香港教育大學 21.05.2019

個人資料(私隱)條例簡介

大綱

《個人資料（私隱）條例》詞彙定義

六項保障資料原則及相關個案

資料外洩事故的處理

使用拍攝裝置 2

個人資料(私隱)條例

• 亞洲首條全面保障個人資料私隱的法例

• 參照1995年歐盟指引 : 會員國在與其他國家／地區進 行 經貿活動，須考慮當地有沒 有類似的「保障個人信息的法 律體制」

1) 營商方面 - 便利營商環境，維持香港作

為金融及商業樞紐的地位

2) 人權方面 - 保障個人資料方面的私隱

立法目的

個人資料(私隱)條例

• 1995年制定

• 主要條文於1996年12月20日生效

• 《2012年個人資料(私隱)(修訂)條例》的大部分條文於2012年10月實施，

而規管直銷活動和法律協助方面的新條文 則於2013年4月1日生效

條例的宗旨

• 保障「資料當事人」在「個人資料」方面的私隱權利

• 不保障一般私隱事宜

個人資料的定義

「個人資料」指任何資料 -

(a) 直接或間接與一名在世人士有關;

(b) 從該等資料直接或間接地確定有關的個人的身分是切實

可行的；而

(c) 該等資料的存在形式令予以「查閱」及「處理」均是切

實可行的

「資料」是指在任何文件中資訊的任何陳述(包括意見表達)

個人資料的例子

• 姓名

• 電話號碼

• 地址

• 身分證號碼

• 出生日期

• 職業

• 賬戶資料

• ……

Performance

Appraisal

Report

誰是資料當事人?

• 資料當事人是指屬該個人資料的當事人的在世人士

• 根據條例，已故人士不是資料當事人

誰是資料使用者?

• 資料使用者是獨自或聯同其他人操控個人資料的收集、持有、處理或使用的人士

條例下六項保障資料原則

11

六項保障資料原則

• 條例的基本精神 • 涵蓋每項個人資料由收集、保存、使用以至銷毀的整個生命周期

• 資料使用者必須遵從該六項原則的規定

原則1 ─ 收集資料的目的及方式

• 必須與資料使用者的職能或活動有關

• 收集的資料要適量而不過多

• 收集的方式必須合法及公平

向資料當事人收集個人資料時，須告知資料當事人以下各項資訊：- a) 收集資料的目的； b) 資料可能會轉移給甚麼類別的人; c) 資料當事人是否有責任抑或是可自願提供資料； d) 如資料當事人有責任提供該資料，他拒絕提供資 料所需承受的後果；及 e) 他有權要求查閱及要求改正自己的個人資料及提 供處理有關要求的人士的職銜及地址。

原則1 ─ 收集資料的目的及方式

收集個人資料聲明範例 ABC大學

本科生入學申請

收集個人資料聲明

ABC大學會將本申請表所收集的個人資料，使用於入學和入學獎學金申請及與入學申請有關的事宜。

申請表中有(*)號的項目是挑選本科生所必須考慮的資料。申請人如不提供此

等資料，會對申請的處理及結果有所影響。 大學的政策是為日後申請目的保留不成功申請者的個人資料六個月，如申請

的課程是與其他夥伴院校合辦，本大學或會將你的個人資料轉移給相關院校用作上述用途。

根據《個人資料(私隱)條例》，你有權要求查閱及改正申請表上所填報的個

人資料。如你欲行使這項權利，請填妥《查閱資料要求表格》，交回資料保障主任辦理 [聯絡資料]。

收集個人 資料的目的

不提供個人資料的後果

個人資料轉移給甚麼類別的人

告知當事人可行使的權

利

以易於閱讀的方式設計《收集個人資料聲明》 (包括字體大小

和行距，並適當地運用亮點)

清晰地顯示《收集個人資料聲明》，例如將它分開印刷為一份

獨立通告或將它作為申請表格的一部分

使用易於理解的語言，例如選用簡單的字詞

提供進一步支援給客戶，例如服務台或查詢服務等

收集目的聲明及資料承讓人類別不應過於含糊及範圍太廣

收集個人資料聲明 建議

《擬備收集個人

資料聲明及私隱

政策聲明指引》

原則 2(1) ─ 個人資料的準確性

• 資料使用者須採取切實可行的步驟，確保所持個人資料的準確性

原則 2(2) ─ 個人資料的保留期間

• 完成資料的使用目的後(即合理時間內)，刪除資料

• 透過合約規範或其他方法，防止轉移予資料處理者處理的個人資料被保存超過所需時間

原則 3 ─ 個人資料的使用

• 如無當事人的訂明同意，個人資料不得用於新目的

「新目的」指在收集資料時擬使用的目的或直接有關的目的以外的目的

• 容許「有關人士」 於特定情況下代資料當事

人提供訂明同意

原則 4 ─ 個人資料的保安

• 資料使用者須採取切實可行的步驟確保個人資料的保安，免受未獲授權或意外的查閱、處理、刪除、喪失或其他使用

• 資料在儲存、處理及轉移方面均得到妥善保障

• 透過合約規範或其他方法，防止轉移予資料處理者處理的個人資料未獲准許或意外地被查閱、處理、删除、喪失或使用

source: https://goo.gl/EKtTxl

source: https://goo.gl/eGb6zn

source: https://goo.gl/di5uvn

資料外洩事故

22

資料外洩事故的處理

23

資料外洩事故的處理

24

資料外洩事故的處理

25

資料外洩事故的處理

26

原則 5 ─ 資訊須在一般情況下可提供 (透明度)

