時事議題﹕港私隱條例落後 未追上科技發展
【明報專訊】《個人資料(私隱)條例》(《私隱條例》)保障市民私隱，根據條例，「個人資料」指可直接或間接地確定在世人士身分的資料，該資料可讓人切實地查閱或處理，包括身分證號碼、指紋、電話號碼、受僱紀錄、病歷、地址等。條例亦就資料收集目的及方法、保安措施、透明度等訂明6項「保障資料原則」。
個人資料私隱專員公署(私隱專員公署)為獨立法定機構，職能包括處理投訴、法律支援、教育公眾、監察條例實行等。公署制定各類實務守則或指引，如《身分證號碼及其他身分代號實務守則》、《人力資源管理實務守則》等，供企業制定私隱政策時參考。任何人如懷疑個人資料被濫用，可向公署投訴，若有人或機構涉違反條例，私隱專員可發出「執行通知」(enforcement notice)要求採取補救措施，不遵守屬刑事罪行，或被檢控。
近年大型企業涉侵私隱事件
國泰客戶資料被不當取覽
2018年10月國泰航空公布，在同年5月已確認有約940萬名乘客的個人資料被不當取覽，公眾質疑為何國泰拖延半年後才公布。有逾10年沒搭國泰或港龍航班、只有「亞洲萬里通」戶口的客戶亦被通知其身分證號碼、姓名和稱謂外泄，她質疑可能訂過機票都「中招」。
私隱專員公署2018年11月5日表示，已收到國泰航空就外泄事件提交的書面回覆，經考慮最新資料後，決定據《私隱條例》對國泰及子公司港龍航空展開循規調查，以確定事件有否違反條例。
黑客盜香港寬頻38萬客資料
香港寬頻2018年4月發公告，發現存有已停用客戶資料庫的伺服器被黑客入侵，涉38萬客戶。香港寬頻時任行政總裁楊主光承認沒將載有有關資料的伺服器離線及加密。私隱專員黃繼兒指，公署在香港寬頻通報前，已主動展開循規審查，檢視香港寬頻在技術保安上有沒有漏洞及違反《私隱條例》所列原則。香港寬頻事後公布多項措施，如隨機刪除現有客戶身分證號碼中2個數字及括號內的數字，只保留信用卡中頭6個及尾4個數字；如客戶停用服務，香港寬頻於6個月內清除其資料，較現時保留7年大為縮短。
八達通轉售客戶資料
香港電子支付工具八達通2010年承認將客戶資料轉售予6家公司作推廣，獲利4400萬元，事件涉及近200萬名客戶的個人資料，包括姓名、性別、身分證號碼，甚至購物清單，事件引起公眾關注機構未經客戶同意出售客戶的個人資料。私隱專員公署其後發布調查報告，認為八達通公司行為雖合法，但在收集及使用客戶的個人資料的過程中，違反「保障資料原則」，八達通其後宣布停止向第三方轉移資料作市場推廣。
■青少年可能面對的私隱陷阱
(1) 流行「起底」
青少年習慣在網上分享生活，當中可能包含個人私隱資料，有心人可以把其「起底」。香港理工大學應用社會科學系2018年9月公布調查，2120名中二至中五生中，12.1%受訪者曾在網上蒐集別人資料，包括搜查別人名字(94.4%)、照片或影片(70.9%)、感情狀况(52.1%)等。有54.7%受訪者曾未經同意下被別人公開個人資料，包括照片或影片(31.4%)、姓名(29.9%)及手機號碼(15.1%)等。
(2) 智能電話泄資料
智能電話儲存大量個人資料，若遺失電話、安裝惡意或要求查閱大量資料的程式、連接假的公共Wi-Fi熱點等，個人資料很可能被他人非法利用。傳真社2016及2017年先後揭發多個來電攔截手機應用程式在未有用戶授權下，可搜尋電話號碼持有人身分，受害者包括個人資料私隱專員及多名官員。
(3) 公開試成績作宣傳
2007年，一名女學生於中學會考英文科考獲5*成績，其補習社職員致電表示可給她2000元獎金，她遂前往領取獎金及接受雜誌訪問。其後她發現該補習社在某雜誌中刊登廣告，廣告載有她的成績通知書副本，並清楚顯示她的姓名、學校名稱、會考各科成績等。女學生向私隱專員公署投訴，公署認為該補習社違反保障資料原則，向該補習社送達「執行通知」。公署亦提醒學生要主動了解補習社收集個人資料的目的及用途。
(4) 匿名招職廣告騙私隱
許多青少年會找暑期工或兼職，但求職時小心泄露私隱。私隱專員公署2014年調查招聘平台，發現平均每天有311個匿名廣告，當中48個經調查後證實違規。署方指匿名廣告可能惡意收集個人資料以直接促銷或詐騙、滋擾求職者等。
