保護個人資料 · 《條例》的特點

詳解

範圍與架構：該條例按國際水平屬周全立法，涵蓋個人資料而不分自動化處理還是人手處理，約束對象包括政府在內的任何人；依條例設立個人資料私隱專員公署，負責監察條例的整體執行。條例界定「資料」為任何文件中以任何方式表述的資訊（包含意見表達）及個人的特徵；「個人資料」須同時滿足三點：直接或間接與在世個人（資料當事人）有關、可藉此直接或間接核實其身份、並且以可切實接觸或處理的形式存在。

六項保障資料原則約束資料使用者：①收集的目的與方式須合法公平，並給資料當事人「收集個人資料聲明」，說明目的、可能轉移的人的類別、不提供資料的後果及查閱改正權，通常附在投保書上；②資料要準確、更新，保留期不超過所需；③除非取得當事人同意，只能用於收集時的目的或直接相關目的；④採取適當保安措施，防止未獲准許或意外的查閱、處理、刪除、喪失或使用；⑤須公開其個人資料政策與做法、所持資料種類及主要用途，如設「私隱政策聲明」；⑥當事人有查閱及更正權。若把處理外判予「資料處理者」（代他人處理、不為自身目的處理），第2、4原則要靠合約規範方法或其他方法達標。

第6A部自二零一三年四月一日起規管直接促銷：使用或提供資料前須給予訂明資訊與回應途徑，並收到同意或不反對；口頭回覆者須於收到回覆起十四天內書面確認；首次使用時須告知拒絕權，違者最高罰款五十萬港元及監禁三年；涉及為得益提供資料的違反，最高罰款一百萬港元及監禁五年。未經資料使用者同意取得並披露資料以圖得益、令當事人蒙受財產損失，或造成心理傷害，同屬罪行，最高亦為一百萬港元及五年監禁，條例另設四項免責辯護。豁免包括家居或娛樂用途的資料等。

概念邊界

它是通用私隱法例的本體，規定原則、罰則與豁免；如何在核保、理賠、銷售場景落地則屬7.2.2的實務應用。資料處理者不直接向資料當事人負責，受屈當事人向資料使用者追究，故合約責任不等同法定責任。私隱權並非絕對，涉及保安、防止或偵查罪案、評稅、新聞活動等情形可獲豁免。條例針對個人資料私隱，不處理歧視、賄賂或洗錢等其他合規議題。

案例

某保險中介人在網上收集客戶投保資料，投保書上附有收集個人資料聲明，列明用途、可能轉移資料的人的類別、不提供資料的後果及查閱更正權，符合第1原則。其後公司想把客戶名單交給一家關聯財務公司作產品推廣：因屬向另一名資料使用者提供資料，須以書面向客戶提供訂明資訊（包括擬提供的資料種類、促銷標的類別、接收人類別），並在提供前收到客戶書面表示同意或不反對。若客戶只在電話中口頭同意公司自用其資料作促銷，公司須在收到回覆起十四天內以書面確認許可的資料種類與促銷標的，才可使用。若為得益把資料交出而未依規定，最高可罰一百萬港元及監禁五年。