¿Qué es el Proyecto de Ley C-22 de Canada?
El Proyecto de Ley C-22, formalmente denominado An Act respecting lawful access (Ley de Acceso Legal), fue introducido al Parlamento de Canadá en marzo de 2026 por el gobierno Liberal. Su objetivo declarado es modernizar las herramientas de investigación criminal para adaptarlas a la era digital, actualizando un marco legal que hasta ahora resultaba obsoleto frente a plataformas, aplicaciones y servicios en la nube. Si bien el gobierno asegura que no crea nuevas facultades de interceptación de contenido, las disposiciones sobre vigilancia de metadatos y las obligaciones impuestas a los proveedores de servicios digitales generan un debate profundo sobre privacidad y seguridad de la información.
Las Disposiciones Clave: Qué Datos Puede Obtener el Estado
Metadatos y Datos de Transmisión
Uno de los ejes centrales del Bill C-22 es la autorización de órdenes judiciales para acceder a datos de seguimiento y transmisión: marcas temporales de comunicaciones, ubicaciones derivadas de torres celulares, registros de uso de servicios y dispositivos asociados. Crucialmente, el proyecto de ley establece que los proveedores de telecomunicaciones deberán retener categorías específicas de metadatos hasta por 12 meses, según reglamentaciones futuras, resolviendo el problema de que muchas empresas eliminaban estos datos rápidamente.
Datos de Suscriptores y la Nueva "Confirmación de Servicio"
El proyecto introduce una figura novedosa: la "demanda de confirmación de servicio", que permite a las autoridades consultar a una empresa de telecomunicaciones si presta o no servicio a un número de teléfono o dirección IP determinada, sin necesidad de orden judicial. Esta consulta se limita a un sí o un no. Para obtener información completa del suscriptor —nombre, domicilio, tipos de servicio— se requiere una orden de producción judicial, aunque con un umbral reducido de "sospecha razonable" en lugar de la causa probable tradicional.
👥 ¿Quieres ir más allá de la noticia?
En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.
👥 Unirme a la comunidadProveedores "Core" y Obligaciones Técnicas
La ley faculta al gobierno a designar, mediante reglamento, a ciertos actores como "proveedores esenciales" (core providers): telecomunicadoras, grandes plataformas como Google u otras empresas de servicios electrónicos de relevancia. Estos proveedores quedarán obligados a construir y mantener capacidades técnicas que permitan el acceso legal a datos bajo autorización judicial. Adicionalmente, se prevén Órdenes Ministeriales —sujetas a revisión por el Comisionado de Inteligencia— que pueden exigir capacidades específicas a cualquier proveedor de servicios electrónicos.
Cooperación Internacional
El Bill C-22 también amplía el alcance internacional: permite emitir órdenes para obtener datos de transmisión e información de suscriptores de entidades de telecomunicaciones y proveedores electrónicos en el extranjero, y modifica la Ley de Asistencia Mutua en Materia Penal para ejecutar órdenes de producción extranjeras sobre datos en poder de empresas en territorio canadiense.
¿Por Qué Importa Esto a los Fundadores de Startups Tecnológicas?
Si diriges una startup que opera en Canadá, recopila datos de usuarios canadienses o utiliza infraestructura en ese país, el Bill C-22 tiene implicaciones directas para tu operación:
- Obligaciones de retención de datos: Si tu empresa es clasificada como proveedor de servicios electrónicos relevante, podrías estar obligado a retener metadatos por hasta un año, lo que implica costos de almacenamiento y procesos de cumplimiento.
- Diseño de producto con privacidad por defecto: La ley obliga a repensar arquitecturas de datos. Si tu startup maneja comunicaciones, ubicaciones o datos de uso, necesitas revisar tu política de retención y tu capacidad técnica de respuesta a órdenes judiciales.
- Riesgo regulatorio en etapas de fundraising: Inversores y fondos de venture capital con foco en privacidad y cumplimiento (especialmente los de mercados europeos o norteamericanos regulados) preguntarán por tu estrategia de compliance ante leyes como esta.
- Umbral de "sospecha razonable": La reducción del estándar probatorio para acceder a datos de suscriptores baja la barrera de intervención estatal sobre tus usuarios, lo que puede afectar la confianza de tu base de clientes.
