加拿大个人信息保护法对网络信息的保护及启示
李 昱 程德安
(西南政法大学 全球新闻与传播学院，重庆 401120)
摘 要： 在当前互联网环境下，个人信息保护的难度较大，传统的隐私权法已经无法满足对个人信息的保护。如何更好地保护互联网中的个人信息成为世界范围的难题。针对这一问题，加拿大在新世纪元年颁布了《个人信息保护与电子资料法》(PIPEDA)，如今已经形成一套行之有效的个人信息保护法律体系，本文通过对这一法律的研究分析，明晰了其立足实践的立法模式及法律规定的十大原则，对这一法律体系的借鉴，将在中国个人信息保护的立法与实践的过程中发挥重要的指导作用。
关键词： 隐私权；个人信息保护； 大数据时代；加拿大
一、个人信息在无意中被侵犯
智媒时代给用户带来了个性化、差异化、精准化的网络服务，同样也带来了用户个人信息的泄露与侵犯。2018年，在美国民众对Facebook泄露用户信息，并利用选民数据将特朗普推上美国总统的位置这一事件议论纷纷之际，中国网民也对隐私权以及个人信息和数据安全表示密切关注。2018年3月27日，在中国发展高层论坛上，百度的董事长李彦宏表示，“中国人愿意在可以用隐私换取便利或者效率的情况下，选择这样做，他们对隐私的态度更开放，相对不那么敏感。[1]”这一段话彻底将网民的不满情绪引爆，一时间网络上对李彦宏以及百度的负面评论沸沸扬扬，认为李彦宏并没有尊重用户隐私权利，不值得用户信任。可见，网民并不想成为任人宰割的“数据动物”，但往往在无意中，网民的个人信息就已经被泄露利用，这样的情况常常是“默认勾选”造成的。
2018年1月3日，“支付宝年度个人账单”席卷了微信朋友圈，在刷屏之际多数人都没有注意到在账单首页下面的一行“蝇头小字”：“我同意《芝麻服务协议》”，这一选项是默认选择的，如果没有手动取消勾选，就代表着允许支付宝收集用户个人信息和电子资料，包括在第三方存储的信息。虽然最后在舆论的压力下，芝麻信用在微博上承认错误，并由支付宝官方转发微博，但并不是每一次无意间的个人信息泄露都会被用户及时发现和弥补。
这样的“默认勾选”无论是在社交媒体类APP、生活服务类APP，还是在电商的销售平台中，或多或少都存在信息安全问题。根据中国电子商务研究中心的数据显示，在38家网络交易平台中，86.84%的平台存在信息安全漏洞[2]。默认勾选还仅是当前个人信息被侵犯的重要方面之一，在当前的网络环境下，还有更多形式的个人信息侵权行为。针对这种情况，加拿大《个人信息保护与电子资料法》(The personal Information Protection and Electronic Documents Act,以下简称PIPEDA)可以通过其规定的责任制原则、同意原则等个人信息保护原则有效地保护用户数据隐私，这一点，是传统隐私权法未企及的领域。
二、《隐私权法》已无法有效保护个人信息
隐私权是公民基本的人格权利，传统意义上的隐私权是公民“享有的私人生活安宁与私人信息依法受到保护，不被非法侵扰、知悉、搜集、利用和公开的一种人格权”[3]。互联网技术的发展，使各类信息和数据的收集、存储、传输、交流更加便捷成为可能，也使公民的隐私保护问题变得愈加复杂，由此引出对网络隐私权的探讨。网络隐私权是公民在网上享有私人生活安宁和私人信息依法受到保护，不被他人非法侵犯、知悉、搜集、复制、利用和公开的一种人格权[4]。
网络隐私权并不新颖，网络隐私权只是伴随着科技发展、网络普及的时代产物。或者说网络隐私权是传统隐私权在网络空间的延伸，而这一部分外延，即基于人们在网络上的行为而产生各种网络个人信息资料保护问题。个人信息资料是与个人从事网络活动相关联的，是可以反应个体特征的具有可识别性的符号系统，个人信息资料的范围较广，不仅包括个人的基本信息，也包括从事网络活动产生的信息记录等[5]。
