日期: 2016年12月28日
私隱專員回應有關一間航空公司的手機應用程式懷疑洩漏乘客的登機證資料
謝謝你的電郵查詢，有關今日一宗報道指一間航空公司的手機應用程式在毋須使用者登入的情況下，懷疑洩漏乘客的登機證資料。
公署現綜合回覆如下：
1. 公署在未了解有關程式的實際運作情況之前，不適宜亦不會評論個別機構有否違規。公署會聯絡相關航空公司了解事件並展開循規審查；而任何人士如懷疑其個人資料私隱受到侵犯，而又能提供表面證據，可以
向本公署作投訴。
2. 任何資料使用者（不論個人或機構）透過手機應用程式在香港或從香港控制收集、持有、處理或使用個人資料，都須遵從《
個人資料（私隱）條例》（「條例」）及其
六項保障資料原則，當中包括：
a. 資料使用者須採取切實可行的步驟，保障個人資料不受未獲准許或意外地被查閱、處理、刪除、喪失或使用（保障資料第4原則）；及
b. 資料使用者須以合法和公平的方式收集他人的個人資料，其目的應直接與其職能或活動有關；而收集的資料是有實際需要但不超乎適度；並須以切實可行的方法在收集用戶個人資料時或之前（如在程式安裝時）提供《收集個人資料聲明》告知資料當事人（如用戶）收集及使用其個人資料的目的，以及資料可能會轉移給哪類人士（保障資料第1原則）。
3. 一般而言，外洩個人資料有可能涉及違反保障資料第4原則。而機構使用手機應用程式所收集的用戶個人資料是否適度，要視乎個別手機應用程式所提供的功能及服務，是否按實際需要而收集相關的個人資料，當中需衡量的範疇包括：
a. 讀取／收集每類資料的目的是否為該手機應用程式的性質／功能提供支援；
b. 要達到這些目的，是否須要讀取／收集有關資料；
c. 讀取敏感程度較低的資料能否也達到這些目的。
4. 違反條例下的保障資料原則並不直接構成刑事罪行，惟私隱專員可發出執行通知，指令違規人士／機構採取補救措施。若有關資料使用者不遵守執行通知，公署可將個案轉交警方作刑事檢控。違法者一經定罪，可被判處最高罰款五萬元及監禁兩年；如罪行持續，可處每日罰款一千元。
5. 由2016年12月1日至今天（截至下午五時），公署沒有收到相關的投訴。
6. 而自2014年1月1日至2016年11月30日，公署收到與社交網站及智能電話應用程式相關的投訴數字如下：
|
年份 |
與社交網站有關（宗） |
與智能電話應用程式有關（宗） |
2016年1月1日至
11月30日 |
78 |
54 |
|
2015年 |
90 |
71 |
|
2014年 |
99 |
58 |
7. 隨著資訊科技的普及，市民網上進行消費或辦理手續（如購買機票及預辦登機服務等）愈加頻繁，牽涉個人資料的網上私隱及保安風險亦相對增加。私隱專員提醒巿民：
-
不要上載機票或登機證圖像至網上分享，因為即使上載前已遮蓋姓名、航班資料等，但若被他人拆解機票或登機證上的barcode 條碼，有可能會被取得多項個人資料；旅程完結後亦應將其撕碎銷毀，防止個人資料被盜用；
-
避免使用公共電腦及公共Wi-Fi瀏覽含敏感資料網站（如網上購物及電郵等）;而使用公共Wi-Fi熱點後，亦要刪除手機內網絡設定中的Wi-Fi存取點，減低個人資料遭竊取的風險；
-
不要讓裝置記錄你的登入狀態，並時刻緊記要「登出」；
-
設定複雜的帳戶密碼，不要在多個帳戶使用同一密碼；及
-
安裝及定期更新裝置的防盜及防毒軟件。
公署發出《
明智使用電腦及互聯網》單張，與市民分享如何在使用電腦及互聯網時保障自己的個人資料。
8. 公署亦留意到現今不論公私營機構，透過手機應用程式營運業務或提供服務均十分普遍，當中常會涉及收集個人資料，機構有責任緊貼最新的科技發展及趨勢保障個人資料私隱。個人資料一旦外洩或遭濫用，可能會對其顧客造成嚴重傷害並影響公司商譽。公署建議機構應：
-
制定妥善的程式開發及變更控制政策、指引及程序；
-
就手機應用程式的設計和運作制定風險評估程序；
-
使用正版及可靠的開發工具和軟件；
-
備有保安措施，例如加密、存取控制、密碼政策；
-
制定向操作系統開發商查閱或索取最新資料的程序；
-
如情況合理，對手機應用程式作獨立檢查及審核；及
-
除非可保證有相同程度的保障，否則不得把工作分包或再外判。
隨著手機應用程式的普及發展，公署刊發《
開發流動應用程式最佳行事方式指引》，介紹如何以貫徹私隱的概念開發產品和服務。這份指引亦提供詳細的檢查清單，為程式開發商闡述設計保障私隱的程式時須考慮的所有因素；亦建議連串的最佳行事方式。
同時，公署鼓勵機構若發現資料外洩事故，應通知公署，以妥善處理有關事故。公署刊發《
資料外洩事故的處理及通報指引》，當中規定如發生資料外洩事故，資料使用者須立即收集有關事故的重要資料、採取適當措施遏止事件擴大，以及考慮作出資料外洩通報等。
(如需引述，請寫個人資料私隱專員黃繼兒)