加拿大《个人信息保护和电子文件法》对个人隐私的保护--中国市场信用网

加拿大《个人信息保护和电子文件法》对个人隐私的保护

撰文：珍妮弗. 斯道达特[1]

翻译：林钧跃[2]

　　

　　目前，我们正处在这样一个世界，技术手段完全可以实现不分昼夜地对人的活动进行监视，在这种情况下，需要由法律建立起一套规则，让人们保存自己最基本的隐私。
　　另外一种活动也能严重地侵害个人隐私，那就是催账活动。在没有经过当事人同意的情况下，催账人员就会使用和披露当事人的个人信息。比如，我们中有多少人愿意让他人分享自己的病历信息？又有多少人愿意将个人财务状况和与人亲密接触的情况公之于众呢？

　　

　　

　　一、引言

　　在2003年12月，我被任命为加拿大国会“个人隐私权保护委员会”的加拿大隐私权委员会的专员。简单地说，专员的主要工作就是监督《个人信息保护和电子文件法》的实施。委员会要保证法律得到应有的尊重，在法律赋予公民的权利被侵犯时，维护受害人的权利和对其实施法律救济。

　　《个人信息保护和电子文件法》为商业化经营的个人征信机构、个人信息供应商、交换个人信息的机构、个人信息使用机构等（以下简称“机构”）的活动建立了法律规范，力图在个人希望保护自己的个人信息和社会合法利用个人信息之间建立一种平衡的关系。

　　在这里，我希望机构了解法律赋予了它们权利，更特别了解法律对它们进行的规范。在此，我解释法律的立法精神和机构应该怎样遵守法律。同时，也介绍我所服务的“加拿大个人隐私权保护委员会”的执法角色，以及为什么法律对个人信息经营机构和消费者双方都有好处。

　　首先，我们先讨论一下，什么是隐私权？为什么隐私权对我们是如此的重要？对于民主社会，隐私权是公民拥有的一项基本和必须的权力。隐私权通常被描述为保持个人独处的权力，能够控制外界对自己的接触和对个人信息保密。

　　在根本上，强调隐私权也就是要求个人能够独处的权力，而且所要求的保护还不止这些。对隐私的完全保密是不必要的，但是限制隐私过分地被侵犯则是非常重要的。从人们可能想保护的个人隐私的角度看，对个人隐私的侵犯是多种多样的。目前，我们正处在这样一个世界，技术手段完全可以实现不分昼夜地对人的活动进行监视，在这种情况下，需要由法律建立起一套规则，让人们保存自己最基本的隐私。

　　另外一种活动也能严重地侵害个人隐私，那就是催账活动。在没有经过当事人同意的情况下，催账人员就会使用和披露当事人的个人信息。比如，我们中有多少人愿意让他人分享自己的病历信息？又有多少人愿意将个人财务状况和与人亲密接触的情况公之于众呢？

　　在加拿大，包括《个人信息保护和电子文件法》在内，有多部法律涉及对个人隐私权的保护。建立《个人信息保护和电子文件法》的特殊目的就是让加拿大人行使自己的权力去保护自己的个人信息，特别是控制有商业行为的机构对个人信息的采集。

　　在过去，个人信息几乎处在自然被保护的状态。通常，信息被以书面形式保存，不太容易与他人分享。今天，技术的发展已经将这种天然的保护状态完全消灭了，经过数年日积月累键入的信息，可以在瞬间内被提取，披露给他人也是非常容易的事情。一些个人信息与其他相关信息汇合在一起，就能形成对个人的情况进行深入分析的信息条件。这就是为什么需要限制个人信息不被任意采集、使用和披露，这对个人来说是非常重要的。

　　二、立法背景

　　制订《个人信息保护和电子文件法》是为了更好地控制个人信息经商业渠道被披露的问题，这是响应个人信息保护国际运动号召的表现。自从20世纪70年代以来，若干个欧盟国家通过了类似的立法，规范个人信息的采集、使用和披露。像联合国和欧洲经合组织这样的国际组织，也通过签署国际公约形式来强调对个人信息的保护。

　　在欧洲，欧盟制订了《个人数据保护纲领》，要求成员国限制欧盟国家公民的个人信息被披露，特别是与其他交易国分享欧盟国家的个人信息。总之，《纲要》限制个人信息只能在欧盟国家之间披露，不允许对欧盟以外的国家披露个人信息，除非那些国家对公民的信息采取的强有力的保护措施。