纵向来看，从传统的隐私权到网络隐私权，是大数据时代的到来，互联网技术的发展，个人信息和数据成为一项重要的社会资源带来的负面影响的产物。横向对比可以发现，个人信息权与隐私权都是人格权的一种，二者的权利主体都是自然人，但二者在保护内容、法律属性、权利制度、防范角度和保护方式等方面存在着差别。个人信息保护更侧重于强调“可识别性”，也就是网络世界对一个人的认知和行为判断。这一点是以往的隐私权没有突出强调的。
由此可以看出，个人信息保护与传统隐私权和网络隐私权有一定的差别，想利用传统隐私权保护法来保护网络个人信息，这样的想法是形而上的。新的时代背景下，出台专门的个人信息保护法已是大势所趋。美国马里兰州在2008年通过《个人资料保护法》，满足特定营业需求的同时，将维护顾客信息保密原则作为前提；欧洲同样也有个人信息保护的专门立法，在2018年生效的《一般数据保护条例》，将取代1995年发布的《欧盟数据保护指令》，这一指令堪称史上最严格的数据保护条例；作为美国的邻国，加拿大没有盲目效仿“美国模式”，而是走出了一条因地制宜的 “个人信息保护立法”道路，PIPEDA在21世纪元年应运而生。
三、加拿大 PIPEDA的立法模式与基本原则
(一)加拿大个人信息保护立法模式
我国互联网产业蒸蒸日上，贸然制定法律法规进行强制性规定，无疑会打击一大批互联网行业的发展积极性和可能性。对于这一问题，行业自律是最好的办法。论及以往，我国在个人信息保护方面，行业自律是很不充分的，某一领域出现社会问题，首先应该从行业内部入手，将行业自律这一排“栅栏”稳定的建立起来，可以迅速地取得一定成效。在这样的立法模式的指导下，另一方面要做的努力就是制定专门的个人信息保护法了。
加拿大在1983年就已经颁布了《隐私法》，主要是对联邦政府收集、使用和披露个人信息的行为进行了规范。而PIPEDA在2000年通过， 2001年、2002年和2004年分为三个阶段生效，PIPEDA主要规定了私人或者企业在进行商业活动时，使用个人信息时的范围与准则[6]。相比于1983年颁布的《隐私法》，PIPEDA更具时代特征，其适用性更高。作为加拿大最主要的联邦法规之一，PIPEDA一直是隐私权的保障[7]。如果从1983年《隐私法》的颁布起算，目前加拿大个人信息保护法律制度已经实施了36年，在国内已经形成了一套行之有效的法律制度，个人信息电子资料的法律保护体系较为成熟。在这一体系的运行过程中，PIPEDA有自己坚持的十项原则。
(二)PIPEDA的“灵魂”—— 十项基本原则
1.责任制原则(Accountability)，指任何组织有责任对于其控制下的个人信息和电子资料的保护建立起一套行之有效的制度，这一制度包括对个人信息的收集与使用方针、具体的业务操作流程。如果机构是一家大型机构，该机构应该任命一名“首席隐私保密官”，专门负责法律的执行。也就是说，在个人信息保护层面，企业组织应该承担起应付的责任，而并非单方面无条件地滥用。
图4为硅铝比为3.0、pH值为9.73、导向剂用量为3%、老化温度为60 ℃、晶化温度100 ℃、晶化时间为24 h时，合成的13X分子筛的粒度分布图。13X分子筛的粒径主要由两部分组成：<1 μm和1～10 μm；颗粒体积占颗粒总体积的50%时，分子筛的粒径为2.8 μm。
PIPEDA在实施过程中，这十项基本原则可能是作为指导原则而存在的，也可能是作为在完整性和明晰性方面的补充法律[8]。PIPEDA本身是存在着不足之处的，但是其十项基本原则在几十年的实践当中发挥着重要的指导性作用，在某种程度上弥补了像“缺乏对劳动关系中个人信息保护”“其规定的个人信息保护范围过窄”“对企业、组织转让或合并时的个人信息保护没有做出规定”等问题。
