在加拿大的商业活动
在全国范围内的商业活动中收集、使用或披露个人信息的私营企业,遵守 PIPEDA。
指南 · 加拿大联邦法律
PIPEDA 是规范加拿大私营企业如何使用个人数据的联邦法律。对于基于行为的广告,隐私专员接受选择退出模式,但必须满足明确的条件。本指南介绍该法律何时适用、什么是有意义的同意,以及如何配置网站。
是什么
PIPEDA(Personal Information Protection and Electronic Documents Act,即《个人信息保护和电子文件法》)是加拿大针对私营部门的联邦隐私法。它适用于在商业活动中收集、使用或披露个人信息的组织。
就该法律而言,个人信息是任何关于可识别个人的信息。在网站上,这包括表单数据,也包括用于追踪浏览和选择广告的标识符。
该法律由加拿大隐私专员(Office of the Privacy Commissioner,即 OPC)负责执行。发布者参考的关于同意和行为广告的指南,就是由它发布的。
清单
PIPEDA 和隐私专员的指引对接待加拿大访客的、带广告的网站有哪些要求。
企业必须指定一名负责遵守该法原则的人员。请公布一个联系方式,用于咨询和请求。
隐私负责人:张伟。联系方式:privacy@yoursite.com
OPC 要求让人清楚地了解收集了什么、与谁共享、用于什么,以及有哪些风险。Google 还要求政策说明,包括 Google 在内的第三方会使用 cookie 来展示广告。
我们使用自有 cookie 和合作伙伴(如 Google)的 cookie,根据您的兴趣展示广告。您可以随时拒绝。
广告的 opt-out 只有在方便、最好在收集之前提供,并且立即生效、对之后的访问也有效时,才会被接受。数据应尽快销毁或去标识化。
页脚固定链接:广告选择
健康、财务、种族或民族出身、政治观点、基因和生物识别数据、性生活以及宗教,需要明示同意。对于超出对方预期的用途,也要取得明确的“同意”。
如果访客无法拒绝某项技术,OPC 表示不应将其用于广告。所举的例子有僵尸 cookie、超级 cookie 和设备指纹。
对于无法给出有意义同意的人,要征求父母或监护人的同意,OPC 认为这原则上适用于 13 岁以下的未成年人。作为最佳做法,要避免跟踪儿童以及面向儿童的网站。
访客可以了解网站持有哪些数据,查看并对这些数据提出异议。访客也可以撤回同意,此后收集和使用都应停止。
存在造成重大伤害的真实风险的泄露,必须通报 OPC 和受影响的人。所有泄露都必须记录保存两年。
实际案例
官方工具
Google 对加拿大没有要求使用认证 CMP,也没有专门的消息,所以下面的链接显示了 Google 对所有发布者的要求,以及监管机构的期望。
适用对象
加拿大既有联邦法律,也有省级法律。了解哪一部适用,可以避免错误地配置网站。
在全国范围内的商业活动中收集、使用或披露个人信息的私营企业,遵守 PIPEDA。
阿尔伯塔省、不列颠哥伦比亚省和魁北克省有被视为类似的私营部门法律。在这些省份内部,这些法律通常取代 PIPEDA 适用。
当数据从一个省传到另一个省或者离开该国时,PIPEDA 依然适用,包括在这三个省份。
银行、航空公司、电信公司和广播公司始终遵守 PIPEDA,包括员工数据。
原则
PIPEDA 的附表 1 列出了 10 项公平信息原则。归并之后,可以概括为六个实用的理念。
公司对其控制的数据负责,并且必须指定一个人负责合规。
在收集之前或收集时说明数据的用途,并取得适当的同意。
只收集必要的数据,只用于已告知的目的,保存时间不超过需要的期限。
保持数据正确,并防止未经授权的访问。
让您的做法便于查找和理解,例如一份清晰的隐私政策。
个人可以查看自己的数据、要求更正,并对公司如何遵守法律提出投诉。
同意