　　这是为什么加拿大建立《个人信息保护和电子文件法》的另一个原因。对于通过商业渠道采集的欧盟国家公民的个人信息，它能够提供强有力的保护。除非加拿大能够做出这样的保证，否则在欧盟做生意的加拿大公司就有可能会陷入困境，可能会伤害到加拿大企业的利益。很幸运，欧盟委员会在2001年做出决定，认可加拿大的《个人信息保护和电子文件法》足以对个人信息进行有效的保护。鉴于有《个人信息保护和电子文件法》和加拿大其他法律的保护（例如《隐私权法》），欧盟委员会允许成员国和商业机构自由传输个人信息到在加拿大的机构。

　　《个人信息保护和电子文件法》从另一角度帮助机构和消费者。对于存储和处理个人信息，保护规则制订得十分清晰。因此，有利于建立起消费者的信任感，以及消费者参与日益增长的电子商务活动的信心。例如，在消费者使用电子银行的时候，他们想知道他们的个人隐私是否被全面保护，不是只有使用他们家居当地银行分支机构的服务才安全。《个人信息保护和电子文件法》使消费者了解他们在网上进行交易活动的信息被定义为隐私而受到保护，这将有助于他们参与电子商务活动的信心，因而使市场的交易量增加。

　　《个人信息保护和电子文件法》的立法还有第三项目的。法律确定了加拿大的个人信息保护的范围，划清了界限。在《个人信息保护和电子文件法》出台之前，个人要保护自己的信息不被披露，他（她）只能求助于政府，通过民间手段解决个人信息保护问题的途径极其有限。然而，除了魁北克（Quebec）地区之外，各地的机构在进行商业活动时都没有对个人信息进行一般性的保护。《个人信息保护和电子文件法》修补上了这个漏洞。

　　《个人信息保护和电子文件法》对个人隐私权的保护，主要体现在个人信息保护条款之中，这些规则的条款是由加拿大标准化协会负责起草的，起草单位广泛地征求和采纳了加拿大企业、学术机构、消费者和政府的意见和建议。该规则被称为个人信息保护的“模范规则”，简称为《个人信息保护和电子文件法》的“CSA模范规则”。因此，《个人信息保护和电子文件法》全面反映了加拿大社会各个方面的意见。CSA模范规则的表格充分表现了法律中最严格的可执行部分，它被列在法律的附表之中。

　　三、执法

　　《个人信息保护和电子文件法》的实施是分阶段进行的。自2001年1月1日起，法律先行在全联邦范围内对若干行业进行规范，例如银行、通讯和交通行业。在这些行业的商业活动过程中，须遵守法律的规定，保护消费者和雇员的个人信息。在各省之间以至加拿大全境，对存储和经营个人信息的商业机构，其相关业务行为都要受到法律的约束。对加拿大境内三大领地内的所有私营机构，法律也开始生效。

　　自2001年1月1日起，《个人信息保护和电子文件法》开始对境内所有的商业化个人信息采集、使用或披露的行为进行规范。但是，有两种情况是例外的。第一种例外的情况是，当存在类似的省级法律或省级法律有类似的条款时，对该省机构的规范通常应该遵循该省的法律。截止2004年3月，只有魁北克地区拥有与《个人信息保护和电子文件法》相类似的省级法律。然而，自2004年初，阿尔伯塔省（Alberta）和不列颠哥伦比亚省（British Columbia）两省也启动了类似法律的立法程序，它们是为了更好地解决当地的法律诉讼和执法问题。不论是否有类似的省级法律，个人信息在省间和国际间的分享都受到《个人信息保护和电子文件法》的规范。

　　另一个是商业活动方面的例外，即《个人信息保护和电子文件法》规定范围之外的情况。《个人信息保护和电子文件法》并不对雇员的个人信息进行全面的保护，除非雇员是联邦政府雇员或正在为联邦政府服务的人员。对于服务于联邦政府任务或工程的雇主，应该保证正当地采集、使用和披露其雇员的个人信息。至于为省级政府服务的雇员，《个人信息保护和电子文件法》的例外不包括对这种雇员的个人信息保护。

　　四、法律的基本要点

　　通过对《个人信息保护和电子文件法》立法精神的了解，可以明白该法律的实质所在。首先，《个人信息保护和电子文件法》所规范的对象是从事个人信息商业运作的机构，包括与信息采集、使用和披露相关的作业。法律定义个人信息为“个人识别信息”，但不包括姓名、职务、办公地址、办公电话。法律描写的“商业活动”是指任何交易，即具有商业特征的常规活动，包括销售、换货、出租、会员活动、筹款等。

