先说三句：个人信息被商家泄露，先做三件事——保存证据、书面要求商家解释并删除，再向加拿大隐私专员公署（Office of the Privacy Commissioner of Canada，OPC）投诉；PIPEDA（《个人信息保护与电子文件法》）本身不直接发赔偿支票，赔偿要走和解、联邦法院或小额法庭等路径；商家发生“有重大损害实际风险”的泄露时，依法须尽快向 OPC 报告并通知受影响个人，相关记录至少保存 24 个月。
本文讲的是联邦层面《个人信息保护与电子文件法》（Personal Information Protection and Electronic Documents Act，PIPEDA）下的通用路径。各省另有自己的隐私法（如魁北克第 25 号法案、BC 省 PIPA），规则可能更严，具体适用以官网为准。本文仅为信息整理，不构成法律意见。
1. 先确认：你的情况归 PIPEDA 管吗？
PIPEDA 管的是联邦管辖机构和各省商业活动中的个人信息处理。日常场景里，最常见的是：网店、健身房、诊所、银行、电信公司、招聘平台等商业机构收集了你的姓名、电话、邮箱、住址、信用卡信息、健康信息后，因系统漏洞、员工误操作或外包商问题导致泄露。
- 管：商家在商业经营中收集、使用、披露你的个人信息。
- 不一定归 PIPEDA：纯个人用途（如朋友间转发）、省级政府机构、以及受本省“实质相似”隐私法管辖的省内活动，可能走省隐私专员渠道。
- 魁北克注意：魁北克第 25 号法案（Law 25）是目前加拿大最严的隐私制度，罚款上限远高于 PIPEDA，住在魁北克或商家在魁北克经营时要优先看魁北克规则。
2. 赔偿 3 步总览：先走哪一步
给信息泄露受害者的 3 步路径是：第 1 步，固定证据并书面投诉商家；第 2 步，向 OPC 投诉；第 3 步，依据 OPC 结论选择索赔路径。三步按顺序走，不要跳过第 1 步直接去法院——OPC 和法院都会先看你有没有给商家纠正的机会。
| 步骤 | 做什么 | 费用 | 大概耗时 |
|---|---|---|---|
| 第 1 步 | 保存证据、书面投诉商家、要求删除与说明 | 免费 | 1–2 周内发出，留 30 天等回复 |
| 第 2 步 | 向 OPC 提交投诉 | 免费 | OPC 调查周期以官网为准，复杂案件可达数月 |
| 第 3 步 | 和解 / 联邦法院 / 小额法庭 / 省隐私侵权诉讼 | 小额法庭费用低；联邦法院建议咨询律师 | 以法院排期为准 |
3. 第 1 步：固定证据，别先删记录
泄露发生后最容易犯的错，是愤怒之下删掉聊天记录、卸载 App、清空邮箱。证据一旦没了，后面每一步都难。
- 截图保存：泄露通知邮件、商家公告、异常登录提醒、陌生来电短信、信用报告上的异常记录，全部截图并保留原始邮件（不要只转存文字）。
- 记时间线：什么时候发现泄露、泄露涉及哪些信息（姓名？SIN？银行卡？健康信息？）、你因此采取了什么措施（改密码、冻结信用、报警）。
- 记损失：直接损失（被盗刷金额、补办证件费用）与间接损失（请假处理、信用受损）分开记，保留收据。
- 不要公开喊话：先不要在社交媒体公布细节，避免影响后续投诉与索赔，也避免自己说出未经核实的内容。
4. 第 1 步（续）：书面投诉商家，要求 4 件事
用邮件或商家官网的隐私联系渠道书面投诉，写明：你是谁、哪次泄露、涉及哪些个人信息、你要求商家做什么。重点要求以下 4 件事：
- 说明泄露原因、涉及信息范围、影响人数（与你有关的部分）；
- 说明商家已采取的补救措施（封堵漏洞、通知了哪些机构）；
- 删除或更正你的个人信息（在法律允许的范围内）；
- 书面回复并给出隐私负责人（Privacy Officer）的联系方式——PIPEDA 要求组织指定负责人并公开联系方式。
书面投诉要留底：邮件发给商家隐私负责人并抄送自己，保存发送记录。商家不回、敷衍回复或拒绝纠正，都是你下一步向 OPC 投诉的有力材料。
5. 第 2 步：向 OPC 投诉，具体怎么交
如果你对商家的处理不满意，或商家根本不回应，就可以向加拿大隐私专员公署（OPC）投诉。OPC 是独立的调查机构，投诉免费。
- 先找商家：OPC 通常希望你先向商家提出过问题——第 1 步的书面投诉记录就是证明。
- 准备材料：泄露通知、与商家的往来邮件、时间线、损失清单。
- 在线提交：通过 OPC 官网的投诉表格提交，写清事实经过与诉求（查阅、更正、删除、道歉、赔偿意向）。
- 配合调查：OPC 会联系商家核实，调查结束后出具结论与建议；OPC 本身是调查与建议角色，不直接下令罚款或判赔偿。
需要注意：OPC 处理的是“组织是否遵守了 PIPEDA”，而不是直接替你算赔偿。拿到 OPC 的调查结论后，才是你谈赔偿或起诉的最有力依据。
6. 商家泄露后依法必须做什么
自 2018 年 11 月起，PIPEDA 的强制泄露报告制度要求：当泄露造成“有重大损害实际风险”（real risk of significant harm）时，组织必须：
