投訴內容
1. 案情摘要
投訴人的工作性質需要使用電腦，故此她的僱主(下稱「該機構」)為她安排工作上設有一台可以收發電郵及使用互聯網的電腦(下稱「該電腦」)。為保安理由，投訴人獲分配一個用戶名稱及自設密碼（下稱「該密碼」），以用作登入該機構的電腦系統。投訴人的上司曾多次以該機構要求「緊急之用」為理由，要求她提供該密碼，她最終亦將該密碼告知上司。
投訴人其後被上司發現於辦公時間使用該電腦進行網上遊戲活動。就此，投訴人的上司在取得該機構的同意下，在投訴人下班後，使用投訴人較早前提供的該密碼登入該電腦收集她瀏覽網站的資料(即儲存在電腦內的cookies資料，下稱「該些cookies資料」)。投訴人得悉事件後向本公署投訴該機構在她不知情的情況下登入該電腦收集該些cookies資料。
該機構在接受私隱專員的調查時表示，該電腦屬其財物，只供投訴人公事上使用。故此，該電腦內所儲存的資料也應屬該機構所擁有，因而該機構有權進入該電腦並查閱其所儲存的資料。此外，該機構認為投訴人的上司查閱該電腦內的資料並非為收集投訴人的「個人資料」，而該些cookies資料亦非投訴人的個人資料。不過，在調查本案期間，該機構已刪除該些cookies資料。
2. 個案關鍵
(1) 投訴人的上司收集該些cookies資料是否構成收集投訴人的個人資料；
(2) 如上述(1)為「是」，投訴人的上司在投訴人不知情下登入該電腦收集該些cookies資料的做法是否屬公平的方法；及
(3) 該機構是否有採取所有切實可行的步驟，以確保投訴人能確定該機構在個人資料方面的政策及實務，當中包括該機構是否有根據《保障個人資料私隱指引：僱主監察僱員工作活動須知》（下稱「該指引」）第3.2.4段所述，在僱員監察政策中清楚列明使用與工作有關的通訊設備的條件，讓投訴人作出適當的行為，以及根據第3.3.1段所述，在制定監察政策後，採取實際可行步驟，令投訴人能夠知悉政策的內容。
結果
1. 論據
(a) 事件涉及「個人資料」的收集
由於cookies只是關於某台電腦曾瀏覽網站的資料，如cookies並不包含任何可識辨個別人士身份的資料(例如有關使用者的姓名)，單只cookies本身便不符合個人資料的定義。換句話說，cookies在某一個案中是否屬個人資料，須視乎個案中的cookies是否包含可識辨個別人士身份的資料，或是否連同其他可識辨個別人士身份的資料而被持有或使用。
本個案中的該些cookies資料包含投訴人的英文姓名及她曾瀏覽的網址資料。明顯地，投訴人的上司基於曾發現投訴人於該電腦進行網上遊戲，而登入該電腦作檢查，繼而建立檔案，當中載有該些cookies資料，目的是為記錄投訴人使用該電腦時曾瀏覽過的網址及時間，以作為有關投訴人曾使用該電腦作未經准許的活動的證據。鑑於該些cookies資料載有可識辨投訴人身份的英文名，加上有關cookies是投訴人的上司為針對投訴人的涉嫌違規行為而建立的記錄，私隱專員認為有關做法構成收集投訴人的個人資料。
(b) 以不公平方法收集個人資料
合理私隱期望
根據私隱專員的調查結果顯示，該機構並沒有採取實際措施去阻止或禁止投訴人使用該電腦作私人用途或儲存私人資料。另外，該機構容許各僱員自行更改電腦密碼，而沒有規定僱員必須向同事提供電腦密碼，或於每次更改電腦密碼後即時通知其他同事。明顯地，即使該機構的僱員有共用電腦及電腦密碼的習慣，他們只是基於方便工作而自願向其他同事提供電腦密碼，這不等於投訴人因此被剝奪使用該電腦的合理私隱期望。
本個案中並無證據顯示除投訴人的上司外，其他職員亦知悉投訴人的電腦密碼。私隱專員認為在一般的情況下，投訴人是該電腦的唯一使用者，其他職員應不會在投訴人不知情下使用該電腦。
投訴人的上司使用投訴人提供的該密碼登入該電腦收集該些cookies資料，明顯與當初要求投訴人提供該密碼時所述的目的並不一致，而他向投訴人索取電腦密碼時所指的工作需要或「該機構要求」的目的卻又太過籠統。由於該些cookies資料與投訴人的日常工作並無直接關係，即使投訴人可能會預期她的上司會登入該電腦找尋工作所需的資料，亦不會合理地預期她的上司會在她下班後使用她提供的密碼登入該電腦以收集該些cookies資料。
綜上所述，私隱專員認為就本個案所得的資料顯示該機構如此收集該些cookies資料並不符合投訴人使用該電腦的合理私隱期望。
替代方法
另一方面，私隱專員認為除非存在相關特殊情況的理據支持，資料使用者不應以隱蔽方式收集個人資料，因為此舉嚴重侵犯個人私隱。假若投訴人的上司於辦公時間內在投訴人面前登入該電腦，應不會損害有關檢查該電腦的目的。無論如何，本個案中並無資料顯示該機構曾研究採用其他私隱侵犯程度較低的替代方案。
總結
基於上述，私隱專員認為投訴人的上司使用當初為「該機構要求」而取得的電腦密碼，在投訴人不在場的情況下，登入該電腦查閱她瀏覽網站的資料(即儲存在電腦內的該些cookies資料)，屬以不公平的方法收集個人資料，該機構因而違反了保障資料第1(2)原則的規定。
(c) 違反保障資料第5原則
在本個案發生當時，該機構只制定了一份內容簡單的通告，提及該機構的電腦只供僱員公事上使用等，但通告沒有指明會利用僱員的電腦密碼進入其電腦收集其上網記錄。再者，沒有資料顯示該機構曾於投訴人入職時向她發出有關通告。就此，私隱專員認為該機構沒有曾經向投訴人清楚指出僱員監察的目的，可能進行監察的情況或收集資料的用途，故該機構並沒有根據該指引第3.2.4及3.3.1段採取步驟確保投訴人能夠知悉政策內容。
考慮到本個案的所有情況，私隱專員認為該機構並無採取所有切實可行的步驟，令投訴人知悉有關通告的存在，從而她能確定或得悉該機構有關記錄僱員使用該機構電腦瀏覽網頁方面的政策及實務，因而違反了保障資料第5原則的規定。
2. 公署的行動
就該機構違反保障資料第1(2)原則方面，私隱專員向該機構發出執行通知，指示該機構停止利用僱員提供的電腦密碼，登入電腦查閱該僱員所瀏覽的網站，除非事先獲得該名僱員的同意。
此外，該機構已制訂有關的監察及保安政策，並已提示僱員注意有關政策，私隱專員認為該機構已採取相應的措施，令僱員能確定或得悉該機構有關監察僱員使用電腦瀏覽互聯網的政策，故毋須就保障資料第5原則方面向該機構發出執行通知。
3. 被投訴者的改善措施
該機構已遵從執行通知的要求。
上載日期：2009年10月