美容中心过度收集客户的个人资料—保障资料第1(1)原则
投诉内容
投诉人到一美容中心享用美容疗程（包括纤型及美白），职员先要求她填写一份新客户表格，当中必须提供身份证号码、出生日期、教育程度及职业。此外，职员要求投诉人于两份接受该些美容疗程的同意书上填写她的香港身份证号码。投诉人认为该美容中心不应收集她的个人资料，遂向公署作出投诉。
该美容中心解释在新客户表格中收集客户的香港身份证号码是作身份确认之用。此外，由于皮肤状况与年龄有关，故客户的出生日期是用作跟进客户的皮肤进度。另外，客户的教育程度及职业可让前线职员更全面地了解有关客户，并调整向客户解释服务的方式，以确保客户清楚了解服务的内容。
至于在同意书中收集客户的香港身份证号码一事，美容中心表示，他们的商业牌照已申报其业务性质为诊所，而美容疗程会因个别情况由医生或治疗师进行。若疗程是由驻场医生向客户进行，即建立了医生与病人关系，因而可收集有关客户的香港身份证号码。纵使疗程由治疗师进行，但由于纤型及美白美容疗程为“高风险程序”，客户亦应享有医生与病人关系中相同的保障，故同样属于建立了医生与病人关系。最后，由于可能有客户因疗程效果不理想而作出追讨或申索，故有需要要求客户在接受疗程同意书中填写香港身份证号码，亦可避免客户抵赖曾签署有关同意书。
结果
私隐专员认为，为达致该美容中心跟进客户的皮肤进度的目的而言，收集客户的出生年份已足够，毋须进一步收集出生月份及日期。此外，在没有客户的教育程度及职业的情况下，也不会影响该美容中心所提供的服务。
另外，该美容中心只需于客户填写新客户表格时要求她出示身份证明文件以核对她的身份，并检视证件上的样貌与现场所见的是否相符，已可达致核实身份的目的。此外，该美容中心可在向客人提供服务或疗程前核对客人的电话号码，及为客人安排特定客户编号，去识辨客户及作为寻找客户纪录的索引。
有关在同意书中收集客户的身份证号码方面，该美容中心认为它和它的治疗师与它的顾客有医生与病人的关系。但该美容中心并非按《诊疗所条例》注册的诊疗所，而该美容中心大部分的疗程均由治疗师进行。明显地，治疗师的资历不能与医生对有关疾病及处理病人所受的训练及他的专业评核相提并论。客户对注册医生在治疗前的评估、治疗间的应变或治疗后的跟进均较信任及具信心，亦从而建立医生与病人关系。所以，疗程若由注册医生负责进行才可以说得上是建立了医生与病人关系，从而可收集有关客户的香港身份证号码。因此该美容中心不能在由治疗师进行的疗程的同意书中收集有关客户的香港身份证号码。
该美容中心若作为民事诉讼案件中的答辩人，它并不需要原告人 （即提出索偿诉讼的客户）的香港身份证号码以拟备答辩资料。
因此，私隐专员裁定该美容中心强制客户必须 (i) 于填写新客户表格时，提供香港身份证号码、出生日期、教育程度及职业，及(ii)在接受该美白疗程及该纤型疗程的同意书中向非由注册医生进行治疗的客户收集香港身份证号码属超乎适度。私隐专员向该美容中心发出执行通知，指示它采取措施纠正违反行为。该美容中心其后依从了执行通知的指令。
(上载日期：2016年9月)