保护个人资料 · 《条例》的特点

详解

范围与架构：该条例按国际水平属周全立法，涵盖个人资料而不分自动化处理还是人手处理，约束对象包括政府在内的任何人；依条例设立个人资料私隐专员公署，负责监察条例的整体执行。条例界定「资料」为任何文件中以任何方式表述的资讯（包含意见表达）及个人的特徵；「个人资料」须同时满足三点：直接或间接与在世个人（资料当事人）有关、可藉此直接或间接核实其身份、并且以可切实接触或处理的形式存在。

六项保障资料原则约束资料使用者：①收集的目的与方式须合法公平，并给资料当事人「收集个人资料声明」，说明目的、可能转移的人的类别、不提供资料的后果及查阅改正权，通常附在投保书上；②资料要准确、更新，保留期不超过所需；③除非取得当事人同意，只能用于收集时的目的或直接相关目的；④采取适当保安措施，防止未获准许或意外的查阅、处理、删除、丧失或使用；⑤须公开其个人资料政策与做法、所持资料种类及主要用途，如设「私隐政策声明」；⑥当事人有查阅及更正权。若把处理外判予「资料处理者」（代他人处理、不为自身目的处理），第2、4原则要靠合约规范方法或其他方法达标。

第6A部自二零一三年四月一日起规管直接促销：使用或提供资料前须给予订明资讯与回应途径，并收到同意或不反对；口头回覆者须于收到回覆起十四天内书面确认；首次使用时须告知拒绝权，违者最高罚款五十万港元及监禁三年；涉及为得益提供资料的违反，最高罚款一百万港元及监禁五年。未经资料使用者同意取得并披露资料以图得益、令当事人蒙受财产损失，或造成心理伤害，同属罪行，最高亦为一百万港元及五年监禁，条例另设四项免责辩护。豁免包括家居或娱乐用途的资料等。

概念边界

它是通用私隐法例的本体，规定原则、罚则与豁免；如何在核保、理赔、销售场景落地则属7.2.2的实务应用。资料处理者不直接向资料当事人负责，受屈当事人向资料使用者追究，故合约责任不等同法定责任。私隐权并非绝对，涉及保安、防止或侦查罪案、评税、新闻活动等情形可获豁免。条例针对个人资料私隐，不处理歧视、贿赂或洗钱等其他合规议题。

案例

某保险中介人在网上收集客户投保资料，投保书上附有收集个人资料声明，列明用途、可能转移资料的人的类别、不提供资料的后果及查阅更正权，符合第1原则。其后公司想把客户名单交给一家关联财务公司作产品推广：因属向另一名资料使用者提供资料，须以书面向客户提供订明资讯（包括拟提供的资料种类、促销标的类别、接收人类别），并在提供前收到客户书面表示同意或不反对。若客户只在电话中口头同意公司自用其资料作促销，公司须在收到回覆起十四天内以书面确认许可的资料种类与促销标的，才可使用。若为得益把资料交出而未依规定，最高可罚一百万港元及监禁五年。