PIPEDA规定的的十项基本原则具体为以下几点。
糖尿病肾病为糖尿病的主要并发症之一，严重可导致肾功能衰竭及蛋白尿疾病。血管紧张素转化酶抑制剂(angiotensin I-converting enzyme inhibitor，ACEI)可有效控制血压，保护肾及心脏，使各类心血管疾病的发病率下降[1-3]。SGLT-2抑制剂作为一种新型降糖药物，不仅可以有效降低血糖，还具有降低尿酸、减少尿蛋白(urine protein,u-PRO)等作用[4-5]。本研究旨在探讨ACEI联合SGLT-2抑制剂对糖尿病肾病蛋白尿的作用。现报道如下。
汉江流域中下游（从丹江口至河口）干流长652km,湖北境内集水面积4.38万km2。该区域人口稠密、城镇化程度较高、经济发展潜力巨大。南水北调中线工程从丹江口水库陶岔渠首闸引水，工程实施后，汉江中下游成为重要影响区，其经济、社会和生态环境将发生重大改变，其中包括有利影响和不利影响。
在个人信息保护的基本原则方面， 1980年经济合作与发展组织(OECD)公布了个人信息保护的八大原则，这些原则分别为：收集限制原则、数据质量原则、目的明确原则、使用限制原则、安全保障原则、公开性原则、个人参与原则和问责制原则。这些指导原则有着“制定个人信息保护文件的国际标准”之称。各国和国际组织制定个人信息保护法律及政策时，虽有一定差异，但基本不会脱离这八项原则，加拿大的PIPEDA正是在这八大原则的基础上，进一步细致划分为十项基本原则，这十项基本原则对于理解PIPEDA有着至关重要的意义，所以本文将逐一进行分析说明。
2.明确目的原则(Identifying purposes)，即在收集个人信息和电子资料时，甚至是未收集之前，需要有明确的目的，表明收集的原因，收集的必要性，收集后信息的使用方法的明示。
根据对新渥下坞和仁川横坞山塘的钻孔施工情况统计，采用ZT—25型钻机，在Ⅷ～Ⅹ级岩石地层中导向钻进速度约为3 m/h，回扩进度也为3 m/h，因此对于40～60 m洞长仅需14～20 h即可完成导向钻孔，从钻孔到铺管一般7天时间可全部完成。如遇风化岩或砾石土则钻进速度更快，效率较高。
4.限制收集原则(Limiting collection)，是指个人信息的收集应该被企业组织证明具有必要的目的，这一目的一般是在收集信息之前就已经界定好的。比如为了调查用户对软件的喜好程度，一般只是收集使用软件的时长，而不会去收集用户使用软件的地点。并且要通过公平且合法的方法收集，禁止随意收集个人信息和采用欺骗、误导等手段进行收集。
5.限制使用、披露和保留原则(Limiting use，disclosure and retention)，是指企业组织需要按照收集信息时的目的进行使用和披露。即使需要保留个人信息，也必须具有必要性，这里的必要性是以达到预定目的为界限，除非企业事先获得授权和允许。同时企业应及时注销不符合使用目的或法律要求的匿名信息，保留的个人信息允许信息关系人事后索取、补充以及修正。
10.克服依从性原则(Challenging compliance)，企业组织与个人需要遵守以上原则，向个人信息持有者和个人信息关系人负责，从而使其符合PIPEDA的规范性。并且需要建立起信息关系人申诉受理的程序，企业组织需要告知信息的来源，并对信息进行核实，完成核实后如有出入要对信息进行更正。
7.保障措施原则(Safeguards)，是指信息关系人的个人信息在被收集、使用和披露时，要受到安全保障措施的保护，防止遗失和盗窃，防止未经授权的人对信息进行披露、复制和修改使用。