■現行條例的不足
本港的《私隱條例》於1996年生效，曾於2012年修訂，有評論認為很多條文內容已過時，未能追上科技發展及有效保障私隱。
未禁止將資料海外轉移
法政匯思召集人蔡騏於2017年接受《明報》訪問時指出，《私隱條例》內有關「禁止將資料海外轉移」的條例仍未實施，港人的資料可能在未經當事人同意下，被轉移至外地。
例如2017年6月起內地正式實施的《網絡安全法》，要求外國「關鍵信息基礎設施」營運商，必須在中國境內儲存個人信息和重要商業數據，並向安全機構提供「技術支持」，以及通過國家安全審查。本港政府難以阻止到內地發展的香港企業將港人的資料轉移到內地，甚至海外地區。
未強制企業通報資料外泄
現行法例未規定企業一旦外泄客戶私隱，必須強制公布事件，如國泰航空2018年10月才公布5月初已確認私隱外泄事件。法政匯思召集人蔡騏質疑，本港未有硬性要求外泄資料機構必須向私隱專員或受影響的人通報，比菲律賓的相關法例更落後。
私隱專員公署早於2007年底向政制及內地事務局呈交56項修例建議，當中一項為硬性規定資料使用者在個人資料外泄時，必須通知私隱專員和受影響者，但建議被政府否決，政府指會對資料使用者造成沉重負擔，建議先審慎推行自願通報機制。資深傳媒工作者梁美儀撰文指，政府約10年前沒接受建議，現時香港相關規定已落後於國際，政府的遲緩與落後，最終受害的不單是香港的市民，香港的企業遲早也可能陷於私隱危機。
私隱署無檢控權
私隱專員公署不時對企業作循規審查，但受法例所限無檢控權力，常被外界貼上「無牙老虎」的標籤。私隱專員黃繼兒2017年受訪時稱，觸犯私隱條例者並非犯下彌天大罪，「無必要有牙和做老虎」。黃繼兒又稱公署現時雖無刑事檢控權力，但他認為公署透過教育及推廣工作，已達到提高市民保障及尊重他人私隱的效果，暫時「無迫切性」增加公署權力，但會考慮加強現有罰則。
現時任何人因資料使用者違反條例規定而蒙受損害，可透過民事訴訟索償。2007年公署曾留意到條例生效以來，法庭從未就嚴重違反保障資料原則的資料使用者作出任何賠償裁決，因此建議修例，讓專員可有權規定相關資料使用者繳付罰款及判給當事人補償，惟建議被政府否決。
■各持份者加強保護個人私隱的方法
保護個人私隱涉不同持份者，企業為「資料使用者」，民眾為「資料當事人」，政府亦有責任監察法例的實施情况。
◆個人
提高保護私隱意識
《私隱條例》規定，企業在收集資料時或之前，須明確告知對方資料將用於什麼目的。法政匯思召集人蔡騏表示，市民要注意資料使用者會否將自己的資料轉給第三方。他解釋在現行法例下，資料當事人向資料使用者提供電話號碼後，對方透露可能會轉交其他人，資料當事人一旦同意，資料使用者再轉交電話予別人時，便不用再徵得其同意。
◆政府
修訂法例
歐盟2018年5月生效的《通用數據保障條例(GDPR)》規定，企業若泄成員國公民資料，要在72小時通報當局，否則可被罰款，但本港未有相關規定。針對有關漏洞，私隱署在國泰事件後表示，正檢視《私隱條例》，將在數月內就修訂向政府和公眾提出意見和建議。
加強宣傳及教育
私隱專員公署其一責任為推廣保護私隱，加強宣傳及教育有助保障各持份者利益。如私隱專員公署與「亞太區私隱機構」成員合作推廣年度「關注私隱運動」，針對近年社交媒體流行，宣傳小心網上行銷過度蒐集個人資料，亦有舉辦長者及中學生私隱教育講座。
◆企業
注意網絡安全
羅兵咸永道網絡安全及私隱合伙人顏國定指，近年數碼保安事故增加，與香港網絡安全水平較薄弱不無關係。顏平日負責處理客戶的求助，他指系統漏洞中有七成屬「低級錯誤」，如將內部系統對外開放，增加被入侵風險；另外三成則由黑客精心策劃，以奪取客戶資料等重要資產。另外，他表示香港公司的網絡防禦水準落後5年，黑客沒有國界，會選擇較易攻擊的地方。企業如注重網絡安全及堵塞系統的漏洞，有助降低資料外泄風險。
設透明的私隱政策
私隱專員公署2017年5月調查本港6個行業，包括零售、酒店等的30個顧客獎賞計劃，檢視其私隱政策。發現大部分透明度低，如對於向誰分享資料，採用「與本公司有聯繫的機構」等含糊描述。私隱專員黃繼兒建議，營運商應坦誠地向顧客說明其私隱政策。
[通通識 第545期]