　　《个人信息保护和电子文件法》要求任何个人信息经营机构都能够尊重CSA模范规则确定的“公平信息利用原则”，法律体现原则共有10个，它们分别是：

　　1．承担保密义务的原则：如果机构是被《个人信息保护和电子文件法》规范的对象，机构的工作人员必须保证遵守法律。如果机构是一家大型机构，该机构应该任命一位“首席隐私保密官”，专门负责本法律的执行。任何机构都要制订明确的方针和设置业务操作程序，以保证对法律的执行，例如机构制订一项个人信息保密政策。

　　2．确定采集和使用个人信息的目的原则：在采集信息之前，一定要明确目的，最好是在通情达理的当事人同意的情况下采集和使用其个人信息。

　　3．当事人同意的原则：如果机构需要采集、使用或披露个人信息，应当获得当事人的同意。《个人信息保护和电子文件法》的条款都是基于当事人同意原则基础上起草的。取得当事人的首肯的形式是多样的，可以是暗示，也可以是明确的表达，具体情况要视当事人合理的预期和将被采集的信息的类型。对于要采集个人财务和医疗记录这类敏感信息，需要得到当事人的明确表态。

　　4．有限采集原则：采集个人信息的范围是受到限制的，法律规定，机构只能为定义好的目的采集恰好够用的信息，而且只能以公平和合法的手段采集信息。

　　5．限制使用、披露和存储的原则：个人信息的采集应该是为了当事人认同的目的。然而，如果当事人后来又同意将个人信息用于别的目的，或者其他法律也要求信息用于其他的目的，例如个人信息的披露涉及泄露银行存取记录的情况。尽管你获得了当事人的同意，也要限制信息的采集、使用和披露。法律只允许机构短期持有个人信息，达到目的是界限。

　　6．准确性原则：机构保存的个人信息必须是正确、完整和时新的，特别是在使用个人信息的时候。法律并不要求机构定期更新个人信息，除非机构的工作性质有这样的要求。

　　7．保证个人信息得以安全保存的原则：机构必须对所采集的个人信息设置适当安全保卫措施，不论个人信息是以什么形式的载体进行存储的，包括录像带、书面记录和数字化档案等存储形式。要防止没有得到授权的人对信息的接触、披露、复制、使用和修改。

　　8．公布使用方法原则：机构必须保证，向客户和雇员清楚地交代个人信息相关的业务操作方法和程序。

　　9．当事人有知情权原则：当事人有权审查或审阅机构所保存的个人信息，也有权对其中不准确的地方进行更正。

　　10．接受申诉并核实信息的原则：机构必须建立简单易行的当事人申诉受理程序。机构必须告诉当事人其信息是从哪里取得的，要对所有的有争议的部分进行核实，并以适当的程序更正被确认为是不正确的信息。

　　五、隐私权保护委员会办公室的角色、职责和工作方法

　　当事人需要了解机构是如何保存其个人信息的，他们通常会先去找机构解决问题。当然，当事人也可以向“隐私权保护委员会办公室”提出与个人信息保存和处理相关的申诉，常见的申诉包括：机构剥夺了其知情权；不适当地采集、使用或披露了其个人信息；拒绝修改不正确的信息；机构的系统安全保密措施不够严密等。作为一名委员会的专员，在某种情况下，我也可能直接向机构提出质疑。

　　作为国会机构的工作人员，我直接向国会的参众两院报告工作。人格的独立性使我能够公正和开放思维地履行职责，在个人隐私问题上调查官员们的舞弊行为。

　　我们尽可能地通过调查、劝解、调停、抚慰等方法解决争议。通常，这些方法可以比较理想地解决大多数的争议。这样做不必使用法律来压迫任何一方，也比诉诸法律的成本低。

　　当针对一项投诉的调查启动时，办公室会通知被告机构，该机构将受到调查，也同时告知该机构国会调查人员的职责。在处理过程中，被调查机构也可以向隐私权保护委员会的调查员做出陈述或解释。我们倾向于让投诉和被告双方通过谈判和劝解来解决纠纷，但也可能提出另一套解决问题的程序，例如仲裁和救济。我们寻求尽快解决问题，以及其他方法来满足投诉人的要求，将我们受理的投诉案件数量降至最低。

