日期: 2020年2月2日
公署回應傳媒查詢有關有團體免費派發口罩時要求市民提供個人資料
就 貴報查詢關於有團體免費派發口罩時要求市民提供個人資料一事，至今香港個人資料私隱專員公署（公署）已接獲一宗相關投訴，所以不能作出任何評論，現就《個人資料（私隱）條例》（《私隱條例》）下的相關規定作一般性的回覆：
關於派發物資或提供服務時收集個人資料
-
在《私隱條例》中，個人資料是指可識辨在世人士的身分的資料，有關資料必須儲存在紀錄內，並且可加以處理或檢索。
-
機構（作為資料使用者）如在派發物資或提供服務過程中收集及使用資料當事人的個人資料，必須遵從《私隱條例》的規定。
-
根據《私隱條例》有關收集個人資料的保障資料第 1 原則規定，機構應以合法和公平的方式收集資料當事人不超乎適度的個人資料，而其收集目的應直接與其職能或活動有關，並應在收集資料當事人的個人資料之時或之前提供《收集個人資料聲明》，告知他們所收集的資料及其目的，以及資料可能會轉移給哪類人士。
-
此外，私隱專員發出的《身分證號碼及其他身分代號實務守則》（《守則》），對資料使用者在收集資料當事人的身分證號碼/ 身分證副本作出了規定。《守則》規定，除獲法律授權外，任何人士均不能強制他人提供其身分證號碼。然而，在《守則》准許收集身分證號碼的情況下，資料使用者則可要求個人提供他的身分證號碼，當中包括：增進該名個人的利益、防止對有關資料使用者以外的任何其他人造成損害等。
-
根據《私隱條例》有關使用個人資料的保障資料第 3 原則規定，機構使用個人資料的目的，只限於收集時述明的目的或直接相關的目的，使用資料於新目的，必須事先得到資料當事人自願和明確的同意，否則會被視作違反保障資料第3原則。
-
另外，根據《私隱條例》有關資料保留期間的原則規定，資料使用者保留個人資料的時間，不得超過達致原來目的的實際所需（保障資料第2原則）。此外，《私隱條例》有關資料保安的原則規定，資料使用者須採取一切切實可行的步驟，保障個人資料不會未經授權或意外地被查閲、處理、刪除、喪失或使用（保障資料第4原則）。因此，機構在派發物資或提供服務後（即達致原來目的的實際所需後），應盡快刪除所收集的個人資料。如有實際需要保留該些個人資料的話，機構應採取適當措施以確保個人資料的保安受到保障。