日期: 2020年8月11日
公署回應傳媒查詢有關病毒檢測涉及的私隱事宜
就 貴台查詢有關病毒檢測涉及的私隱事宜，香港個人資料私隱專員公署（私隱公署）現就《個人資料（私隱）條例》（《私隱條例》）的相關內容回應如下：
問題
「因應疫情，政府推行黃大仙區慈愛苑檢測計劃，並要求接受檢測的市民簽署聲明，當中有關收集個人資料的部分，指明民政事務總署會使用收受檢測者的個人資料，以作「防疫用途」。另外，亦指明有關資料將按防疫目的，披露予有關政府部門。
-
收集樣本的資料涉及個人基因及健康資料，在現行法例下，有否需要特別保障？
-
聲明沒有寫明「防疫目的」涉及甚麼範圍，是否包括執法機構，有關資料可儲存多久，何時銷毀等，是否符合《個人資料（私隱）條例》的規定？」
答：問題1
-
公署留意到政府推行的社區檢測計劃，旨在透過從受檢測人士所收集的樣本進行病毒檢測，以盡早識別2019冠狀病毒病的患者。當中沒有資料顯示病毒檢測本身會涉及分析當事人的基因資料。
-
根據《私隱條例》，「個人資料」指符合以下說明的任何資料：(i)直接或間接與一名在世的個人有關的； (ii)從該資料直接或間接地確定有關的個人的身份是合理地切實可行的；及(iii)該資料的存在形式令予以查閱及處理均是合理地切實可行的。
-
即使涉及任何生物辨識資料，只單憑生物辨識資料一項來確定某人的身份，未必是合理地切實可行；當然，若生物辨識資料與另一資料庫的個人資料連結後，又或經整合和分析後，是有可能直接或間接辨識個別人士的身份，構成《私隱條例》所定義的個人資料。
-
無論如何，單憑病毒檢測樣本及檢測結果雖然未必可直接識辨當事人的身份，但此等資料結合其他資料，是可構成《私隱條例》下定義的個人資料，屬當事人的健康資料，且為屬敏感程度較高的資料。所有資料使用者，包括政府、公私營機構，須考慮個人資料的種類及敏感程度，以及假如這些資料未獲授權或意外地被查閱、處理、刪除、喪失或使用（包括轉移及披露）時會造成的損害，而採取相應的保障措施，以確保所收集得來及處理的個人資料受到安全保障。
答：問題2
-
公署留意到，社區檢測計劃是自願性質參與的。計劃參加者是在自願及知情的情況下提供其檢測樣本及個人資料。
-
根據《私隱條例》保障資料第1(3)原則，資料使用者必須在收集資料時或之前以切實可行的步驟，以告知資料當事人所收集的資料及其目的、資料可能會轉移給哪些類別人士（如有的話），以及資料當事人可要求查閲和改正自己的資料的權利及途徑。
-
有關保留期限方面，《私隱條例》沒有指明資料使用者保留個人資料的期限，亦沒有要求《收集個人資料聲明》需要列出保留資料的期限，保留資料期限視乎個別實際情況而定。但是，根據保障資料第2原則，資料使用者須採取所有切實可行的步驟，確保個人資料的保留時間不得超過達致原來目的的實際所需，而根據《私隱條例》第26條，除非受任何法律禁止或符合公眾利益，否則資料使用者須刪除已不再為使用目的而需要的個人資料。