加拿大隐私专员办公室对StatCan（统计局）发布“匿名化”人口普查微数据因可能重新识别发表声明案（2019年）

【案件背景】
加拿大统计局（Statistics Canada，以下简称“StatCan”）每五年进行一次全国人口普查，并基于普查结果发布用于学术研究和公共政策分析的微数据文件（PUMF—Public Use Microdata File），”StatCan声称这些微数据已通过“充分的匿名化处理”。但在2019年，StatCan启动了一项新项目——以行政令的方式要求加拿大主要银行和信用机构向其提供约50万加拿大人的详细金融交易数据（包括信用卡消费记录、贷款信息、银行账户余额等），并计划将这些金融数据与人口普查数据进行关联分析，以构建更高精度的家庭经济行为模型。项目引发了公众的强烈抗议和数据隐私担忧。2019年11月，加拿大隐私专员办公室（OPC）经过深入调查后发布了调查报告。

【违法事实】
经调查查明：
（1）StatCan在将金融机构的行政数据与人口普查微数据进行关联时，计划使用“确定性匹配”算法（基于姓名、出生日期和地址），意味着在关联过程中StatCan实际上重新识别了原本声称“匿名化”的普查数据中的个体。这一做法违背了StatCan对加拿大公众关于普查数据将始终保持匿名的长期承诺。
（2）StatCan计划从银行获取的金融交易数据粒度极其详细：包括每笔交易的金额、日期、商户名称和类别代码。此数据的详细程度允许对个人的消费习惯、购买地点、财务状况等高度私密信息进行深度推断，即使关联后的数据集声称将“匿名化输出”，关联过程中的中间数据本身就构成了对隐私的严重威胁。
（3）StatCan在启动该项目前，虽然进行了隐私影响评估（PIA），但OPC认为该PIA存在严重缺陷：未充分分析关联后的重新识别风险；未考虑数据主体的知情权——加拿大人不知道自己的金融数据被强制提供给StatCan；未评估收集如此广泛的金融数据是否为达成统计目的'所“合理必要”。
（4）StatCan以《统计法》为依据，声称其有权强制收集各类数据用于统计目的，且《统计法》对这些数据的保密性提供了充分保障。但OPC认为，《统计法》的保密条款虽然保护最终公开的统计数据，但不能解决数据处理过程中（特别是关联阶段）的隐私风险——因为关联过程中StatCan必须对个体进行重新识别。
（5）该项目引发了加拿大社会的广泛反对，包括银行客户、隐私维权组织、经济学家的公开抗议。部分银行客户开始向银行请求不将其数据共享给StatCan，但在StatCan的强制行政令下，银行在法律上没有选择拒绝的权利。

【处罚决定】
2019年11月25日，OPC发布了调查报告（Report of Findings）：
（一）认定StatCan的金融数据收集项目的隐私影响评估不充分，数据处理方式对加拿大人隐私构成不适当风险；
（二）建议StatCan修改其数据收集方式，将数据收集范围限缩为达成统计目的所合理必要的程度；
（三）建议StatCan增加项目透明度，向加拿大人充分说明其收集和使用金融数据的目的、方式和安全措施；
（四）建议StatCan在向公众公开前实施更严格的匿名化和隐私保护措施。
在OPC报告和公众反对的压力下，StatCan于2020年11月宣布暂停从银行收集金融交易数据的计划，转向探索基于获得同意和更高透明度的替代方案。

【典型意义】
本案是政府统计机构以“匿名化”名义进行大规模数据关联而引发全国隐私争议的标志性事件：
第一，“匿名化输出”不能正当化“非匿名的中间处理过程”。本案揭示了一个关键原则：即使最终发布的统计数据经过匿名化处理，数据收集和关联过程中对个人数据的处理仍然须满足隐私保护要求，中间过程不能以“输出是匿名的”为由而忽略隐私保障。
第二，本案暴露了统计法律的制度缺陷：许多国家的《统计法》授予统计机构广泛的数据收集权力，但未对这些权力的行使施加隐私保护的制度约束。本案推动了加拿大及其他国家重新审视统计法律与隐私法律的协调问题。
第三，公众参与和透明度的缺失使本应中立的统计活动演变为“秘密监控”的公众感知危机。这提醒所有政府机构：在大规模收集公民数据时，透明度和社会信任是合规项目成功的前提。
第四，本案是政府大数据治理中“公共利益 vs 个人隐私”张力的典型体现，推动了加拿大在2020-2021年加速制定新的联邦隐私立法（C-11法案，后更新为C-27法案）。