保障資料第4原則並沒有要求資料使用者杜絕一切外洩的可能性，而是以合理切實可行的步驟保障資料。
投訴內容
一個機構(“該機構”)轄下的家庭服務中心(“該中心”)用傳真方式向一管理局(“該管理局”)」)轄下的醫院(“該醫院”)，發出一份英文的“Medical Enquiry Form” (“該查詢表格”)要求該醫院就上訴人的醫療/病況資料作出回覆，以協助該機構在處理上訴人兒子懷疑受虐的個案(“該個案”)中的福利安排。該查詢表格上載有上訴人的姓名、年齡、身份證號碼、家庭狀況等資料。該查詢表格的頂部有“RESTRICTED”，即「限閱」這標題。其後，該醫院亦以傳真方式將已填妥的該查詢表格發送予該中心 。該中心就該個案與相關機構的代表舉行會議(“該會議 ”)，其後並以傳真方式向會議成員發送該會議的英文會議記錄初稿(“該會議記錄”)，當中載有該個案的詳情 、上訴人的醫療及病況資料等。該會議記錄的頂部有「Confidential｣，即「機密」這標題。上訴人曾就上述事件向該中心及該醫院作出查詢，並獲覆指他們各自只有一部傳真機，且接收及分發傳真文件的工作是由他們的文職人員負責。上訴人認為，由於該些文件並非由指定的收件人直接收取，故能令第三者，即負責接收傳真文件的人士，得知上訴人的個人資料。上訴人不滿該中心及該醫院以傳真方式發送文件，未有做好保安工作，遂向私隱專員作出投訴。
私隱專員的決定
私隱專員認為該查詢表格及該會議記錄上已分別列明有關文件屬「限閱」或「機密」級別，以提醒收件機構該些文件只限獲授權的人士處理。一般而言，機構可授權指定人士處理載有個人資料的文件，而安排何等人士負責接收傳真文件屬有關機構的內部行政及運作事宜，故單憑上訴人指負責接收傳真文件的人士並非該些文件的指定收件人，並不代表該些文件有被不當洩露予無關的第三者。私隱專員認為並無任何實質資料顯示該機構及該管理局以傳真方式發送該些文件涉及違反保障資料第4原則的規定。該中心及該醫院應以何種方式傳送該查詢表格及該會議記錄屬它們各自的內部行政安排，並非私隱專員於《個人資料 (私隱) 條例》(“條例”)賦權下可處理的事宜。在此情況下，私隱專員根據條例第39(2)(d)條及《處理投訴政策》第8(e)段的規定，決定不繼續處理這項投訴。
上訴
委員會認為最關鍵的事實是，沒有絲毫證據顯示上訴人的個人資料在傳真這個傳送過程中被第三者「未獲准許的或意外的查閱、處理、刪除、喪失或使用」。上訴人的投訴是單憑上訴人個人的推測和懷疑，而公署作為一個法定機構，並不能單靠上訴人一面之詞，便對他人或機構進行調查行動。再者，保障資料第4原則並非要求資料使用者要百分之一百保證資料不會被未獲准許的或意外的查閱等，而只是要求資料使用者採取合理切實可行的步驟以保障資料。在這點上，該中心及該醫院已有執行，便是於有關文件上明確地印有分別為「限閱」及「機密」的標題，所以即使負責接收傳真文件的人士並非該些文件的指定收件人，負責接收傳真文件的人士也應該清楚地知道自己絕不能「查閱 、處理 、刪除、喪失或使用」傳真文件的內容。
委員會認為像醫院這樣大規模的機構，若要規定每份傳真文件都只可以由收件人親自接收，這會對整體工作效率及成本效益構成影響。因此，接收傳真文件的工作授權予文職人員負責，並再由他們分發予收件人的做法並無不妥。於這事件上，並沒有任何表面證據顯示該中心及該醫院的做法有漏洞而導致上訴人的個人資料外洩。文件以傳真方式發送是一個常見及普及的做法，並沒有任何數據支持上訴人有關電郵或速遞較傳真保密的說法。就上訴人認為接收傳真文件的「第三者」可以不理會「限閱」及 「機密」等標題而偷閱文件，委員會認為電郵也有被誤傳或被駭客盜取等；而速遞也有因人為錯誤而導致遺漏的可能性，保障資料第4原則並沒有要求資料使用者杜絕一切外洩的可能性，而是以合理切實可行的步驟保障資料。
委員會的裁決
委員會認為沒有任何表面證據顯示該中心及該醫院違反了保障資料第4原則的規定，故駁回上訴及對私隱專員作出的決定予以確認。
(上載日期：2015年10月)