矿石主要金属矿物为黄铁矿、辉钼矿，少量黄铜矿，辉钼矿主要以鳞片状结构，呈不规则状散布于矿化层中；以硅化、绿泥石化为主，次有钾化、绿帘石化、萤石化、碳酸岩化等。
综上所述，在我国当前的煤矿工程建设和发展中，为了将整体的煤矿生产能力提升上来，需要按照对应的煤矿生产，将轨道运输建设落实好，并且严格地按照煤矿轨道运输建设需求，将对应的智能化监控系统设计好，保障在系统的应用中，能够为煤矿生产能力提升奠定基础。通过本文的研究和分析，将煤矿轨道运输智能综合监控系统设计及应用进行了详细的阐述，按照其系统设计的需求，规划了系统应用中的对应性功能设计，比如实时定位功能、行人检测功能以及对应的通讯功能等。并且结合具体的煤矿工程建设系统应用对系统设计进行了实践，实践结果显示，借助智能综合监控系统应用提升了煤矿轨道运输管理能力，保障了煤矿运输生产能力提升。
9.个人访问原则(Individual access)，这一点其实是信息关系人的知情权。当信息关系人要求获取其个人信息时，除法定例外的情形，企业组织有义务告知本组织对信息关系人的全部信息，以及信息的使用、披露和给予第三方的情况，并允许信息关系人进行准确性和完整性的补充修改。
6.准确性原则(Accuracy)，即当有正当目的地对个人信息进行使用时，需要准确、完整地使用，并且要及时更新其个人信息。
PIPEDA的这十项基本原则，既是法律本身的高度概括，更是在实践中对法律的有效补充。PIPEDA的目标是通过法律的实施和原则的坚守，鼓励加拿大的企业组织建立起良好的信誉形象，与立法和执法机关合作，逐渐建立起尊重个人隐私权的信誉[9]。
四、PIPEDA带给中国个人信息保护的启示
(一)确定立法模式
我国尚未出台统一的个人信息保护法，也没有设立专门负责个人信息保护的主管机关，个人信息保护对我国来说有着较大的难度。这就需要我国从根源抓起，居首位的便是立法模式。前文提到目前世界上的三种模式，加拿大在个人信息保护方面的立法采取的是第三种模式，也就是将行业自律与立法规制相结合。笔者认为，这一模式是目前最适合我国的立法模式。
3.同意原则(Consent)，指任何组织和企业对个人信息的收集、使用和披露，都要以有效的方式告知信息关系人，同时取得信息相关人的同意。如果个人信息被用于新的用途，必须重新获得同意。PIPEDA的条款都是在当事人同意的基础上起草的，而这里的同意包括明确的表达，也可以是暗示，这一点就要考虑到信息关系人的合理预期，并综合考虑个人信息的类型。一般性的信息，暗示即视为同意，但是例如病历、转账记录这些敏感信息，则必须得到信息关系人的明确表示。
从世界范围来看，关于个人信息资料的立法，各国的法律法规具体内容虽然不同，但究其根源，无外乎三种模式：一种是以美国为代表的行业自律模式，这一模式依靠网络服务者的自我约束以及行业协会的监管。为了避免过度保护形成对互联网行业正常发展服务的阻碍，也避免国家过早立法限制信息科技在社会的应用，行业自律模式首先在整体上制定规范个人信息保护的自律规则，同时对特殊的个人信息资料制定进行规范；另一种是纯粹的立法规制模式，是由国家和政府主导的一种模式。直接制定法律，在法律层面确立个人信息保护的制度，进而将这些制度作为建立司法和行政救济措施的基础，这种模式以欧盟为代表；第三种模式是以日本为代表的“中间道路”，将行业自律模式与立法规制模式结合，既通过法律全方面地实现个人信息保护，也注重行业自律和协会的监管。在这三种立法模式当中，加拿大采取的正是第三种模式。
(二)制定专门的个人信息保护法是必然
