dữ liệu CRA năm 2020 phải kiện tập thể mới nhận được bồi thường.
So sánh giữa luật cũ và mới
| Đặc điểm | Luật hiện hành (PIPEDA) | Dự luật C-36 (PPCDA) |
|---|---|---|
| Quyền riêng tư như một quyền cơ bản | Không được nêu rõ | Được công nhận |
| Quyền xóa dữ liệu | Không có | Có |
| Định giá giám sát | Không được đề cập | Được xác định là hành vi cần giải quyết |
| Quyết định tự động | Không có quy định | Yêu cầu minh bạch và giải thích |
| Dữ liệu trẻ em | Không có phân loại đặc biệt | Được coi là nhạy cảm |
| Mức phạt tối đa | 100.000 CAD | 25 triệu CAD hoặc 5% doanh thu toàn cầu |
| Cơ quan quản lý | Ủy viên Bảo vệ Quyền riêng tư (điều tra, yêu cầu tòa án thực thi) | Ủy ban An toàn Kỹ thuật số (ra lệnh ràng buộc) |
| Kiện tư nhân | Rất hạn chế | Được phép sau khi có phán quyết hoặc kết tội |
| Di chuyển dữ liệu | Không có khung pháp lý | Quyền chuyển dữ liệu khi có khung được phê duyệt |
| Chuyển dữ liệu xuyên biên giới | Yêu cầu hạn chế | Yêu cầu đánh giá tác động quyền riêng tư |
Những điều dự luật không cấm hoàn toàn
Dự luật C-36 không cấm hoàn toàn định giá giám sát. Bộ trưởng Solomon giải thích rằng chính phủ không muốn ngăn cản các chương trình khách hàng thân thiết hay giảm giá có lợi cho người tiêu dùng. Ranh giới được vẽ ra giữa việc sử dụng dữ liệu để mang lại lợi ích và khai thác người tiêu dùng. Lãnh đạo đảng NDP Avi Lewis chỉ trích cách tiếp cận này, cho rằng dự luật không đề cập trực tiếp đến định giá giám sát mà phụ thuộc vào cơ quan quản lý mới.
Dự luật cũng yêu cầu các công ty thực hiện đánh giá tác động quyền riêng tư trước khi gửi dữ liệu cá nhân ra nước ngoài, phản ánh mối lo ngại về chủ quyền dữ liệu.
Khi nào luật có hiệu lực?
Dự luật C-36 mới được đọc lần đầu vào ngày 15/6/2026. Quốc hội đã nghỉ hè và sẽ họp lại vào ngày 21/9/2026. Dự luật cần trải qua nhiều bước: đọc lần hai, nghiên cứu tại ủy ban, đọc lần ba, Thượng viện và phê chuẩn hoàng gia. Đây là lần thứ ba Canada nỗ lực hiện đại hóa khung pháp lý về quyền riêng tư, sau khi Dự luật C-11 chết năm 2021 và Dự luật C-27 chết năm 2025.
Nếu được thông qua, luật sẽ có hiệu lực phụ thuộc vào việc thành lập Ủy ban An toàn Kỹ thuật số và Bảo vệ Dữ liệu, được tạo ra theo một dự luật riêng (C-34).
Luật tỉnh bang và những gì bạn có thể làm ngay
Alberta, British Columbia và Quebec có luật quyền riêng tư riêng. Nếu Dự luật C-36 được thông qua, các luật này sẽ được đánh giá lại. Ontario gần đây đã ban hành quyền đóng băng tín dụng miễn phí, và Manitoba đã đề xuất cấm các nhà bán lẻ sử dụng dữ liệu để tăng giá.
Ngay cả khi dự luật chưa được thông qua, bạn có thể bảo vệ thông tin cá nhân bằng cách: kiểm tra cài đặt quyền riêng tư trên các ứng dụng, hạn chế quyền truy cập vị trí, chặn cookie không cần thiết, và sử dụng cửa sổ trình duyệt riêng tư khi so sánh giá.
Dự luật C-36 là nỗ lực tham vọng nhất trong hơn hai thập kỷ nhằm hiện đại hóa khung pháp lý về quyền riêng tư của Canada. Nếu được thông qua, người dân sẽ có quyền kiểm soát mạnh mẽ hơn đối với dữ liệu cá nhân, quyền yêu cầu xóa dữ liệu, giải thích rõ ràng khi thuật toán đưa ra quyết định, và các biện pháp trừng phạt có ý nghĩa đối với các công ty vi phạm.
