2019年2月1日
公署回應有關關愛基金如何處理已用完的個人資料事宜
謝謝你的查詢，有關相關政府部門應如何處置已完成審批的關愛共享計劃表格，公署現就個人資料私隱範疇綜合回覆如下：
-
不論公私營機構，都必須按《個人資料（私隱）條例》（《私隱條例》）的規定，妥善保存和刪除資料當事人（如計劃申請者）的個人資料，其中須採取所有切實可行的步驟：
-
確保個人資料的保留時間不得超過達致原來目的的實際所需；及
-
刪除已不再為使用目的而需要保留的個人資料。
-
上述規定並沒有指明資料使用者保留個人資料的期限，亦沒有要求《收集個人資料聲明》需要列出保留資料的期限，保留資料期限視乎個別實際情況而定。有關政府部門應按其計劃運作的實際所需及其收集申請者的個人資料的原來目的而決定保存個人資料的期限。此外，如有其他法例規定保留資料的最短期限，例如在《稅務條例》下與財務有關的資料須保留最少七年，相關政府部門便須遵從相關規定。
-
有關政府部門亦必須按《私隱條例》的規定採取有效的保安措施，妥善處理及刪除計劃申請者的個人資料，並採取切實可行的步驟，保障計劃申請者的個人資料不會未經准許或意外地被查閱、處理、刪除、喪失或使用，否則便有可能違反《私隱條例》下的資料保安原則。
-
即使有關政府部門聘用外判服務供應商（作為資料處理者）協助處理及銷毁個人資料，仍須採取合約規範方法或其他方法，以防止轉移予該資料處理者作處理的個人資料未獲准許或意外地被查閱、處理或使用。以資料處理者處理個人資料的做法應具透明度，包括在收集當事人的個人資料時清楚告知其個人資料可能會轉移予資料處理者處理。公署留意到，相關部門已履行了這方面的責任。同時，相關部門亦需制定具透明度的資料保留政策。