資料使用者須提供：-

1) 個人資料的政策及實務

2) 持有個人資料的種類

3) 會為何種主要目的而使用

原則 6 ─ 查閱個人資料

• 資料當事人有權要求查閱及改正自己的個人資料

• 資料使用者須於40天內依從該項要求 • 資料使用者可收取不超乎適度的費用

29

使用拍攝裝置及 披露資料

• 若不涉及收集個人資料的行為，保障資料原則便不適用。

• 東周刊督印有限公司對個人資料私隱專員公署的個案 (2000) 2 HKLRD 83

東周刊在街上拍下投訴人的照片，並在其一篇報道中刊登，評頭品足投訴人的衣着品味。

上訴法庭裁定時指出「在收集個人資料的行為中，資料使用者必須藉該行為匯集已識辨其身分的人士，或設法或欲識辨其身分的人士的資料，有關行為才屬收集個人資料」

收集個人資料

有否收集個人資料?

投訴人的鄰居在自己單位的門閘位置安裝了一個閉路電視鏡頭，可拍攝到投訴人和他家人出入單位的一舉一動 (AAB No. 50/2014)

僱主使用閉路電視監察及記錄員工的出勤記錄?

拍攝學生於實習時的表現作評估用途

有否收集個人資料?

個案分析 1 個案: •兩位投訴人的僱主在沒有知會他們的情況下，透過隱蔽攝錄機收集他們的個人資料，侵犯其私隠 •兩位投訴人被僱主以擅離職守為理由解僱 •僱主以隱蔽攝錄機拍攝得的影像中，得知投訴人在當值期間，各自多次在位於該屋苑的職員更衣室內長時間逗留

個案分析 1 (續)

• 僱主解釋: 安裝隱蔽攝錄機的目的是為保安原因 • 私隱專員的調查結果

• 僱主安裝隱蔽攝錄機的真正目的是監察僱員當值時的情況

• 違反條例保障資料第1(2)原則的規定，即必須是以合法及在本案的所有情況下屬公平的方法收集投訴人的個人資料

• 擅離職守的嚴重性不足以支持僱主進行嚴重侵犯私隱的隱蔽式監察

個案:

本地一所大學閉路電視片段截圖外洩事件

• 傳閱截圖的目的 :

– 找出若干字句是否由該所大學的學生所張貼; 假如是，有必要盡快確定涉案人士的身份，以便對有關學生進行輔導

– 事件違反「學生行為守則」 繼而作出調查

個案分析 2

• 該大學保安中心職員翻查校園的閉路電視片段，發現有兩名男子張貼相關字句

• 用手提電話拍攝相關的兩張截圖，然後傳送到該大學管理層人員組成的WhatsApp群組中

• 群組內的部分成員更將該兩張截圖轉發至其他職員及一名學生

個案分析 2 (續)

• 安裝閉路電視監察系統的目的

– 原先目的: 保安理由

– 當時目的: 採取紀律處分

閉路電視片段的用途有沒有改變?

• 條例的豁免

– 第58條: 為調查及懲處嚴重不當行為（並不限於罪案）的目的而使用的個人資料受保障資料第3原則所管限

• 沒有違反保障資料第3原則的規定

個案分析 2 (續)

• 雖然該次事件沒有違反保障資料第3原則的規定，但由於該所大學沒有採取所有合理地切實可行保安措施去保障該兩名人士的個人資料

• 違反了保障資料第4原則的規定

• 大學採取的補救措施:

– 在該群組訂明各人均須遵守保密原則

– 制定閉路電視監察政策及程序

– 為負責有關閉路電視系統的日常運作的職員制定詳細的工作指引

個案分析 2 (續)

當涉及收集個人資料時，應通知相關人士

影像及錄影在達致原來收集資料的目的後，應盡快被刪除

影像及錄影只可用於在收集資料時所述明的用途或與其直接有關

的用途

為防止影像及錄影遭未獲授權的查閱，必須採取保安措施

確保相關職員獲悉及依從所訂立的政策及指引

資料使用者應定期進行循規審查及覆核

使用拍攝裝置的建議

指引

https://www.pcpd.org.hk/tc_chi/resources_centre/publications/files/GN_CCTV_Drones_c.pdf

