加拿大對個人信息保護采用綜合立法模式，主要體現(xiàn)在《隱私法》《個人信息保護與電子文件法》�；诖髷�(shù)據(jù)時代以及歐盟立法的影響，2015年6月18日加拿大通過《數(shù)字隱私法案》以及2018年11月生效的《數(shù)據(jù)泄露強制報告條例》對《個人信息保護與電子文件法》進行修正，并圍繞修正案推出了一系列配套措施。
《數(shù)字隱私法案》的主要內(nèi)容包括：一、刪去了不包括機構(gòu)員工信息的規(guī)定，并增加了例外性規(guī)定。即采用了“概括+例外”的模式重新對“個人信息”進行了界定。此次修訂的一大亮點是將“員工個人信息”納入“個人信息”定義范圍內(nèi)，并設(shè)立了“聯(lián)系信息”和“工作產(chǎn)品信息”兩大例外規(guī)定�？梢钥闯觯幽么笤诒Ｗo個人信息的同時非常注重保護商業(yè)活動發(fā)展的積極性。既對個人信息盡可能地全方位保護又確保給商業(yè)活動留下充足的發(fā)展空間。二、完善事前防范機制，建立以“合理預(yù)期”為核心的有效同意制度�！秱�人信息保護與電子文件法》新增第6.1條規(guī)定，只有在機構(gòu)活動針對的個人能夠合理預(yù)期并理解被收集、使用或披露的個人信息的性質(zhì)、目的和后果時，同意才是有效的。2018年5月加拿大隱私專員辦公室出臺了《有效同意指南》，為私營機構(gòu)設(shè)計同意程序提出了七項指導(dǎo)原則，以激發(fā)同意制度的效果。三、增設(shè)事中風(fēng)險評估機制，即強制違規(guī)報告制度。2018年11月1日，加拿大數(shù)據(jù)泄露強制報告制度生效。該制度與《個人信息保護與電子文件法》第2.1條的“違反安全保障措施”有關(guān)。作為一種事中風(fēng)險評估機制，它要求機構(gòu)對泄露的個人信息進行風(fēng)險損害評估并及時補救。四、強化隱私專員的執(zhí)法能力，賦予隱私專員新的執(zhí)行權(quán)。新修正的《個人信息保護與電子文件法》第17.1（1）條規(guī)定，隱私專員辦公室有合理的理由相信機構(gòu)已經(jīng)違反或可能違反該法有關(guān)內(nèi)容時，可要求機構(gòu)訂立強制性協(xié)議。
個人信息保護與電子文件法修正的背景
加拿大《個人信息保護與電子文件法》制定于2000年，當(dāng)時信息交換模式較為簡單，交易通常是常規(guī)的、可預(yù)測的和透明的，并未形成基于對個人信息和自動化流程進行無限制訪問的商業(yè)模型。但隨著大數(shù)據(jù)時代的到來，國際環(huán)境與商業(yè)模式發(fā)生了根本變化。
首先，大數(shù)據(jù)與物聯(lián)網(wǎng)的發(fā)展突破了傳統(tǒng)個人信息邊界。一方面，大數(shù)據(jù)與物聯(lián)網(wǎng)的發(fā)展影響了已有法律對個人信息和非個人信息的區(qū)分。由于大數(shù)據(jù)算法的特點是在各個數(shù)據(jù)之間建立關(guān)聯(lián)，所以具有重構(gòu)被剝離身份的能力。同樣，物聯(lián)網(wǎng)環(huán)境中的數(shù)據(jù)收集通常對個人是不可見的，消費者與機構(gòu)之間沒有通道，無法以可見和透明的方式交換數(shù)據(jù)。另一方面，大數(shù)據(jù)加劇了敏感信息與非敏感信息的區(qū)分難度。在特殊場景下，即使是非敏感信息也可能變得敏感。被視為自身不敏感的單個信息是否變得敏感，取決于它與其他有關(guān)該個人的個人信息在大數(shù)據(jù)環(huán)境中結(jié)合后能夠顯示的內(nèi)容。
其次，數(shù)字生態(tài)下個人控制的局限性要求完善信息控制模式。在大數(shù)據(jù)與物聯(lián)網(wǎng)發(fā)展的早期，加拿大有關(guān)學(xué)者就指出，如果隱私立法是為了使人們能夠?qū)ζ鋫�人信息進行有效的控制，則它必須采用一種能夠準(zhǔn)確反映人們行為的同意模式。隨著人工智能、大數(shù)據(jù)、區(qū)塊鏈技術(shù)的發(fā)展，《個人信息保護與電子文件法》也需要更新同意的相關(guān)內(nèi)容，解決個人對信息控制權(quán)弱化的問題。從現(xiàn)行立法看，《個人信息保護與電子文件法》根據(jù)不同風(fēng)險等級對個人信息的同意形式進行分類，實質(zhì)上是將個人控制權(quán)逐步向社會控制權(quán)過渡的表現(xiàn)�？傮w而言，個人對信息控制能力的局限性決定了需要依靠法律對同意制度重新設(shè)置，以實現(xiàn)個人與企業(yè)、社會共同控制的路徑。
加拿大與歐盟個人信息保護立法的差異
加拿大的《個人信息保護與電子文件法》與歐盟的《通用數(shù)據(jù)保護條例》存在許多差異，規(guī)定不及后者嚴(yán)格。這主要是《通用數(shù)據(jù)保護條例》將歐盟數(shù)據(jù)主體的利益放在首位，而加拿大顧及保護機構(gòu)商業(yè)利益。因此，《個人信息保護與電子文件法》從制度設(shè)計到運行體系均呈現(xiàn)出盡可能維持個人信息權(quán)利保護與商業(yè)發(fā)展之間的平衡理念。
《個人信息保護與電子文件法》從生效至今已走過20個年頭，其在個人信息保護立法變革與完善中所面臨的問題和存在的風(fēng)險值得我們思考。我國在個人信息保護立法方面應(yīng)注意準(zhǔn)確界定“個人信息”概念，注重以“場景”和“風(fēng)險損害”為導(dǎo)向。數(shù)據(jù)時代信息的復(fù)雜性與動態(tài)性決定了脫離具體場景認定個人信息不具有現(xiàn)實性，一切與“可識別個人”有關(guān)的信息均有可能具有損害風(fēng)險而需得到相應(yīng)保護。換言之，界定“個人信息”的目的并非要真正劃分各種信息的類型，而是需要通過在所有信息中選出符合個人信息的內(nèi)容對其進行法律保護。同時，建立科學(xué)的個人信息保護行政組織框架，結(jié)束“九龍治水”的多頭管理局面，建立統(tǒng)一性與專業(yè)性并舉的個人信息行政管理機構(gòu)。另外，需要構(gòu)建完善的個人信息控制模式。當(dāng)事人同意機制是個人信息保護的核心原則，其最主要的意義與功能在于落實個人信息的控制權(quán)，即保障個人決定是否披露其個人信息及在何種范圍內(nèi)、何時、以何種方式、向何人披露的決定權(quán)。為解決同意制度所面臨的困境，可借鑒加拿大的有效同意制度，強化個人控制權(quán)的同時，采用動態(tài)模式規(guī)范企業(yè)或機構(gòu)對個人信息的處理。
（作者單位：山西大學(xué)法學(xué)院）