美容中心過度收集客戶的個人資料—保障資料第1(1)原則
投訴內容
投訴人到一美容中心享用美容療程（包括纖型及美白），職員先要求她填寫一份新客戶表格，當中必須提供身份證號碼、出生日期、教育程度及職業。此外，職員要求投訴人於兩份接受該些美容療程的同意書上填寫她的香港身份證號碼。投訴人認為該美容中心不應收集她的個人資料，遂向公署作出投訴。
該美容中心解釋在新客戶表格中收集客戶的香港身份證號碼是作身份確認之用。此外，由於皮膚狀況與年齡有關，故客戶的出生日期是用作跟進客戶的皮膚進度。另外，客戶的教育程度及職業可讓前線職員更全面地了解有關客戶，並調整向客戶解釋服務的方式，以確保客戶清楚了解服務的內容。
至於在同意書中收集客戶的香港身份證號碼一事，美容中心表示，他們的商業牌照已申報其業務性質為診所，而美容療程會因個別情況由醫生或治療師進行。若療程是由駐場醫生向客戶進行，即建立了醫生與病人關係，因而可收集有關客戶的香港身份證號碼。縱使療程由治療師進行，但由於纖型及美白美容療程為「高風險程序」，客戶亦應享有醫生與病人關係中相同的保障，故同樣屬於建立了醫生與病人關係。最後，由於可能有客戶因療程效果不理想而作出追討或申索，故有需要要求客戶在接受療程同意書中填寫香港身份證號碼，亦可避免客戶抵賴曾簽署有關同意書。
結果
私隱專員認為，為達致該美容中心跟進客戶的皮膚進度的目的而言，收集客戶的出生年份已足夠，毋須進一步收集出生月份及日期。此外，在沒有客戶的教育程度及職業的情況下，也不會影響該美容中心所提供的服務。
另外，該美容中心只需於客戶填寫新客戶表格時要求她出示身份證明文件以核對她的身份，並檢視證件上的樣貌與現場所見的是否相符，已可達致核實身份的目的。此外，該美容中心可在向客人提供服務或療程前核對客人的電話號碼，及為客人安排特定客戶編號，去識辨客戶及作為尋找客戶紀錄的索引。
有關在同意書中收集客戶的身份證號碼方面，該美容中心認為它和它的治療師與它的顧客有醫生與病人的關係。但該美容中心並非按《診療所條例》註冊的診療所，而該美容中心大部分的療程均由治療師進行。明顯地，治療師的資歷不能與醫生對有關疾病及處理病人所受的訓練及他的專業評核相提並論。客户對註冊醫生在治療前的評估、治療間的應變或治療後的跟進均較信任及具信心，亦從而建立醫生與病人關係。所以，療程若由註冊醫生負責進行才可以說得上是建立了醫生與病人關係，從而可收集有關客戶的香港身份證號碼。因此該美容中心不能在由治療師進行的療程的同意書中收集有關客戶的香港身份證號碼。
該美容中心若作為民事訴訟案件中的答辯人，它並不需要原告人 （即提出索償訴訟的客戶）的香港身份證號碼以擬備答辯資料。
因此，私隱專員裁定該美容中心強制客户必須 (i) 於填寫新客戶表格時，提供香港身份證號碼、出生日期、教育程度及職業，及(ii)在接受該美白療程及該纖型療程的同意書中向非由註冊醫生進行治療的客戶收集香港身份證號碼屬超乎適度。私隱專員向該美容中心發出執行通知，指示它採取措施糾正違反行為。該美容中心其後依從了執行通知的指令。
(上載日期：2016年9月)