canada-pipeda

加拿大 PIPEDA 合规

概述

《个人信息保护与电子文件法》（PIPEDA，S.C. 2000, c. 5）是加拿大联邦层面的私营部门隐私法律。该法适用于在商业活动过程中收集、使用或披露个人信息的组织，也适用于联邦工程、事业和企业员工的个人信息。PIPEDA 将加拿大标准协会（CSA）的《个人信息保护示范规范》（CAN/CSA-Q830-96）纳入附表 1，其中确立了 10 项公平信息原则。

加拿大隐私专员办公室（OPC）负责监督 PIPEDA 合规情况、调查投诉、开展审计并发布调查结果和指导意见。《数字隐私法》（S.C. 2015, c. 32）修订了 PIPEDA，增加了强制性违规报告、有效同意要求以及更完善的执法条款。

注意：PIPEDA 不适用于已颁布实质上相似法律的省份（阿尔伯塔省 PIPA、不列颠哥伦比亚省 PIPA、魁北克省《私营部门个人信息保护法》）。不过，PIPEDA 仍适用于所有省份的省际和国际个人信息传输，以及受联邦监管的组织。

10 项公平信息原则（附表 1）

原则 1 — 问责制（第 4.1 条）

组织对其控制下的个人信息负有责任。组织必须指定一名或多名人员，负责确保遵守这些原则。即使个人信息被转交给第三方处理，组织仍须承担问责责任。

主要要求：

• 指定隐私专员或首席隐私官
• 制定政策和实践以落实这些原则
• 建立投诉处理程序
• 对员工进行隐私义务培训
• 编制信息，说明组织的政策和程序

原则 2 — 明确目的（第 4.2 条）

必须在收集个人信息时或收集之前明确收集目的。如果收集后出现新的目的，组织必须明确该新目的，并在将信息用于该目的之前重新征得同意。

原则 3 — 同意（第 4.3 条）

收集、使用或披露个人信息须取得个人的知情同意，但 PIPEDA 第 7(1)–(3) 条所列的不适当情形除外。

OPC 认可的同意形式：

• 明示同意：敏感信息（健康数据、财务信息、精确位置、儿童数据）必须取得明示同意
• 默示同意：在合理人士看来目的显而易见，且信息敏感度较低时，可以接受
• 选择退出式同意：在有限情况下，对于非敏感信息可以接受，但须告知个人并给予其合理的拒绝机会

OPC《获取有意义同意的指南》（2018 年）：

1. 强调关键要素——收集哪些个人信息、与谁共享、出于何种目的，以及可能造成的伤害风险
2. 让个人能够控制所接收信息的详细程度
3. 提供清晰选项：同意、拒绝、要求修改
4. 以创新且灵活的方式设计同意机制
5. 从消费者的角度评估同意
6. 将同意作为持续过程，而非一次性事件
7. 做好证明合规的准备——记录同意情况

原则 4 — 限制收集（第 4.4 条）

个人信息的收集范围应限于实现已明确目的所必需的信息。信息应通过公平且合法的方式收集。组织不得不加区分地收集个人信息。收集的每项个人信息都必须对应一个已明确的目的。

原则 5 — 限制使用、披露和保留（第 4.5 条）

除非获得个人同意或法律要求，否则不得将个人信息用于或披露于收集该信息时所述目的以外的用途。个人信息的保留时间不得超过实现这些目的所必需的期限。组织必须制定指南并实施相关程序，以保留和销毁个人信息。

原则 6 — 准确性（第 4.6 条）

个人信息应在实现其使用目的所必需的范围内保持准确、完整和最新。所需的准确程度取决于具体用途——用于对个人作出决定的信息必须足够准确，以尽可能降低作出不当决定的可能性。

原则 7 — 安全保障措施（第 4.7 条）

必须根据个人信息的敏感程度采取适当的安全保障措施予以保护。保护级别必须与敏感程度相称——信息越敏感，所需的安全保障措施越严格。

安全保障措施类别：

• 物理措施：上锁的文件柜、限制办公室出入、保持办公桌整洁的政策
• 组织措施：安全审查、按需知悉权限、员工培训、保密协议
• 技术措施：加密、密码、防火墙、审计跟踪、访问控制

原则 8 — 开放性（第 4.8 条）

组织应向个人轻松提供与个人信息管理相关的政策和实践的具体信息。这包括负责人的姓名或职务及地址、如何访问个人信息、所持信息类型的说明，以及对信息用途的概述。

原则 9 — 个人访问权（第 4.9 条）

个人提出请求后，应获告知其个人信息的存在、使用和披露情况，并应获准访问该信息。个人应能够对信息的准确性和完整性提出异议，并在适当情况下要求修正。

回应要求：

• 在收到请求后的 30 天内作出回应
• 免费或以最低费用提供信息
• 以一般人能够理解的形式提供信息
• 如果拒绝访问，应说明理由，并告知个人可采取的救济途径

