其他相关法例 · 《个人资料（私隐）条例》

详解

条例的立法目的是保护个人在个人资料方面的私隐；为执行此条例而设立个人资料私隐专员公署，专员的一项极重要职能就是全面监察及监管条例的遵守情况。

甚么算「个人资料」？手册给出三个要件：①直接或间接与一名在世人士有关的任何资料；②凭该资料可以直接或间接切实确定该人的身分；③资料的存在形式令查阅或处理在实务上可行。三者同时满足才落入条例范围。

资料使用者须遵守的条文众多，其中最常考的是条例第 4 条及附表 1 所载的六项保障资料原则：第 1 原则（收集的目的及方式）——资料须为与资料使用者职能或活动直接有关的合法目的而收集，收集对该目的属必需或直接有关，且足够而不超乎适度；须以合法及公平方法收集，并告知资料当事人用途、可能移转予哪些类别的人，以及其查阅与要求改正的权利。第 2 原则（准确性及保留期间）——资料须准确、最新，保留不得超过所需时间；若聘用资料处理者（不论在香港或境外）代为处理，资料使用者须以合约或其他方法防止资料被保存过久；「资料处理者」指代另一人处理个人资料、且不为自己目的处理该资料的人。第 3 原则（使用）——未经资料当事人的订明同意，不得用于新目的，即收集时拟用的目的及与之直接有关的目的以外的任何目的。第 4 原则（保安）——须采取一切切实可行步骤，防止资料受未获准许或意外的查阅、处理、删除或其他使用。第 5 原则（透明度）——公开其处理个人资料的政策与做法、所持资料类别及用途。第 6 原则（查阅及更正）——当事人有权查阅，发现不准确时有权要求更正。

此外建议从业员阅读相关规管机构的指引与小册子，包括个人资料私隐专员公署发出的《妥善处理客户个人资料：给保险业界的指引》。

概念边界

它保护的是在世人士的个人资料私隐，与同属其他相关法例的《打击洗钱及恐怖分子资金筹集条例》着眼于洗钱及恐怖分子资金筹集的防范不同；也不是保险业监管局或证监会的发牌与操守规范。不能凭身分被切实确定的资料、已非在世人士的资料，以及存在形式令查阅或处理不切实可行的资料，不构成此处所指的个人资料。条例由个人资料私隐专员公署监察，而非由保监局执行。

案例

一名持牌保险代理人为客户投保投资相连长期保单而收集身分证明、联络方式及财务状况资料。按第 1 原则，他只可收集核保与销售此保单所需、且不超乎适度的资料，并须于收集时告知客户资料用途、可能移转予哪些类别的人（如承保的保险公司），以及客户查阅和要求改正的权利。其后他想把同一批客户名单交给关联公司推销另一类产品，这属收集时目的以外的新目的，按第 3 原则须先取得客户的订明同意。若保险公司把客户资料交由外聘机构代为处理，按第 2 原则须以合约或其他方法确保资料不被保存超过处理所需时间。