加拿大的数据保护：您需要了解的有关 PIPEDA 的一切

[nurnobi40]

个人数据保护问题已成为全球关注的焦点。近年来，各国纷纷出台或提议制定更为全面的数据隐私法，包括《加州消费者隐私法案》、欧盟的《通用数据保护条例》、加拿大的《个人信息保护法》、巴西的《个人信息保护法》和澳大利亚的《可报告数据泄露计划》。

加拿大长期以来一直处于数据保护的前沿，早在 2000 年就颁布了《个人信息保护和电子文件法案》（PIPEDA）。早期的立法基于 1996 年《个人信息保护示范法》中规定的 10 项原则，其中包括问责制、同意和限制数据收集等。如今，这些原则也可以在欧盟《通用数据保护条例》（GDPR）中找到。PIPEDA 由加拿大隐私专员办公室 (OPC) 执行，规定了私营部门组织如何处理个人信息。

事实上，PIPEDA 于 2001 年底获得了欧盟委员会对其商业组织 新加坡手机号码 的充分性裁定的批准。随着 GDPR 的临近，加拿大政府是第一批意识到需要更新其隐私立法以确保其国家与欧盟之间数据传输顺利进行的国家之一。加拿大的数据隐私法案是对 PIPEDA 的修订，比 GDPR 的最终文本早六个月，并于 2015 年 6 月 18 日通过。然而，其新要求直到 2018 年 11 月 1 日才生效，这让加拿大公司有充足的时间为合规做好准备。

PIPEDA 适用于哪些人？
加拿大获得的充分性裁定仅限于商业组织是有原因的：PIPEDA 仅适用于商业活动中个人信息的收集、使用或披露。联邦监管的企业，如银行、航空公司和电信公司也属于其范围。

这实质上意味着，只要不从事任何商业活动，非营利组织、政党和协会以及教育机构和医院就不在加拿大数据隐私法的管辖范围内。筹款、收取会员费和捐款以及为交流目的编制会员或捐助者名单不被视为商业活动，但出售、交换或出租这些名单则被视为商业活动。

PIPEDA 不适用于联邦政府部门和机构，因为他们的个人信息处理行为属于《隐私法》的范畴。

完全在当地私营部门法律被认为与 PIPEDA 足够相似的省份运营的组织也不受 PIPEDA 的保护。目前，阿尔伯塔省、不列颠哥伦比亚省和魁北克省属于这一类别，而安大略省、新不伦瑞克省、纽芬兰和拉布拉多省和新斯科舍省这四个省的健康数据也受到当地立法的保护。但是，一旦数据跨越省界或国家边界，PIPEDA 就会适用。

虽然 PIPEDA 没有说明其地域范围，但加拿大联邦法院裁定，如果某个组织的活动与加拿大之间存在实质性联系，则 PIPEDA 适用于在其他司法管辖区内开展业务的企业。这意味着加拿大的数据隐私法可能会对针对加拿大客户的美国和国际组织产生影响。

PIPEDA 下的个人数据是什么？
PIPEDA 保护包含任何关于可识别个人的事实或主观信息的个人数据（无论是否记录在案）。这不仅包括个人身份信息 (PII)，例如姓名、年龄、身份证号码和种族或医疗记录、员工档案、信用记录等，还包括意见、评价、评论、社会地位和纪律处分。

PIPEDA 未涵盖的敏感数据包括但不限于：受《隐私法》管辖的联邦政府组织处理的个人信息、用于与个人就其工作或职业进行沟通的业务联系信息、个人严格为个人目的收集、使用或披露的个人信息，或者组织为新闻、艺术或文学目的收集、使用或披露的个人信息。

PIPEDA 的 10 项原则
这十项标准被称为公平信息原则，是 PIPEDA 的基础，并在《个人信息保护和电子文件法》附表 1 中有详细说明。除此之外，组织始终负责保护和公平处理个人信息，并有义务确保任何个人信息的收集、使用或披露仅用于合理的人根据具体情况认为适当的目的。

十项公平信息原则如下：

问责制：组织对其控制的个人信息负责。组织必须任命一名隐私官，其职责是确保遵守加拿大的数据保护法。
确定目的：组织必须在收集之前或收集时确定收集个人数据的目的。
同意：收集、使用或披露个人信息需要获得个人同意。某些情况不适用于此原则，例如，在法律、医疗或安全原因使得寻求同意变得不可能或不切实际的情况下。
限制收集：必须通过公平合法的手段收集信息，并且必须仅限于组织确定的目的所需的数据。
限制使用、披露和保留：除非个人另行同意或法律要求，否则个人信息只能用于或披露于收集信息的目的，并且只能在达到该目的所需的时间内保存。
准确性：个人信息必须尽可能准确、完整和最新，以便正确满足其使用目的。
保障措施：必须通过适当的安全保障措施保护个人信息，防止丢失或被盗，以及未经授权的访问、披露、复制、使用或修改。
开放性：组织必须公开其与个人数据管理相关的政策和实践，并确保个人能够以普遍可理解的格式轻松获取此类信息。
个人访问：个人在提出请求时必须被告知其个人信息的存在、使用和披露情况，并被允许访问这些信息。个人有权质疑该信息的准确性和完整性，并酌情对其进行修改。如果信息因法律、安全或商业专有原因而无法披露，或者受到律师-客户或诉讼特权的约束，组织可以拒绝访问个人数据。
挑战合规性：个人可以挑战组织对 PIPEDA 原则的遵守情况，并向负责 PIPEDA 合规性的公司隐私官提出挑战。