金融机构过量收集外判员工的个人资料，且未有提供“收集个人资料声明”及过度保留个人资料
投诉内容
投诉人任职一间资讯科技公司，并被安排于一间金融机构的场地工作。投诉人并非受雇于该金融机构，但被要求提交其个人资料，当中包括其出生日期，且投诉人得悉其个人资料会由与该金融机构结束关系起被保留七年。投诉人遂向私隐专员公署投诉该金融机构过量收集其个人资料；向其收集个人资料之时没有向他提供“收集个人资料声明”；及保留他的个人资料时间过长。
结果
该金融机构向私隐专员公署表示，收集投诉人的出生日期纯粹为了在其电脑系统中建立有关员工的个人帐户，以便行政安排。该金融机构确认，由于当时未可透过系统或既定的沟通渠道提供有关资讯，他们向投诉人收集个人资料之时或之前难以采取切实可行的措施与投诉人沟通，故并未向他提供“收集个人资料声明”的相关内容。
此外， 该金融机构确认在事发时并没有就外判员工的每一项个人资料因应其个别目的而制定独立的保留期限，而是划一地要求保留所有个人资料七年。然而，基于投诉人只是该金融机构的外判员工，而非由该金融机构直接聘用，私隐专员公署认为该金融机构理应无需就任何雇佣原因（包括税务或强积金供款安排）或其他目的而需要保留投诉人的香港身份证号码达七年之久，另由于该金融机构收集投诉人的出生日期并非必须，因此亦毋须保存其出生日期。
经私隐专员公署介入后，该金融机构确定不再需要收集外判公司员工的出生日期，会妥善地删除就建立员工帐户而收集的外判公司现职及前员工的出生日期，并已制订收集个人资料声明以提供予各部门、供应商及合作公司雇用的外判员工和借调人员，提醒员工在向资料当事人收集个人资料之时或之前提供有关声明的重要性。该金融机构亦已就收集外判员工之每一项个人资料因应不同的原因及目的，独立检视每项个人资料的保留期限并更新了“个人资料保留政策”内各项资料的保留期限。
基于上文所述情况，私隐专员认为该金融机构在个案中违反了保障资料第 1(1)、1(3)及2(2)原则的规定。考虑到个案的情况，包括但不限于该金融机构采取的改善措施，私隐专员公署就有关投诉事项向该金融机构发出警告信，要求该金融机构日后须紧遵《私隐条例》的相关规定。
借鉴
机构在透过分判形式聘用职员包括透过第三者时，需特别注意其处理个人资料的情况。此类情况例如由职业介绍所所聘请，或职员由一间公司聘用却代另一间公司工作。
由于这些机构并无直接与有关个人签订雇佣合约，一般来说，需要向分判职员收集的个人资料通常都比向直接聘用的职员为少。若有关资料是直接向分判职员收集，这些机构应向职员提供“收集个人资料声明”。此外，这些机构只有在仍需分判职员履行其提供的个人资料的收集目的或合理地可能再聘用有关职员担任其后的工作的情况下，方可继续保留其个人资料。
上载日期：2025年2月