- 尽快（as soon as feasible）向 OPC 报告；
- 尽快通知受影响的个人；
- 通知其他可能降低损害风险的组织或政府机构；
- 保存所有泄露记录至少 24 个月，即使是不构成报告义务的小泄露也要留档。
注意：PIPEDA 没有规定“72 小时”这种固定天数——72 小时是欧盟 GDPR 的时限，不要混淆。判断“重大损害实际风险”要看信息敏感度（如 SIN、金融账户、健康信息风险更高）、泄露范围与是否已被不当使用等因素，以 OPC 指引为准。
7. 第 3 步：赔偿从哪里来？4 条路径
很多人以为“向 OPC 投诉就能拿到赔偿”，这是误解。OPC 不直接判赔，赔偿来自以下路径：
| 路径 | 适用情形 | 要点 |
|---|---|---|
| 与商家和解 | 商家愿意谈 | 凭 OPC 结论或律师函谈判，金额双方协商；和解协议要书面化 |
| 联邦法院 | OPC 调查后仍未解决 | 在 OPC 出具报告后，可向联邦法院起诉，法院可判损害赔偿（包括精神损害类赔偿），以法院裁量为准 |
| 小额法庭 | 金额较小、事实清楚 | 各省小额法庭受理上限不同，以本省官网为准；程序简单、费用低 |
| 省隐私侵权诉讼 | BC、萨省、曼省、纽芬兰等省 | 这些省有成文的隐私侵权法，可直接起诉侵犯隐私；魁北克 Law 25 下亦有法定赔偿机制 |
赔偿金额没有统一公式，取决于信息敏感度、泄露范围、实际损失、商家过错程度与补救态度。不要轻信网上“泄露一条信息赔 X 元”的说法，一切以个案裁量为准。
8. 费用、时间线与关键数字单列
- 投诉成本：向商家投诉、向 OPC 投诉均免费；律师咨询与诉讼费用另计，法律援助与公益法律诊所可先咨询。
- 商家报告时限：“尽快”（as soon as feasible），无固定天数；不要被“72 小时”误导，那是 GDPR 的规则。
- 泄露记录保存：至少 24 个月。
- PIPEDA 违法处罚上限：特定违法行为（如妨碍调查、未报告泄露）最高罚款 10 万加元（每次违规），这是针对违法行为的罚则，不是给受害者的赔偿额。
- 魁北克 Law 25 罚款上限：最高 2500 万加元或全球营业额的 4%，以较高者为准——再次说明省法可能比联邦法严得多。
- OPC 调查时间：以官网公布的实际处理进度为准，复杂案件耗时较长，期间可补充材料。
9. 常见坑与红线：6 条
- 红线：以为 OPC 直接赔钱。OPC 是调查机构，不判赔偿；跳过 OPC 直接起诉也可能因证据不足而吃亏。
- 坑：只打电话投诉。电话说完无凭据，一律走书面（邮件）并留底。
- 坑：把 72 小时当成 PIPEDA 时限。那是 GDPR 的数字；PIPEDA 的标准是“尽快”，商家拖延本身就是投诉理由。
- 坑：泄露后继续用同一密码。立即改密码、开双重验证、查信用报告、必要时做信用冻结（credit freeze），防止二次损失。
- 红线：公开泄露细节“维权”。公开他人的信息或未经核实的指控，可能反过来构成法律风险。
- 坑：和解协议随手签。签和解前确认是否放弃了进一步索赔的权利，金额大的先咨询律师或法律诊所。
10. 新手 checklist：泄露后 7 天内做完
- ☐ 截图保存泄露通知、异常记录，写好时间线
- ☐ 改密码、开双重验证，检查银行与信用报告
- ☐ 书面投诉商家，要求说明、删除与补救，留底
- ☐ 给商家 30 天左右的合理回复期
- ☐ 商家不回应或处理不满 → 向 OPC 提交投诉
- ☐ 拿到 OPC 结论后，评估和解、联邦法院或小额法庭路径
- ☐ 涉及 SIN 或金融账户被盗用时考虑报警并留存报案号
11. FAQ：泄露受害者最常问的 4 个问题
Q1：商家不承认泄露，我还能投诉吗？
能。你手里的异常记录（陌生登录、盗刷、信用报告异常）加上商家的回复本身就是材料，OPC 会向商家核实。商家是否履行报告义务，也是调查内容之一。
Q2：向 OPC 投诉要钱吗？要请律师吗？
投诉免费，不强制请律师。事实清楚、材料齐全的投诉完全可以自己提交；涉及联邦法院诉讼时再考虑律师。
Q3：泄露的是旧邮箱和电话，算“重大损害风险”吗？
要看组合：单是旧邮箱风险较低，但若连同姓名、住址、出生日期一起泄露，身份盗用风险就明显上升。最终认定以 OPC 指引与个案事实为准。
Q4：我已经和商家和解了，还能向 OPC 投诉吗？
和解协议的内容决定一切：如果协议写明放弃进一步追索，之后再投诉或起诉会受限。签协议前务必读清条款，金额大时先咨询律师。
相关阅读
官方来源：Office of the Privacy Commissioner of Canada（OPC）官网、Canada.ca（PIPEDA 相关页面）、Quebec Commission d’accès à l’information（魁北克 Law 25 相关页面）。核验于 2026年10月26日。
关键政策以 IRCC / CRA / 各省官网为准。本文仅供信息参考，不构成法律/移民/医疗/投资建议。
📱 更多加拿大生活干货，欢迎加微信交流：UUUMGT
