加拿大對個(gè)人信息保護(hù)采用綜合立法模式，主要體現(xiàn)在《隱私法》《個(gè)人信息保護(hù)與電子文件法》�；诖髷�(shù)據(jù)時(shí)代以及歐盟立法的影響，2015年6月18日加拿大通過《數(shù)字隱私法案》以及2018年11月生效的《數(shù)據(jù)泄露強(qiáng)制報(bào)告條例》對《個(gè)人信息保護(hù)與電子文件法》進(jìn)行修正，并圍繞修正案推出了一系列配套措施。
《數(shù)字隱私法案》的主要內(nèi)容包括：一、刪去了不包括機(jī)構(gòu)員工信息的規(guī)定，并增加了例外性規(guī)定。即采用了“概括+例外”的模式重新對“個(gè)人信息”進(jìn)行了界定。此次修訂的一大亮點(diǎn)是將“員工個(gè)人信息”納入“個(gè)人信息”定義范圍內(nèi)，并設(shè)立了“聯(lián)系信息”和“工作產(chǎn)品信息”兩大例外規(guī)定�？梢钥闯�，加拿大在保護(hù)個(gè)人信息的同時(shí)非常注重保護(hù)商業(yè)活動(dòng)發(fā)展的積極性。既對個(gè)人信息盡可能地全方位保護(hù)又確保給商業(yè)活動(dòng)留下充足的發(fā)展空間。二、完善事前防范機(jī)制，建立以“合理預(yù)期”為核心的有效同意制度�！秱�(gè)人信息保護(hù)與電子文件法》新增第6.1條規(guī)定，只有在機(jī)構(gòu)活動(dòng)針對的個(gè)人能夠合理預(yù)期并理解被收集、使用或披露的個(gè)人信息的性質(zhì)、目的和后果時(shí)，同意才是有效的。2018年5月加拿大隱私專員辦公室出臺(tái)了《有效同意指南》，為私營機(jī)構(gòu)設(shè)計(jì)同意程序提出了七項(xiàng)指導(dǎo)原則，以激發(fā)同意制度的效果。三、增設(shè)事中風(fēng)險(xiǎn)評估機(jī)制，即強(qiáng)制違規(guī)報(bào)告制度。2018年11月1日，加拿大數(shù)據(jù)泄露強(qiáng)制報(bào)告制度生效。該制度與《個(gè)人信息保護(hù)與電子文件法》第2.1條的“違反安全保障措施”有關(guān)。作為一種事中風(fēng)險(xiǎn)評估機(jī)制，它要求機(jī)構(gòu)對泄露的個(gè)人信息進(jìn)行風(fēng)險(xiǎn)損害評估并及時(shí)補(bǔ)救。四、強(qiáng)化隱私專員的執(zhí)法能力，賦予隱私專員新的執(zhí)行權(quán)。新修正的《個(gè)人信息保護(hù)與電子文件法》第17.1（1）條規(guī)定，隱私專員辦公室有合理的理由相信機(jī)構(gòu)已經(jīng)違反或可能違反該法有關(guān)內(nèi)容時(shí)，可要求機(jī)構(gòu)訂立強(qiáng)制性協(xié)議。
個(gè)人信息保護(hù)與電子文件法修正的背景
加拿大《個(gè)人信息保護(hù)與電子文件法》制定于2000年，當(dāng)時(shí)信息交換模式較為簡單，交易通常是常規(guī)的、可預(yù)測的和透明的，并未形成基于對個(gè)人信息和自動(dòng)化流程進(jìn)行無限制訪問的商業(yè)模型。但隨著大數(shù)據(jù)時(shí)代的到來，國際環(huán)境與商業(yè)模式發(fā)生了根本變化。
首先，大數(shù)據(jù)與物聯(lián)網(wǎng)的發(fā)展突破了傳統(tǒng)個(gè)人信息邊界。一方面，大數(shù)據(jù)與物聯(lián)網(wǎng)的發(fā)展影響了已有法律對個(gè)人信息和非個(gè)人信息的區(qū)分。由于大數(shù)據(jù)算法的特點(diǎn)是在各個(gè)數(shù)據(jù)之間建立關(guān)聯(lián)，所以具有重構(gòu)被剝離身份的能力。同樣，物聯(lián)網(wǎng)環(huán)境中的數(shù)據(jù)收集通常對個(gè)人是不可見的，消費(fèi)者與機(jī)構(gòu)之間沒有通道，無法以可見和透明的方式交換數(shù)據(jù)。另一方面，大數(shù)據(jù)加劇了敏感信息與非敏感信息的區(qū)分難度。在特殊場景下，即使是非敏感信息也可能變得敏感。被視為自身不敏感的單個(gè)信息是否變得敏感，取決于它與其他有關(guān)該個(gè)人的個(gè)人信息在大數(shù)據(jù)環(huán)境中結(jié)合后能夠顯示的內(nèi)容。