从2005年的《刑法修正案(五)》到《刑法修正案(七)》再到2015年通过的《刑法修正案(九)》，一路走来，可以看出在刑法方面对个人信息保护力度的增大。《刑法修正案(九)》将“出售或提供他人个人信息”的犯罪主体扩大，改为一般主体，入罪情节修改为从重处罚的情节；降低入罪门槛，向他人提供公民个人信息如若构成犯罪，不再以“非法”为前提；法定刑提高，情节特别严重的最高可判七年[10]。
8.开放性原则(Openness)，对于个人信息的管理和保护的方式以及政策措施，包括针对个人信息的业务操作方法和流程，企业组织应该用通俗易懂的形式和明确的途径向信息关系人公开。
而在民法对自然人的个人信息保护方面，《民法总则》第111条做了法律规定：任何组织和个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息。即便如此，在我国亟需独立的个人信息保护法的情况下，目前仍没有一部专门的《隐私权法》，涉及隐私的个人信息主要以人格权和隐私权等形式加以保护。反观欧美国家，东亚的日本等国，大多颁布了独立的《隐私权法》，在个人信息保护方面，美国有《隐私法》、德国有《个人资料保护法》、日本有《个人信息保护法》……我国正是因为没有专门的个人信息保护的立法，所以才会导致目前理论上关于公民个人信息保护法律规定的效力不高，实践层面也难以在司法活动中对网络中的公民信息给予有效保护。
在此基础上，1984年8月，我国第一个物流专业研究团体——中国物流研究会成立。1989年4月，由中国物资经济学会承办的第一个国际物流会议——第八届国际物流会议在北京举办。据描述：这样的国际物流会议是第一次在中国举办。
制定单行法，也是考虑到网络隐私权不同于传统隐私权的特点，个人信息与电子资料是网络隐私权的侧重面，如果仍采取传统的名誉权来保护隐私权，实在是严重的落后于时代。但是单行法不一样，单行法的制定可以灵活适应时代要求，根据互联网时代发展的进程更新换代。在单行法中从个人信息权力的定义、内容等方面入手，借鉴PIPEDA的十大基本原则，平衡企业组织与公民个人的利益。将个人信息受到侵犯的情形规定清楚，明晰入罪情节和具体的惩罚措施和救济方式等。一部行之有效的单行法配合上已有的存在于刑法、民法、行政法等法律中的规定，可以形成比较完善的法律体系，最终与行业自律相结合，可以很好地形成对个人信息与电子资料的保护，解决目前面临的个人信息保护难题。
怀远成立了农业示范区，大批企业和大户入驻。并且政府每年投资建设种植基地，形成了“两点一线”的栽种布局。这样的格局有利于扩大种植规模，进行集约化生产。
作为PIPEDA规定的“灵魂”——十项基本原则，同样是中国在制定单行法律时值得借鉴的关键。网民的个人信息受到各种形式的侵犯，其中最具有代表性侵权行为便是隐私条款“默认勾选”的侵犯，解决“默认勾选”的问题可以向加拿大学习，从确定本国个人信息保护法的基本原则入手。
2014年，加拿大一位已婚的Facebook用户的个人信息被约会网站擅用，结果招来众多约会邀请。针对这一事件，多伦多律师和互联网专家巴里·杰克曼表示：PIPEDA可以保护没有阅读使用条款或在不知情的情况下同意其他网站分享信息的用户，用户表示接受条款也并不意味着他读过这些条款，这不能作为一个正确的标准[11]。这一论述正是符合了PIPEDA的十项基本原则中的明确目的原则与同意原则。