PIPEDA 要求有意义的同意。也就是说,个人必须理解自己接受的内容:哪些数据、用于什么、与谁共享,以及存在哪些风险。
该法律接受两种同意。明示同意是主动的“是”,例如勾选复选框。默示同意,即选择退出,在信息敏感度较低、且该用途在合理预期之内时被接受,前提是个人有简便的拒绝方式。
数据越敏感,同意就要越强。对于健康和财务数据、族裔和种族出身、政治观点、基因和生物识别数据、性生活、性取向和宗教信仰,OPC 期望取得明示同意。
行为广告也不能成为使用互联网或网站的条件。也就是说,拒绝追踪的访客仍然可以访问内容。
行为广告
2015 年 12 月更新的有关隐私和在线行为广告的指南,只在满足以下所有条件时才接受选择退出。
广告追踪必须明显地加以说明,而不是藏在隐私政策里。横幅和分层通知有所帮助。
在收集之前或收集时就告知个人,包括涉及的合作伙伴是谁。
拒绝必须简单,最好在收集开始之前就能完成。
选择退出立即生效,并在之后的访问中继续有效。
只要可能,收集就限于非敏感信息。
数据应尽快销毁或去标识化。
网站的义务
监督执法
OPC 接收投诉、展开调查、发布调查结论并提出建议。根据 PIPEDA,强制公司遵守法律要通过联邦法院,法院可以下达命令并判给赔偿。
有些行为属于犯罪。故意不遵守泄露通报和记录规则可能被处以罚款。而且 OPC 的公开调查,即使没有罚款,通常也会对网站的声誉产生很大影响。
2026 年 6 月 15 日,政府向下议院提交了 C-36 法案,该法案设立《消费者隐私与数据保护法》并修改 PIPEDA。到 2026 年 11 月初,该法案处于二读阶段,尚未通过。在此期间,PIPEDA 仍按现状有效。
时间线
从广告指南到改革法案。
OPC 更新了接受基于兴趣广告选择退出的条件。
OPC 发布了关于泄露通报和数据泄露记录的指南。
该省分三个阶段使其法律生效。对魁北克的访客来说,规则更为严格。
联邦隐私改革法案提交至下议院。
AdSense 和 Ad Manager
Google 的欧盟用户同意政策适用于欧洲经济区、英国和瑞士。加拿大不在这份名单中,因此 Google 不要求对加拿大流量使用认证的 CMP 或 TCF 消息。
即便如此,Google 的发布商政策在全球范围内都适用。网站的隐私政策必须说明,第三方可能会写入和读取 Cookie,或使用网络信标和 IP 地址来投放广告。而且,面向儿童的内容不能展示基于兴趣的广告。
为了遵守 PIPEDA,发布商通常会组合三个要素:一个关于个性化广告的显眼通知、一个永久的选择退出链接,以及一个会对拒绝者停止请求个性化广告的 CMP 或配置。对魁北克的访客,由于第 25 号法,配置需要更严格。
实际案例
基于 OPC 有关同意和广告的指南的示例。
PIPEDA 不要求欧洲形式的横幅。它要求有意义的同意。对于基于兴趣的广告,如果通知明显,且选择退出简单、即时并持久,OPC 接受选择退出。分层通知通常是满足这一点的最简单方式。
PIPEDA 是联邦法律,适用于全国。第 25 号法属于魁北克,更为严格,罚款很高,并对追踪技术有专门规定。对魁北克的访客,请遵循第 25 号法。
根据 PIPEDA,OPC 进行调查并提出建议,案件可以提交联邦法院。有些行为,例如故意不遵守泄露规则,属于犯罪,可能被处以罚款。仍在审议中的 C-36 法案提议改变这一模式。
不要求。使用 TCF 的认证 CMP 的要求适用于欧洲经济区、英国和瑞士。对加拿大,适用 Google 的通用政策和加拿大法律。
当网站与加拿大受众有实际联系时可能适用,例如面向加拿大的内容和广告。这属于法律分析。在实践中,为加拿大访客提供清晰的通知和选择退出,是一种简单的配置。
资料库
本指南根据以下官方页面编写。请直接阅读原文:
审核会测试通知、选择退出、CMP 和隐私政策,并提供修复计划。