　　如果投诉不能以非正式方法解决，办公室任命的调查员将与机构的代表进行接触，告知他们调查工作进行的程序。在可能的情况下，还会告诉他们需要审查哪些记录，以及要与机构中的哪些雇员面谈。

为了完成调查工作，我们可以传唤证人，在宣誓条件下取证，强制提取记录，要求管理人员宣誓，接受任何证据和举报，做起诉准备工作。

　　在调查工作结束之前，所有证据和结论都对机构和投诉人保密。双方在任何时候都可以补充陈述，在结束调查之前还会给予双方机会，寻求以非正式方法解决问题。之后，我们会重新审视案子，也会将调查报告发给原被告双方。报告给出调查的结论，包括双方主动采取的改进措施，以及调查人员代表办公室做出的处理建议。例如，报告会建议机构改进信息管理方式，以及明确该机构采取了怎样的措施之后才会被认为达到了要求。

　　作为隐私权保护委员会的专员，我没有权力发出强制性的命令，但是有法律赋予我们的两项权力。我们有权停止机构的个人信息业务，也能为加拿大联邦法院效力。我们可以要求机构告知其根据调查报告中的建议所采取的改进措施，以及准备采取的改进措施。我们也可以质询机构为什么不采取改进措施。

　　在监督《个人信息保护和电子文件法》的执法和受理投诉之外，专员还可以审查机构的个人信息存储和处理的业务程序。我还有责任去研究和弄懂各类涉及隐私的问题。作为国会的工作人员，我不仅要向参众两院报告法律执行情况，还要解释与隐私问题相关的重要事情。

　　那么，对于当事人和机构双方，将个人隐私权保护好的标准是什么呢？

　　人们害怕政府掌握太多的个人信息，认为因此会妨碍到个人的自由。人们也担心，如果企业过分地采集个人信息，会产生对他们不利的影响。通过《个人信息保护和电子文件法》，人们可以更好地控制被机构掌握的个人信息，特别是在商业活动中。公民能够控制其个人信息不被随便披露和滥用，是法律对公民权力提供的保障。

　　对于机构，《个人信息保护和电子文件法》并没有将它们视为被法律约束的负担。法律反映了新的商业机会。法律解决了加拿大公司在其它国家的分支不愿意传输个人信息给它们的问题。由于有专门法律的约束机构去尊重客户的隐私权，因而改善了机构与客户的关系，使机构得到意想不到好处，机构的竞争力也因此增强。特别是在电子商务领域，良好的个人信息处理方针和实践，能建立起客户对机构的信任。

　　审查机构的个人信息采集和处理方式可以发现，一些机构存在工作效率低的问题。例如，有些机构显得贪得无厌，采集和维护了大量无用的个人信息，因此不必要地加大了机构的运营成本。

　　六、结论

　　前文简单地介绍了《个人信息保护和电子文件法》的立法精神，以及法律对被约束各方的要求。对比我的解释，法律条文的内容更是丰富和详细。我只是力图解释这部法律的主要特点。

　　使用强有力的措施来执法，并不是我作为一名隐私权保护委员会专员的初衷和意愿。相对来说，《个人信息保护和电子文件法》是一部比较新的法律，机构和公民都需要时间来了解这部法律，以及如何有效地遵守它。我们的目标是通过《个人信息保护和电子文件法》的实施，鼓励加拿大的机构建立起良好的信誉形象，与立法和执法机关合作，逐渐建立起尊重个人隐私权的声誉。隐私保护委员会办公室将与机构一起努力，改进机构在个人信息采集、存储、处理和披露方面的业务操作。

　　按照《个人信息保护和电子文件法》的要求改进个人信息的采集和处理方式，机构重新审视自己的相关作业程序是十分重要的。机构在采集什么样的个人信息？机构是否需要采集这些信息？机构用这些信息做什么？机构将向谁披露这些个人信息？这些个人信息将在机构的数据库中保存多久？机构的个人征信数据库是否安全可靠，不会被侵入？这些问题都是评价机构业务操作程序的基本问题。

　　隐私权保护委员会办公室出版了许多资料，欢迎个人信息经营机构查阅。这些资料详尽地解释了《个人信息保护和电子文件法》，对于机构更好地遵守法律是非常有帮助的。

[1] 作者珍妮弗. 斯道达特是加拿大国会下属的隐私权委员会的委员。

[2] 翻译者林钧跃为中国市场学会信用工作委员会副主任。