先说三句：第一，网购平台把你的消费记录卖给第三方、让对方拿去做自己的营销或画像，一般属于“披露”，原则上需要你的知情同意，结账本身不等于你同意了这件事；第二，平台把数据交给外包服务商代为处理（如仓储、支付、客服）与“转售”是两回事，前者在原目的内一般不另需一份同意，但平台仍要对数据负责并讲清楚；第三，维权顺序是先书面找平台隐私官、要求说明并撤回同意，不满意再向加拿大隐私专员办公室（Office of the Privacy Commissioner of Canada，OPC）投诉，OPC 调查报告之后还可能走联邦法院程序。
这篇文章只讲联邦《个人信息保护与电子文件法》（Personal Information Protection and Electronic Documents Act，PIPEDA）框架下的消费者路径。BC 省、阿尔伯塔省、魁北克省有各自被认定为与 PIPEDA 实质相似的省级私营部门隐私法，省内纯本地商业活动可能走省级监管，具体适用以官网为准。本文仅为信息整理，不构成法律建议。
1. “消费记录”到底包括什么
网购留下的不只是一张订单。常见的消费记录包括：姓名、地址、电话、邮箱；买了什么、多少钱、什么时候买、退换货记录；支付方式的后几位、配送偏好；浏览、搜索、加购、点击广告的轨迹；客服聊天记录；以及平台据此推断出的偏好、消费能力、家庭结构等画像标签。PIPEDA 下的“个人信息”是指可识别某个人的信息，画像标签一旦能对应到你，也可能落入这个范围。
为什么这件事值得较真？因为消费记录一旦被转售，你很难知道它被倒了几手：数据经纪商、广告平台、营销公司可能各自再组合、再出售。等你收到完全没打过交道的商家推销时，源头往往已经很难追溯。所以发现苗头时，第一时间固定证据比事后争论“有没有同意”更重要。
2. 转售与外包处理：法律上是两回事
这是整篇文章最关键的区分，很多人维权失败就是因为把两者混为一谈：
| 情形 | 法律定性 | 对你的意义 |
|---|---|---|
| 平台把订单数据交给物流、支付、云服务商，让对方按平台指令处理 | 一般视为“使用”而非“披露”，属于为原目的所做的处理转移 | 在原目的范围内，一般不另需一份同意；但平台仍须负责、签合同约束对方、并公开说明数据可能出境处理 |
| 平台把消费记录卖给或提供给第三方，让对方用于自己的营销、画像、转售 | 属于“披露”，且目的已经超出你下单的原目的 | 原则上需要你的知情同意；对方拿到数据后也要为自己的处理负责 |
| 平台把去标识化、聚合后的统计结果分享出去 | 是否还属于个人信息要看能否重新识别到个人 | 如果仍可识别，就不能用“已经匿名”一句话带过 |
实务判断技巧：看第三方拿到数据后“听谁的”。如果它只是按平台指令办事、不能自己拿去做别的用途，更接近外包处理；如果它可以自主决定用途、甚至再转卖，那就是披露。平台隐私政策里常把两者写进同一段“我们可能与第三方分享”，你要逐句拆开看，而不是只看小标题。
3. 同意要满足什么才算数
PIPEDA 要求同意必须是“知情同意”：一个理性的人在了解收集、使用、披露的性质、目的和后果后，才会理解的那种同意。具体到网购转售，至少要看四点：
- 目的讲清楚了没有。“用于改善服务”“与合作伙伴分享”这种笼统表述，不等于讲清了“卖给数据经纪商做营销画像”。目的越敏感、越超出购物本身，说明义务越重。
- 同意是不是真正的选择。如果不同意就不能下单、不能用核心功能，要问这个捆绑是否合理；对非必需的转售，消费者应当有说“不”的空间。
- 敏感信息要更谨慎。健康、财务、精确位置、未成年人信息等敏感程度越高，越需要明确、积极的同意，不能靠默认勾选或含糊表述蒙混。
- 同意可以撤回。你可以在合理通知后撤回同意，除非法律或合同有正当理由限制。撤回之后，平台继续按旧同意转售就很难站得住脚。
另外注意 PIPEDA 第 5(3) 条的总原则：组织只能为“理性人会认为适当的”目的收集、使用或披露个人信息。哪怕某句话写进了冗长的用户协议，如果目的本身不合理，也不能只靠一纸条款过关。
4. 哪些情形下，平台不能拿“你已同意”当挡箭牌
- 你同意的是购物，不是转售。注册、下单、同意隐私政策，不等于同意把消费记录卖给第三方做营销。目的变了，就要重新取得同意。
