2024 年 1 月，Meta 拟支付高达 5100 万美元，以和解一起持续数年的加拿大用户隐私集体诉讼。诉因是 Facebook 的「赞助故事」（Sponsored Stories）广告计划在 2011 至 2014 年间，未经用户知情同意使用了他们的姓名、照片和电子邮箱等个人信息生成广告素材。律师估计约 430 万人受影响，有资格作为集体成员获得赔偿。本案暴露的核心问题是违反加拿大《个人信息保护和电子文件法》（PIPEDA）中获取有效同意的要求。
TL;DR
据《国家邮报》报道，Meta 提出支付 5100 万美元以了结针对 Facebook「赞助故事」广告计划的隐私诉讼。该计划在 2011 至 2014 年运行：当用户点赞广告中的某项产品，Facebook 会使用其姓名和照片生成新闻式宣传材料，而这一收集和使用行为未告知用户、也未取得同意。集体诉讼涉及不列颠哥伦比亚、曼尼托巴、萨斯喀彻温、纽芬兰与拉布拉多四省的 Facebook 用户。
法院指定 MNP 有限责任公司担任和解管理人。据其 2024 年 1 月 11 日声明，和解协议需在当年 3 月获得不列颠哥伦比亚省最高法院批准，随后公布集体成员的赔偿申请与分配程序。原告代理律师 Christopher Rhone 表示，尽管 Facebook 未承认责任，这笔高额赔偿仍传递出保护加拿大人个人信息权利的重要信号。
PIPEDA 与《隐私法》是加拿大联邦层面规范隐私与数据保护的主要法规：《隐私法》适用于联邦政府机构，PIPEDA 适用于开展商业活动的企业。PIPEDA 列出企业须遵守的十项原则，包括问责、同意、准确性、保障措施，以及限制收集、使用、披露和保留等。获取用户同意是企业进行数据收集处理的前提，本案正是违反了 PIPEDA 的有效同意要求。可从三方面解读：
用户必须理解所同意事项的性质、目的和后果。企业应明确说明正在或可能收集的个人信息，用具体语言描述收集、使用或披露的所有目的（避免「服务改进」等模糊表述），并使用户对潜在后果有合理预期。本案中，Meta 未经同意使用用户姓名和照片生成宣传材料，用户无从得知收集使用的类型、目的与后果，不可能做出有效同意。
PIPEDA 规定企业不得要求用户同意超出提供产品或服务所必需的收集、使用或披露，并须给予用户「选择加入」或「选择退出」的权利，对选项做清晰解释并提供易于访问的渠道。本案中，Meta 未通过弹窗或其他形式提供拒绝或同意的选项，也未说明将姓名和照片用于广告是否为提供服务所必需，不满足有效同意要求。
知情同意是随情况变化的持续过程，企业不应依赖单一静态时间点。当企业计划对隐私实践做重大变更（如将个人信息用于原先未预期的新目的，或披露给第三方用于其他目的）时，必须在变更生效前通知用户并取得同意。本案中，Meta 将用户信息用于广告新闻超出了原同意范围，且未就新变动重新获取同意。
近年来 Meta 因数据处理与隐私问题在各国遭受的罚款与索赔已超过 10 亿美元，涉及生物识别、跨境转移与广告合规等多个方向，例如Meta 以 14 亿美元达成与德州的生物识别数据诉讼和解。加拿大本案显示，遵循 PIPEDA 等隐私法规完善数据保护措施的重要性正在上升：更具体的规范、更强的监管与更高的罚金已成趋势。企业若不采取实质措施保护数据与用户隐私，除高额赔偿外，还将面临用户流失与更严监管。缴纳罚款只是应对监管的起点而非终点，后续整改的意义可参考缴纳罚款是应对监管处罚的终点还是起点。生物识别等敏感数据的同意要求，可参考美国个人生物特征信息保护法案（BIPA）与从一次隐私投诉演变成的巨额罚单。