Voces a Favor y en Contra: El Debate no está Resuelto
Los que Apoyan el Proyecto
La Asociación Canadiense de Jefes de Policía y la Asociación de Jefes de Policía de Columbia Británica (BCACP) respaldan el proyecto argumentando que moderniza el acceso a evidencia digital bajo supervisión judicial, sin autorizar interceptación de contenido (mensajes, correos electrónicos). Para las fuerzas del orden, la legislación vigente era un obstáculo real en investigaciones de fraude digital, explotación infantil y cibercrimen organizado.
Los que lo Critican
La Asociación del Colegio de Abogados de Canadá (CBA) califica el proyecto de "aún insuficiente" en términos de salvaguardas, a pesar de ser más acotado que su antecesor, el fallido Bill C-2. Las críticas principales apuntan a:
- Posibles mandatos encubiertos para acceso en tiempo real a datos.
- Expansión de poderes internacionales sin garantías de privacidad robustas.
- Recursos insuficientes para el Comisionado de Inteligencia, quien debe supervisar las Órdenes Ministeriales.
- Ausencia de fundamentos demostrados y supervisión judicial completa en todos los accesos a datos personales.
El experto Robert Diab, en su análisis del proyecto, reconoce mejoras respecto a versiones anteriores —como el alcance acotado de las consultas de suscriptores y los factores de supervisión—, pero advierte que la nueva obligación de retención de metadatos representa una expansión sin precedentes que no existía en la legislación anterior.
Por su parte, la Cámara de Comercio de Canadá llama a considerar los costos de cumplimiento y los riesgos de privacidad y ciberseguridad en la elaboración de los reglamentos que darán forma concreta a las obligaciones de los proveedores.
El Contexto de los "Five Eyes" y la Presión Geopolítica
Canadá es el único miembro de la alianza de inteligencia Five Eyes —junto con Estados Unidos, Reino Unido, Australia y Nueva Zelanda— que no contaba con un marco formal de acceso legal equivalente. Esta brecha ha sido señalada reiteradamente por socios de inteligencia y organismos como el Comité de Revisión de Inteligencia y Seguridad Nacional (NSICOP). El Bill C-22 responde, en parte, a esa presión geopolítica, buscando armonizar los estándares de cooperación en ciberinvestigaciones internacionales.
¿Cuáles son los Próximos Pasos del Proyecto de Ley?
El Bill C-22 fue introducido en primera lectura en el Parlamento canadiense el 11 de marzo de 2026. A partir de aquí deberá atravesar el proceso legislativo completo: segunda y tercera lectura en la Cámara de los Comunes, estudio en comité, paso por el Senado y sanción real. El propio proyecto contempla una revisión parlamentaria obligatoria a los tres años de su entrada en vigor. El debate parlamentario y las audiencias de comité serán el escenario donde organizaciones de la sociedad civil, empresas tecnológicas y expertos en privacidad tendrán oportunidad de incidir en el texto final.
Conclusión
El Bill C-22 de Canadá es mucho más que una actualización técnica de la legislación de acceso legal: es un punto de inflexión en cómo los estados democráticos resuelven la tensión entre la seguridad pública y la protección de datos en la era digital. Para los founders de startups tecnológicas, especialmente quienes operan en mercados de habla inglesa o tienen usuarios canadienses, este proyecto de ley debe aparecer en el radar de compliance ya mismo. La ventana para influir en su reglamentación —donde se definirán los detalles concretos de las obligaciones— está abierta. Y las decisiones de arquitectura de datos que tomes hoy determinarán qué tan costoso y complejo será adaptarte mañana.
Profundiza estos temas con nuestra comunidad de founders expertos en regulacion tech, privacidad y estrategia de datos.
Fuentes
- https://www.parl.ca/DocumentViewer/en/45-1/bill/C-22/first-reading (fuente original)
- https://www.canada.ca/en/public-safety-canada/news/2026/03/backgrounder–securing-access-to-information-in-bill-c-22.html (fuente adicional)
- https://www.robertdiab.ca/posts/bill-c22/ (fuente adicional)
- https://nationalmagazine.ca/en-ca/articles/law/hot-topics-in-law/2026/new_lawful_access_bill_still_lacking (fuente adicional)
- https://www.dataguidance.com/news/canada-bill-respecting-lawful-access-introduced (fuente adicional)
- https://chamber.ca/news/our-response-to-the-introduction-of-bill-c-22-an-act-respecting-lawful-access/ (fuente adicional)
- https://www.bcacp.ca/blog/bcacp-supports-bill-c-22-to-modernize-lawful-access/ (fuente adicional)
