2018年12月21日
公署回應有關懷疑載有旅行社客戶個人資料的文件被當為環保紙張貼在港鐡西九站售票窗事件
謝謝你的查詢，有關懷疑載有旅行社客戶個人資料的文件被當為環保紙張貼在港鐡西九站售票窗事件，公署現綜合回覆如下：
-
就是次懷疑有旅行社客戶個人資料外洩事件，公署將會聯絡相關旅行社了解事件，並就事件展開循規審查。
-
旅行社必須按《個人資料（私隱）條例》（《私隱條例》）的規定妥善處理及刪除客戶的個人資料，並採取切實可行的步驟，保障個人資料不會未經准許或意外地被查閱、處理、刪除、喪失或使用，否則便有可能違反《私隱條例》下的資料保安原則。
-
即使旅行社聘用外判服務供應商（作為資料處理者）協助處理及銷毁個人資料，仍須採取合約規範方法或其他方法，以防止轉移予該資料處理者作處理的個人資料未獲准許或意外地被查閱、處理或使用。
-
若違反保障資料原則，私隱專員可發出執行通知，指令資料使用者採取補救措施，以免觸犯《私隱條例》的規定。不遵守執行通知即屬犯罪。違法者一經定罪，最高可被判處罰款五萬元和監禁兩年。如罪行持續，可處每日罰款一千元。
-
私隱專員建議機構應制定棄置或銷毁載有個人資料文件的內部政策及指引，並定期進行有效的監察及員工溝通和培訓工作，確保職員以至外判服務供應商依從及執行；相關政策及指引亦應定期作出檢討和修訂。