Resumo

  • A Parte 1 da Bill C-8 alterou a Telecommunications Act e entrou em vigor com a aprovação real.
  • A Parte 2 criou a Critical Cyber Systems Protection Act, mas a consolidação oficial mais recente ainda a marca como não vigente.

Uma lei aprovada pode conter um regime que ainda não começou

A Bill C-8 recebeu aprovação real em 15 de junho de 2026. O texto altera a Telecommunications Act e promulga uma lei distinta, a Critical Cyber Systems Protection Act (CCSPA). As duas partes, porém, não começaram juntas. A Parte 1 entrou em vigor imediatamente. A Parte 2 depende de uma ou mais datas fixadas pelo Governor in Council. A consolidação oficial atualizada até 21 de setembro de 2026 ainda a identifica como não vigente.

A diferença define o que pode ser exigido agora. A Parte 1 permite restringir o uso de produtos ou serviços de uma pessoa especificada e ordenar a retirada de produtos da rede de um prestador. O Ministro da Indústria também pode exigir planos de segurança, avaliações e mitigação de vulnerabilidades, padrões, revisão de compras e sistemas de backup. A ordem deve ser necessária e razoável diante da gravidade da ameaça. O governo precisa considerar efeitos operacionais e financeiros, continuidade do serviço e privacidade.

A CCSPA segue outra lógica: obrigações para operadores designados por classe. Ela prevê programas de cibersegurança, mitigação de riscos de fornecedores e comunicação de incidentes. A inclusão de telecomunicações entre os serviços vitais não transforma automaticamente cada prestador em operador designado. O prazo de comunicação — que o regulamento fixará, limitado a no máximo 72 horas — faz parte dessa estrutura futura; não é um contador que já corre para todas as empresas.

A ordem tem um circuito de divulgação e fiscalização

Uma ordem da Parte 1 pode proibir a divulgação de sua existência ou de parte do conteúdo. O sigilo não é automático. Antes de incluí-lo, o decisor deve avaliar se a divulgação comprometeria o objetivo, se o sigilo é necessário, se pode ser limitado, o impacto sobre transparência e prestação de contas e as manifestações do prestador afetado.

Quando não há sigilo, a lei exige que as pessoas indicadas recebam aviso em até sete dias. Se a ordem proíbe divulgação, o Ministro deve notificar em até 90 dias o National Security and Intelligence Committee of Parliamentarians e a National Security and Intelligence Review Agency. O relatório anual ao Parlamento deve indicar número e natureza das ordens, revogações, prestadores afetados, níveis de cumprimento e a justificativa de necessidade, razoabilidade e utilidade. Deve também registrar quantas vezes uma ordem prevaleceu sobre uma decisão da CRTC. Após ser apresentado, um resumo deve ser publicado.

Esse desenho permite avaliar como o poder foi usado sem exigir a divulgação imediata de todos os detalhes sensíveis. A prova operacional será se os relatórios aparecem no prazo, explicam efeitos para clientes e operadores e mostram quando uma ordem alterou uma decisão regulatória.

A segurança de rede não elimina limites legais

A Telecommunications Act proíbe ordenar a interceptação de comunicação privada. A CCSPA prevê proteção equivalente, e o texto preserva a Privacy Act. As ordens podem alcançar redes, compras e medidas contra vulnerabilidades; não devem ser descritas como autorização geral para interceptar comunicações.

A Bill C-8 precisa ser lida com dois relógios: as ordens de segurança em telecomunicações já podem ser usadas; os programas e relatórios obrigatórios para operadores designados aguardam vigência e designações. Empresas podem se preparar para o regime promulgado sem apresentar seus deveres futuros como obrigações atuais. O governo ainda precisa tornar visíveis o começo da Parte 2, as classes designadas e o regulador competente.

A Nota 73 de Heng Lu entra apenas como lente editorial para separar quem é afetado de quem tem mandato para tomar decisões vinculantes e para perguntar quais evidências permitem verificar seu uso. Os fatos jurídicos vêm da legislação canadense.

Fontes