其他相關法例 · 《個人資料（私隱）條例》

詳解

條例的立法目的是保護個人在個人資料方面的私隱；為執行此條例而設立個人資料私隱專員公署，專員的一項極重要職能就是全面監察及監管條例的遵守情況。

甚麼算「個人資料」？手冊給出三個要件：①直接或間接與一名在世人士有關的任何資料；②憑該資料可以直接或間接切實確定該人的身分；③資料的存在形式令查閱或處理在實務上可行。三者同時滿足才落入條例範圍。

資料使用者須遵守的條文眾多，其中最常考的是條例第4條及附表1所載的六項保障資料原則：第1原則（收集的目的及方式）——資料須為與資料使用者職能或活動直接有關的合法目的而收集，收集對該目的屬必需或直接有關，且足夠而不超乎適度；須以合法及公平方法收集，並告知資料當事人用途、可能移轉予哪些類別的人，以及其查閱與要求改正的權利。第2原則（準確性及保留期間）——資料須準確、最新，保留不得超過所需時間；若聘用資料處理者（不論在香港或境外）代為處理，資料使用者須以合約或其他方法防止資料被保存過久；「資料處理者」指代另一人處理個人資料、且不為自己目的處理該資料的人。第3原則（使用）——未經資料當事人的訂明同意，不得用於新目的，即收集時擬用的目的及與之直接有關的目的以外的任何目的。第4原則（保安）——須採取一切切實可行步驟，防止資料受未獲准許或意外的查閱、處理、刪除或其他使用。第5原則（透明度）——公開其處理個人資料的政策與做法、所持資料類別及用途。第6原則（查閱及更正）——當事人有權查閱，發現不準確時有權要求更正。

此外建議從業員閱讀相關規管機構的指引與小冊子，包括個人資料私隱專員公署發出的《妥善處理客戶個人資料：給保險業界的指引》。

概念邊界

它保護的是在世人士的個人資料私隱，與同屬其他相關法例的《打擊洗錢及恐怖分子資金籌集條例》著眼於洗錢及恐怖分子資金籌集的防範不同；也不是保險業監管局或證監會的發牌與操守規範。不能憑身分被切實確定的資料、已非在世人士的資料，以及存在形式令查閱或處理不切實可行的資料，不構成此處所指的個人資料。條例由個人資料私隱專員公署監察，而非由保監局執行。

案例

一名持牌保險代理人為客戶投保投資相連長期保單而收集身分證明、聯絡方式及財務狀況資料。按第1原則，他只可收集核保與銷售此保單所需、且不超乎適度的資料，並須於收集時告知客戶資料用途、可能移轉予哪些類別的人（如承保的保險公司），以及客戶查閱和要求改正的權利。其後他想把同一批客戶名單交給關聯公司推銷另一類產品，這屬收集時目的以外的新目的，按第3原則須先取得客戶的訂明同意。若保險公司把客戶資料交由外聘機構代為處理，按第2原則須以合約或其他方法確保資料不被保存超過處理所需時間。