- 同意藏在几十页条款的角落里。关键披露如果没有以合理方式突出提示，平台很难证明你真正理解了转售的性质和后果。
- 默认勾选、 pre-ticked 选项。你没主动点选的选项，不能当然视为积极同意，尤其涉及敏感信息或新目的时。
- 你已经撤回，平台还在卖。撤回后继续披露需要新的正当依据，旧同意不能无限续命。
- 平台说“已匿名”，但数据仍可识别你。设备号、订单号、地址组合起来常常足以重新识别，匿名化主张要经得起检验。
- 未成年人或弱势群体的同意。面向未成年人的服务在同意、默认设置和第三方分享上要求更严格，不能照搬成人流程。
5. 发现被转售：第 1 步固定证据，第 2 步书面找平台
第 1 步：固定证据。保存好以下材料，投诉时全部用得上：
- 你收到陌生商家推销的截图、短信、邮件（含发件人、时间、所涉商品类别）。
- 平台隐私政策中关于“分享/出售/合作伙伴”的原文截图，标注你看到的日期和版本号。
- 你的订单记录、账户隐私设置页截图（是否有关闭分享的开关、你是否关过）。
- 你与平台客服、隐私官往来的全部记录（日期、对方姓名或工号、答复原文）。
第 2 步：书面联系平台的隐私官（Privacy Officer）。每家受 PIPEDA 约束的组织都应有处理隐私问询的负责人，联系方式一般在隐私政策末尾。书面请求建议一次写清四件事：(1)请说明我的哪些消费记录被披露给了哪些第三方、用于什么目的、依据哪一条同意；(2)请提供我个人信息的查阅副本；(3)我撤回对向第三方披露消费记录用于营销、画像、转售的同意；(4)请在法定期限内书面回复并说明后续处理。发出后保留发送凭证，OPC 投诉时通常希望看到你先真诚地尝试与组织直接解决。
同时，你可以行使查阅权：要求组织告知其持有你的哪些个人信息、如何使用、向谁披露过。按 PIPEDA 的一般要求，组织应在 30 天内回复，特殊情形可依法延长并说明理由，具体以官网为准。回复不满意或逾期不回，都是下一步投诉的重要材料。
6. 第 3 步：向 OPC 投诉怎么写才有效
如果平台不回复、答复含糊、拒绝撤回或继续转售，就可以向 OPC 提交书面投诉。投诉不是写一封情绪信，而是按“事实—证据—诉求”三段写：
- 事实：你在某平台购物的时间、发现被转售的经过（何时收到何种陌生推销、与哪类消费记录对应）。
- 证据：附上隐私政策截图、你撤回同意的书面记录、平台答复、陌生推销截图。证据按时间顺序编号，方便调查员对照。
- 诉求：写清你要什么结果，例如：要求平台停止向第三方披露、删除已披露数据的后续使用、说明已披露的第三方名单、纠正不实的同意记录。
OPC 收到投诉后会先判断事项是否属于 PIPEDA 管辖；受理后展开调查，调查中也可能先尝试早期解决。OPC 的角色是调查并作出调查结果报告、提出不具约束力的建议；它本身不是法院，不能直接下令罚款或赔偿。这一点要提前想清楚：OPC 投诉的价值在于官方调查结论和整改压力，而不是直接拿到赔偿。
7. OPC 之后：联邦法院这条路，以及省级分流
如果你对 OPC 的调查结果不满意，或者 OPC 报告中提到了可诉事项，你可以在规定条件下向联邦法院（Federal Court）申请救济，法院可以命令组织纠正做法、发布合规通知，并在符合条件时判给损害赔偿。走法院程序涉及诉讼成本、举证和时限，是否值得要结合损失大小、证据强度单独评估，必要时咨询持牌律师。
省级分流也要先想清楚：如果你在 BC 省、阿尔伯塔省或魁北克省，且争议是纯省内商业活动，可能应向省级隐私监管机构投诉而非 OPC；如果涉及跨省商业活动或联邦管辖组织，则走 PIPEDA/OPC。投诉前先在 OPC 官网确认管辖，避免投错门、浪费数月等待。
还有一条并行线不要忽略：如果转售伴随数据泄露（例如平台被入侵导致消费记录外泄），PIPEDA 对“有造成重大伤害实际风险”的泄露有强制报告和通知要求，组织须向 OPC 报告并通知受影响个人，同时留存泄露记录 24 个月以备 OPC 查阅。你的投诉材料里若涉及泄露情节，要单独写明。
8. 费用、时间线与关键数字单列
| 项目 | 数字/时间 | 说明 |
|---|---|---|
| 向平台隐私官投诉 | 免费 | 书面进行，保留发送凭证 |