一些网站和手机APP，在“默认勾选”方面一直因为两个问题在犯错，一是网站没有尽到说明和告知的义务，没有取得明确的授权，虽然同意原则内涵中是可以暗示方式完成同意的表示，但是暗示仅针对一般性信息；第二点则是因为大多数的用户在面对数十条晦涩难懂的隐私条款时无法了解网站的真实意思，就失去了同意或不同意的选择余地，最后被动放弃隐私权。利用个人信息保护法基本原则，加拿大在司法实践中实现了对网络个人信息更全面的保障，“默认勾选”的条款难钻法律空子，更多的“默认勾选”被视为无效，个人信息获以安全。中国完全可以借鉴PIPEDA中明确目的原则、同意原则以及限制使用原则对国内APP中“默认勾选”泛滥的情况进行规制，同时也将这些基本原则运用于规范其他个人信息保护的侵权行为中去。
五、结 语
在对加拿大PIPEDA的立法模式以及基本原则进行分析后，发现其在中国有可以借鉴的地方。在分析过程中，也的确发现了我国目前对个人信息保护的许多缺陷和不足：比如行业自律和政府监管缺位、没有专门立法对个人信息进行保护、目前法律制度无法适应时代发展的要求等问题。综合以上分析，PIPEDA对中国的启示主要是以行业自律与法律规定的立法模式为指导，制定专门的个人信息保护法，同时以个人信息保护基本原则作为法律和实践的补充，就可以有效遏制“默认勾选”的侵权，遏制个人信息与电子资料被泄露和利用等其他更多形式的侵权。
随着战争的深入持久，他们更加深刻地认识到，“北越敌人很了不起，他们对自己的任务从来矢志不移，他们跟法国人打了几十年的仗，不在乎再跟我们干上几十年。”
参考文献：
[1] 李彦宏称中国用户愿用隐私换便利[EB/OL].http://finance.ifeng.com/a/20180326/16046470_0.shtml.2018-03-01.
[2] 张璟.四部门启动隐私条款审查，淘宝支付宝京东等巨头纷纷重大调整[J].计算机与网络，2017(10)：10-12.
[3] 张新宝.隐私权的法律保护[M].北京：群众出版社，2015.
[4] 殷丽娟.专家谈履行网上合同及保护网上隐私权[N].检察日报，1999-05-26.
[5] 陶亮，李秋霞，翟晨，吴万麟.个人电子资料法律保护的探析[J].法制与社会，2010(6)：70-71.
[6] 许春尧.加拿大个人信息保护法律制度及借鉴[J].韶关学院学报：社会科学版,2008(11)：17-20.
[7] 曾胜珍.美国、加拿大与台湾个人资料保护法相关案例之研究[J].山东科技大学学报：社会科学版2016(6)：38-54.
[8] BC.Keith. Privacy north of the border: 10 things you should know about Canadian personal information laws[J]. Business Law Today,2004,14(2)：44-49.
[9] (加)珍妮弗·斯道达特著.林均跃译.加拿大《个人信息保护和电子文件法》对个人隐私的保护[EB/OL].中国市场信用网.http://www.cmcma.org.cn/html/201010-15/20101015085106.htm，2010-10-20.
[10] 张瑞康.我国个人信息保护现状与前景[J].法制与社会,2018(3):214-216.
[11] 吴薇.法律专家：社交网站用户可以用加拿大隐私法保护自己[EB/OL].http://news.superlife.ca.2014(11).
中图分类号： D913
文献标识码： A
文章编号： 1672-8122(2019)09-0041-05
收稿日期： 2019-04-28
作者简介： 李昱，男，西南政法大学全球新闻与传播学院硕士研究生，主要从事传播法学研究；程德安，男，西南政法大学全球新闻与传播学院教授，主要从事传播法学研究。
[责任编辑：艾涓]
标签：隐私权论文; 个人信息保护论文; 大数据时代论文; 加拿大论文; 西南政法大学全球新闻与传播学院论文;