日期: 2020年1月31日
个人资料私隐专员公署就新型冠状病毒疫情
有关个人资料私隐议题的回应
关于使用疑似病患人士资料作「起底」之用
-
香港个人资料私隐专员公署（公署）不评论个别事件，但就《个人资料（私隐）条例》（《私隐条例》）下的相关规定作一般性的回复。
-
在《私隐条例》中，个人资料是指可识辨在世人士的身分的资料，有关资料必须储存在纪录内，并且可加以处理或检索。
-
公署谴责「起底」及网络欺凌行为，并强调在现行《私隐条例》中有关使用个人资料的保障资料原则（保障资料第 3 原则）规定，使用个人资料的目的，须与当初收集资料时述明的目的一致或直接有关，否则必须先征得当事人的订明同意。
-
《私隐条例》第64(2)条规定，在未经资料使用者（资料源头）同意下，如任何人披露取自该资料使用者的某资料当事人的任何个人资料，而该项披露导致该资料当事人蒙受心理伤害，不论其意图如何，该人即属犯罪。若干犯《私隐条例》第64条的刑事罪行，最高刑罚是罚款港币一百万元及监禁五年。「起底」及网络欺凌行为亦可能涉及其他刑事罪行包括刑事恐吓等，受影响人士更可就其所受的心理损害，向有关的涉事人士提出民事索偿。
-
截至1月30日下午五时正，公署接获一宗相关投诉。
-
公署会密切留意事态发展，在适当时候依法采取跟进行动。
关于披露疑似病患人士资料予包括政府衞生部门的第三者
-
香港个人资料私隐专员公署（公署）不评论个别事件，但就《个人资料（私隐）条例》（《私隐条例》）下的相关规定作一般性的回复。
-
在《私隐条例》中，个人资料是指可识辨在世人士的身分的资料，有关资料必须储存在纪录内，并且可加以处理或检索。
-
一般而言，《私隐条例》中有关使用个人资料的保障资料原则（保障资料第 3 原则）规定，使用个人资料的目的，须与当初收集资料时述明的目的一致或直接有关，否则必须先征得当事人的订明同意，惟《私隐条例》第59条豁免与公众或社会利益有关的健康事宜，可免受限制使用资料的规管。
-
根据《私隐条例》第 59(1) 条，在相当可能会对资料当事人或任何其他人的身体或精神健康造成严重损害的情况下，资料使用者可毋须得到资料当事人的同意而向第三者披露资料当事人的身体健康或精神健康有关的个人资料（豁免保障资料第 3 原则）。
-
第 59(2) 条亦指出，在以上相同情况下，资料使用者同样可毋须得到资料当事人的同意而向第三者披露关乎某资料当事人的身分或所在的个人资料。《私隐条例》第 59(2) 条设立的原意，是希望针对有需要时可及时获得有关身份和所在的个人资料，以便有关方面能采取即时行动，防止资料当事人或其他人士的身体或精神健康受到严重损害。
-
公署必须强调，公众人士如引用有关豁免条文，必须确保使用资料当事人的个人资料的唯一目的是保障公众健康，符合公共利益；同时亦必须考虑尊重资料当事人的私隐，采用侵犯私隐程度较低的方法以达到目的，例如向有关医护人员或衞生署寻求协助。
-
另一方面，根据《私隐条例》第 60B条，如个人资料是 (a) 由任何成文法则、法律规则或香港法院的命令所规定或授权使用的，或是根据任何成文法则而规定或授权使用的；(b) 在与于香港进行的法律程序有关连的情况下被规定而使用的；或(c) 为确立、行使或维护在香港的法律权利所需要而使用的，该资料获豁免而不受第 3 保障资料原则的条文所管限。政府已于2020年1月8日将「严重新型传染性病原体呼吸系统病」纳入《预防及控制疾病条例》（《香港法例》第599章）附表1的法定须呈报传染病，以及修订其附属法例《预防及控制疾病规例》（《香港法例》第599A章）。根据《预防及控制疾病规例》第4条，如任何医生有理由怀疑有表列于传染病个案存在，不论有关的受感染的人是否已死亡，他须立即通知衞生署署长。因此，有关医护人员可引用《私隐条例》第 60B条，毋须得到资料当事人的同意而向衞生署署长披露关乎某资料当事人的个人资料，以符合《预防及控制疾病规例》的要求，也切合公众健康及公共利益的目的。
关于有商户要求顾客实名登记
-
香港个人资料私隐专员公署（公署）不评论个别事件，但就《个人资料（私隐）条例》（《私隐条例》）下的相关规定作一般性的回复。
-
在《私隐条例》中，个人资料是指可识辨在世人士的身分的资料，有关资料必须储存在纪录内，并且可加以处理或检索。
-
商户向哪类顾客出售货品或提供服务乃商业决定，并不受《私隐条例》规管。但另一方面，商户如在出售货品或提供服务过程中收集及使用顾客的个人资料，则必须遵从《私隐条例》的规定。
-
就收集个人资料方面，商户应以合法和公平的方式收集顾客不超乎适度的个人资料，而其收集目的应直接与其业务有关，并应在收集顾客个人资料之时或之前提供《收集个人资料声明》，告知顾客所收集/ 使用/ 处理的资料及其目的，以及资料可能会转移给哪类人士。
-
就使用个人资料方面，商户使用顾客个人资料的目的，只限于收集时述明的目的或直接相关的目的，使用资料于新目的，必须事先得到资料当事人自愿和明确的同意，否则会被视作违反保障资料第3原则。
-
另外，《私隐条例》有关资料保留期间的原则规定，资料使用者保留个人资料的时间，不得超过达致原来目的的实际所需。此外，《私隐条例》有关资料保安的原则规定，资料使用者须采取一切切实可行的步骤，保障个人资料不会未经授权或意外地被查阅、处理、删除、丧失或使用。因此，商户在出售货品或提供服务后（即达致原来目的的实际所需后），应尽快删除所收集的个人资料。如有实际需要保留该些个人资料的话，商户应采取适当措施以确保个人资料的保安受到保障。