其次，數(shù)字生態(tài)下個(gè)人控制的局限性要求完善信息控制模式。在大數(shù)據(jù)與物聯(lián)網(wǎng)發(fā)展的早期，加拿大有關(guān)學(xué)者就指出，如果隱私立法是為了使人們能夠?qū)ζ鋫�(gè)人信息進(jìn)行有效的控制，則它必須采用一種能夠準(zhǔn)確反映人們行為的同意模式。隨著人工智能、大數(shù)據(jù)、區(qū)塊鏈技術(shù)的發(fā)展，《個(gè)人信息保護(hù)與電子文件法》也需要更新同意的相關(guān)內(nèi)容，解決個(gè)人對信息控制權(quán)弱化的問題。從現(xiàn)行立法看，《個(gè)人信息保護(hù)與電子文件法》根據(jù)不同風(fēng)險(xiǎn)等級(jí)對個(gè)人信息的同意形式進(jìn)行分類，實(shí)質(zhì)上是將個(gè)人控制權(quán)逐步向社會(huì)控制權(quán)過渡的表現(xiàn)�？傮w而言，個(gè)人對信息控制能力的局限性決定了需要依靠法律對同意制度重新設(shè)置，以實(shí)現(xiàn)個(gè)人與企業(yè)、社會(huì)共同控制的路徑。
加拿大與歐盟個(gè)人信息保護(hù)立法的差異
加拿大的《個(gè)人信息保護(hù)與電子文件法》與歐盟的《通用數(shù)據(jù)保護(hù)條例》存在許多差異，規(guī)定不及后者嚴(yán)格。這主要是《通用數(shù)據(jù)保護(hù)條例》將歐盟數(shù)據(jù)主體的利益放在首位，而加拿大顧及保護(hù)機(jī)構(gòu)商業(yè)利益。因此，《個(gè)人信息保護(hù)與電子文件法》從制度設(shè)計(jì)到運(yùn)行體系均呈現(xiàn)出盡可能維持個(gè)人信息權(quán)利保護(hù)與商業(yè)發(fā)展之間的平衡理念。
《個(gè)人信息保護(hù)與電子文件法》從生效至今已走過20個(gè)年頭，其在個(gè)人信息保護(hù)立法變革與完善中所面臨的問題和存在的風(fēng)險(xiǎn)值得我們思考。我國在個(gè)人信息保護(hù)立法方面應(yīng)注意準(zhǔn)確界定“個(gè)人信息”概念，注重以“場景”和“風(fēng)險(xiǎn)損害”為導(dǎo)向。數(shù)據(jù)時(shí)代信息的復(fù)雜性與動(dòng)態(tài)性決定了脫離具體場景認(rèn)定個(gè)人信息不具有現(xiàn)實(shí)性，一切與“可識(shí)別個(gè)人”有關(guān)的信息均有可能具有損害風(fēng)險(xiǎn)而需得到相應(yīng)保護(hù)。換言之，界定“個(gè)人信息”的目的并非要真正劃分各種信息的類型，而是需要通過在所有信息中選出符合個(gè)人信息的內(nèi)容對其進(jìn)行法律保護(hù)。同時(shí)，建立科學(xué)的個(gè)人信息保護(hù)行政組織框架，結(jié)束“九龍治水”的多頭管理局面，建立統(tǒng)一性與專業(yè)性并舉的個(gè)人信息行政管理機(jī)構(gòu)。另外，需要構(gòu)建完善的個(gè)人信息控制模式。當(dāng)事人同意機(jī)制是個(gè)人信息保護(hù)的核心原則，其最主要的意義與功能在于落實(shí)個(gè)人信息的控制權(quán)，即保障個(gè)人決定是否披露其個(gè)人信息及在何種范圍內(nèi)、何時(shí)、以何種方式、向何人披露的決定權(quán)。為解決同意制度所面臨的困境，可借鑒加拿大的有效同意制度，強(qiáng)化個(gè)人控制權(quán)的同時(shí)，采用動(dòng)態(tài)模式規(guī)范企業(yè)或機(jī)構(gòu)對個(gè)人信息的處理。
（作者單位：山西大學(xué)法學(xué)院）