允许拒绝访问的理由（第 9(3) 款）：

• 受律师与当事人保密特权保护的信息
• 在正式争议解决程序中生成的信息
• 有理由预期可能危及他人生命或安全的信息
• 会泄露机密商业信息的信息
• 为调查协议或法律遭到违反而收集的信息

原则 10 — 对合规情况提出质疑（第 4.10 条）

个人应能够向指定的组织合规负责人提出与上述原则合规情况有关的质疑。组织必须制定接收和回应投诉或询问的程序。组织必须调查所有投诉，并采取适当措施纠正信息处理实践。

安全保障措施遭到破坏（第 1.1 分部，第 10.1 至 10.3 条）

强制报告安全保障措施遭到破坏事件（第 10.1 条）

如果根据具体情况，有理由相信组织所控制的个人信息遭遇的安全保障措施遭到破坏事件会给个人造成重大损害的真实风险（RROSH），组织必须向 OPC 报告该事件。

RROSH 评估因素

RROSH 评估必须考虑：

• 所涉个人信息的敏感程度
• 信息已经、正在或将被滥用的可能性
• 任何其他规定因素

重大伤害包括：身体伤害、羞辱、声誉受损、失业、经济损失、身份盗用、信用记录受到负面影响、财产受损或丢失。

通知要求（第 10.1(3)-(6) 条）

向 OPC 报告：报告必须包含：

• 对泄露事件情况的描述，以及在已知情况下的原因
• 泄露发生的日期或时段
• 对所涉个人信息的描述
• 受影响个人的数量
• 为降低伤害风险或减轻伤害所采取的措施
• 该组织是否已通知受影响个人
• 可回答 OPC 问题的联系人的姓名和联系信息

通知受影响个人（第 10.1(4) 条）：

• 在确定存在 RROSH 后尽快通知
• 必须包含：对泄露事件的描述、所涉个人信息、已采取的措施、个人可采取的降低伤害风险的措施，以及进一步咨询的联系信息
• 通知必须显著醒目，并直接告知个人（若直接通知会造成进一步伤害，或组织没有联系信息，则可间接通知）

通知其他组织（第 10.2 条）：如果通知另一组织有助于降低伤害风险，则应通知该组织。

记录保存（第 10.3 条）

组织必须保存并维护其控制下涉及个人信息的每一起安全保障措施泄露记录，保存期限为组织确定泄露已发生之日起 24 个月。OPC 可要求查阅这些记录。

跨境传输

OPC 对传输的立场

PIPEDA 并不禁止跨境传输个人信息。然而，传输组织仍须根据原则 1（问责制）对这些信息负责。OPC 要求：

1. 通过合同或其他方式提供可比保护
2. 在隐私政策中明确说明跨境传输情况
3. 告知个人，其信息可能被传输至外国司法管辖区，并可能在合法授权下被该司法管辖区的执法部门访问
4. 对外国组织的隐私实践进行尽职调查

外国访问的影响

根据 OPC 在 PIPEDA 案例摘要 2009-008 中的调查结果，以及加拿大最高法院在 R. v. Spencer（2014 SCC 43）一案中的裁决，组织必须考虑到，传输至其他司法管辖区的个人信息可能会被外国政府依法访问。必须将这一点告知个人。

执法

OPC 的权力

• 接收并调查投诉（第 11-13 条）
• 开展审计（第 18 条）
• 公布调查结果和建议
• 签订合规协议（第 17.1 条）
• 向联邦法院申请强制合规命令（第 14-16 条）
• 向联邦法院申请包括赔偿和合规要求在内的命令（第 16 条）

联邦法院的救济措施（第 16 条）

应专员或投诉人的申请，联邦法院可命令组织：

• 改正其做法
• 公布已采取行动的通知
• 判给赔偿，包括因受到羞辱而给予的赔偿

处罚（第 28 条）

PIPEDA 规定的违法行为包括：

• 妨碍专员或其代表履职
• 销毁个人已请求获取的个人信息
• 对提出 PIPEDA 投诉的员工进行报复
• 未报告泄露事件或未保存泄露记录（第 1.1 分部）

最高罚款：简易定罪下，每项违法行为处以 100,000 CAD（个人）罚款。

关键监管参考资料

• PIPEDA（S.C. 2000, c. 5）
• 《数字隐私法》（S.C. 2015, c. 32）
• 《安全保障措施违规条例》（SOR/2018-64）
• OPC《获取有意义同意的指南》（2018）
• OPC《隐私与在线行为广告指南》（2023 年更新）
• OPC 关于个人信息跨境传输的立场（PIPEDA 解释公告）
• CSA 模型规范 CAN/CSA-Q830-96（PIPEDA 附表 1）