直銷規管機制

• 2012年條例檢討 • 直銷規管新機制的條文於2013年4月

1日起生效

• 條例中第 6A 部, 第35A – 35M

• 根據條例，「直接促銷」指透過以下方法行銷－包括以特定人士為對象的郵件、圖文傳真、電子郵件或電話通話送交資訊或貨品

直銷規管機制

「直接促銷」並不包括非應邀的商業電子訊息:

《非應邀電子訊息條例》

提供「訂明資訊」及回應途徑，讓資料當事人選擇同意或表示「不反對」個人資料被用作直銷 通知必須清楚易明

必須自願和清晰作出 不反對也屬同意

擬用客戶個人資料作直銷用途或轉交另他人作直銷用途

提交個人資料

直接促銷的規管機制

Data User 資料使用者 Notification

通知

Data Subject 資料當事人

Consent 同意

45

訂明資訊 擬用客戶個人資料作直銷用途 擬轉交客戶個人資料給他人作直銷用途

1) 擬在直接促銷中使用該資料當事人的個人資料

1) 資料使用者擬將資料當事人的個人資料提供予另一人，以供該人在直接促銷中使用

2) 除非收到資料當事人的同意，否則不得如此使用該資料

2) 須收到資料當事人提供的書面同意，否則不得如此提供該資料

3) 擬使用的個人資料的種類 3) 該資料是擬為得益而提供的

4) 該資料擬就甚麼類別的促銷標的而使用

4) 擬提供的個人資料的種類

5) 提供一個回應途徑 5) 該資料擬提供予甚麼類別的人士

6) 該資料擬就甚麼類別的促銷標的而使用

7) 提供一個回應途徑

「同意」包括表示「不反對」

交回已簽名的服務申請表格，但沒有剔選方格以表示反對資料被用作直銷 = 同意

拒絕直接促銷活動的權利

• 資料使用者在首次使用資料當事人的個人資料作直接促銷時，須告知該資料當事人他╱她有權要求資料使用者停止如此使用有關資料。不論個人資料是直接從資料當事人取得或從其他來源取得

• 資料當事人他╱她可在任何時候有權要求資料使用者停止使用他╱她的個人資料作直接促銷的用途

• 在不向其收費的情況下，資料使用者在收到通知後，須停止如此使用有關資料

• 條例並無規定資料當事人行使他╱她的拒絕服務權利的方式

直接促銷新規管機制

• 如當事人表示拒絕再接收有關的

直銷資料，資料使用者須在不收

費的情況下照辦[第35G條]

• 資料使用者如違反關於直接促銷

的規定，屬刑事罪行

48

嚴懲違例者

最高罰款 監禁最高年期

未依例行事 50萬元 3 年

賣資料予他人直銷用途，而未有依例行事

100萬元 5年

指引

50

罪行

• 違反保障資料原則不構成罪行，惟個人資料私隱專員可發執行通知要求資料

使用者採取步驟糾正違規行為

• 不遵守專員發出的執行通知，可被判處罰款50,000元及入獄兩年

• 遵從執行通知後，故意作出違反條例的作為或不作為，屬犯罪 :最高罰款

$50,000，監禁2年，持續罪行，每日罰款$1,000

• 重複違反執行通知：最高罰款$100,000，監禁2年，持續罪行，每日罰款

$2,000

• 根據條例第64條，任何人披露未經資料使用者同意而取得的個人資料，

a) 意圖 1) 獲取金錢或財產得益，不論是為了令該人或另 一人受惠而獲取或 2) 或導致有關資料當事人蒙受金錢或財產損失； 或; b) 該項披露導致該當事人蒙受心理傷害 • 即屬犯罪。一經定罪：最高罰款$1,000,000及監禁5年

罪行

補償

• 新增第 66B條 (已於2013年4月1日生效)

• 專員可考慮為受屈的當事人提供法律協助提出民

事訴訟以索取賠償

實務守則

• 人力資源管理實務守則

• 身分證號碼及其他身份代號實務守則

• 個人信貸資料實務守則

指引及資料單張

• 中小企的數據道德 新！

• 金融科技 新！

• 私隱管理系統—最佳行事方式指引 新！

指引及資料單張

• 直接促銷新指引

• 僱主監察僱員活動須知

• 收集及使用生物辨識資料指引

• 閉路電視監察措施指引

• 資料外洩事故的處理及通報指引

• 使用便攜式儲存裝置指引

• 經互聯網收集及使用個人資料：給資料使用者的指引

• 個人資料的刪除與匿名化指引

• 資料使用者如何妥善處理查閱資料要求及收取查閱資

料要求費用

指引及資料單張

《通用數據保障條例》

• 《通用數據保障條例》於2018年5月25日正式生效以取代第95/46/EC號指令

• 協調整個歐洲的保障數據法

• 香港作為歐盟第二大貿易伙伴

• 基於《通用數據保障條例》域外應用，於香港內進行交易或受條例規管

香港個人資料私隱專員公署

查詢熱線： 2827 2827

傳真： 2877 7026

網址： www.pcpd.org.hk

電郵： enquiry@pcpd.org.hk

地址： 香港灣仔皇后大道東248號

陽光中心13樓1303室