| 查阅个人信息回复期 | 一般 30 天内 | 特殊情形可依法延长并说明理由，以官网为准 |
| 向 OPC 投诉 | 免费提交 | 在线或邮寄均可，受理后调查员通常在数周内介入，具体以官网为准 |
| OPC 调查结果报告 | 以官网流程为准 | 不承诺具体结案天数，复杂案件耗时更长 |
| 数据泄露记录留存 | 24 个月 | 组织须留存全部泄露记录，包括无重大伤害风险的情形 |
| 联邦法院程序 | 费用与时限个案而定 | 涉及诉讼成本，起诉前先评估证据与损失 |
时间线参考：第 1 周固定证据并书面联系平台；第 2–5 周等平台回复、视情况补充一次书面催告；平台不解决则向 OPC 投诉；OPC 调查期间配合补充材料；拿到报告后再决定是否走联邦法院。整个过程不要只打电话：电话内容事后难以举证，关键节点一律走书面。
9. 常见坑与红线
- 只打电话、不留书面。客服口头说“已关闭分享”不等于系统真的停了，事后也无法举证。所有关键请求都要邮件或站内工单书面留痕。
- 只关广告个性化，就以为关了转售。“关闭个性化广告”与“停止向第三方披露消费记录”常常是两个开关，要逐项确认。
- 投诉只写情绪、不写事实与诉求。没有时间线、证据编号和明确诉求的投诉，调查员很难立案推进。
- 投错监管机构。纯省内活动投 OPC、联邦管辖事项投省监管，都会被转交或退回，白白耗几个月。
- 以为 OPC 能直接判赔偿。OPC 作出的是调查结果与建议，赔偿要走联邦法院，不要把全部期望押在投诉一步。
- 在社交媒体公开订单号、地址等个人信息维权。维权材料一旦公开，自己又制造了一次泄露，截图时务必打码。
10. 新手 checklist：发现被转售后照单做
- ☐ 截图保存陌生推销、隐私政策原文、账户隐私设置页
- ☐ 书面联系平台隐私官：要求说明披露对象与目的、提供查阅副本、撤回营销转售同意
- ☐ 关闭账户内所有“与第三方分享/个性化营销”开关，并截图留证
- ☐ 等待平台书面回复，逾期或答复含糊时书面催告一次
- ☐ 整理时间线与证据编号，向 OPC 提交书面投诉并写清诉求
- ☐ 确认管辖：跨省/联邦事项走 OPC，纯省内事项先查省级监管
- ☐ 拿到 OPC 报告后，再评估是否走联邦法院或咨询律师
11. 常见问题 FAQ
Q1：我注册时勾选了隐私政策，是不是就等于同意平台卖我的消费记录？
A：不一定。同意必须针对具体的披露目的且是知情的。你同意的是购物和履约，不等于同意把记录卖给第三方做营销或画像。目的变了，平台需要重新取得你的同意，笼统条款不能一劳永逸。
Q2：平台说数据是交给“合作伙伴处理”，这算转售吗？
A：要看对方能不能自主使用数据。如果对方只是按平台指令处理、不能自作主张，那更接近外包处理；如果对方可以拿去做自己的营销、画像甚至再转卖，那就是披露，需要你的同意。只看“合作伙伴”这个词不够，要看合同里的实际用途。
Q3：我撤回同意后，平台以前已经卖出去的数据怎么办？
A：撤回一般面向未来，平台应停止继续披露；已经披露出去的数据能否追回，取决于第三方合同、数据是否已被进一步转售以及 OPC 调查结论。你的投诉诉求里应明确要求平台说明已披露名单并采取补救措施，实际效果个案而定。
Q4：向 OPC 投诉要花钱吗？要等多久？
A：提交投诉本身免费。OPC 受理后会判断管辖并展开调查，调查员通常在数周内介入，但复杂案件的完整调查周期以官网流程为准，不宜预设具体结案天数。等待期间配合补充材料，不要重复提交同一投诉。
Q5：我在魁北克省，还能向 OPC 投诉吗？
A：要看活动性质。魁北克省有自己的私营部门隐私法，纯省内商业活动一般走省级监管；涉及跨省商业活动或联邦管辖组织时走 PIPEDA/OPC。投诉前先在 OPC 官网确认管辖，投错门会耽误时间。
相关阅读
官方来源：Office of the Privacy Commissioner of Canada、Canada.ca、Justice Laws Website (PIPEDA)。核验于 2026年10月28日。
关键政策以 IRCC / CRA / 各省官网为准。本文仅供信息参考，不构成法律/移民/医疗/投资建议。
📱 更多加拿大生活干货，欢迎加微信交流：UUUMGT
