日期: 2019年8月19日
公署回应有关银行要求客户提供指静脉认证资料作开户用途
谢谢你的查询，有关你提出有银行要求客户提供指静脉认证资料作开户用途，公署现就
个人资料私隐范畴作一般性的回复如下：
由于生物辨识资料（如指纹、指静脉等）往往是与生俱来和独一无二，可直接或间接辨识个别人士的身份，因此生物辨识资料会被视为《个人资料（私隐）条例》（《私隐条例》）下的个人资料。《私隐条例》的资料保安原则规定，机构作为资料使用者在采取保安措施时，须考虑个人资料的种类，以及假如这些资料未获授权或意外地被查阅、处理、删除、丧失或使用（包括转移及披露）时会做成的损害，以有效保障个人资料安全。
答1：银行收集客户的个人资料，须直接与其职能及所提供的服务有关，但由于指纹、指静脉等生物辨识资料的特质，银行在收集相关资料前必须确定他们是有特定的目的和实际需要（如用作身份认证），同时须清晰告知客户收集及使用相关资料的私隐风险，并提供私隐侵犯程度较低的其他替代方法供客户选择，让客户能在知情的情况下作出选择或给予同意。
答2：银行在考虑收集客户的生物辨识资料时，必须按《私隐条例》及相关的保障资料原则就客户的个人资料加以保障，其中：
-
须首先考虑有关收集生物辨识资料是否必需的，因此私隐专员鼓励银行先进行私隐影响评估，以评估建议的做法对个人资料私隐的影响；
-
只能为了直接与其职能及服务有关的合法目的而收集个人资料，而所收集的资料要有实际需要但不超乎适度（如厘定收集指纹或指静脉的特征数量多寡等）；
-
清晰告知客户提供其生物辨识资料对私隐的影响，如收集的生物辨识特征数量、识别装置的运作、相关资料可能会被转移予甚么类别的人士、防止资料被不当使用或处理的措施、资料保存期限、资料存取权限等，让客户能在知情的情况下作决定；
-
应在合理地切实可行的情况下实施有效的保安措施，防止生物辨识资料库受破坏及盗用，如在储存或传送生物辨识资料时，把资料加密；若外聘服务供应商处理相关的生物辨识资料，则须采取合约规范方法或其他方法，以防止客户个人资料外洩；
-
对于一些已不再需要用于原来收集目的的生物辨识资料，应定期并经常将这些资料安全地销毁；
-
定期进行私隐循规评估及检讨，确保有关行动及做法符合《私隐条例》的规定。负责收集及管理生物辨识资料的僱员亦必须得到适当的培训、指导及督导。
私隐专员早前刊发《
收集及使用生物辨识资料指引》，当中提供多项建议，以协助机构负责任地收集及使用生物辨识资料，减低相关的私隐风险。
答3：如前述，因应生物辨识资料与生俱来和独一无二的特质，任何不当地收集或使用生物辨识资料均可能导致严重后果，例如个人身份被盗用。巿民在考虑是否提供自己的生物辨识资料以换取服务便捷时，应先清楚了解机构收集相关资料的目的和用途，并细阅其私隐政策和收集个人资料声明，了解个人资料可能会被使用及分享的情况，衡量资料的收集是否有需要抑或是超乎适度，借以评估相关的私隐风险，决定是否值得以个人的生物辨识资料换取相关服务。