保護個人資料

詳解

本節兩個子知識點是「法」與「用」的關係：7.2.1交代條例本體，7.2.2交代同一套要求落到保險場景怎樣執行，主線可按資料的生命週期串起來。

收集這一段，條例第1原則管目的與手法，要求合法公平並向資料當事人發出「收集個人資料聲明」，實務上通常印在投保書上；到了保險場景就化為三件事：醫療資料不得超乎適度、身份證號碼及副本須獲法律授權或屬《身分證號碼及其他身分代號實務守則》准許情況、以隱蔽手法取證一般不算公平，惟合理懷疑欺詐又別無可行方法時或屬例外。

使用這一段，第3原則把用途鎖定在收集時的目的或直接相關目的，第6A部另設直接促銷的通知、同意與十四天書面確認；場景化之後，就是從業員跳槽不得複印帶走舊客戶的保單文件，更不得拿去推銷新東家的產品——這既是不公平收集，也偏離了原來的收集目的。

保安與查閱這一段，第4原則要求以適當措施擋住未經批准或意外發生的接觸、處理、刪改、遺失與使用；到了保險場景，就是密封信封、敏感資料不可從窗口露出、註明「私人及機密」，以及代理在辦公地方以外會面時防止文件被人看到、對話被人聽到。

換言之，條例給原則與罰則，《妥善處理客戶個人資料：給保險業界的指引》給操作示範。做情境題的次序是：先判斷這一步屬收集、使用還是保安，再對號入座到某項保障資料原則。

概念邊界

本節只處理個人資料私隱，不涉7.3歧視、7.4洗錢、7.5賄賂或7.6保險詐騙。節內再分：7.2.1是條例框架、定義、豁免與刑罰，7.2.2是《指引》在核保、理賠、銷售場景的示例。《指引》屬協助業界依從的文件，不是發牌或操守規管；中介人對保單持有人的照顧責任、專業彌償保險要求，亦不在本節。

案例

一名人壽保險客戶投保時，在投保書上讀到收集個人資料聲明，當中交代了收集來做什麼、資料可能會交給哪些類別的人、不提供的話會有什麼後果，以及日後可以怎樣查閱和更正，這符合第1原則。其後他就切除扁桃腺申請醫療費用賠償，理賠人員卻連十年前的膝蓋手術紀錄一併索取，屬收集超乎適度。保險公司再想把他的名單交給關聯財務公司作推廣，須先按第6A部以書面提供訂明資訊，並收到同意或不反對；若客戶只在電話中口頭答應公司自用，仍須於收到回覆起十四天內書面確認。寄件用密封信封、身份證號碼不得外露，則屬第4原則。