（2014年11月20日）個人資料私隱專員公署（「公署」）今日公佈兩份調查報告，其中一份指六個補習中介網站在導師登記過程中收集其身份證號碼及聯絡人資料屬超乎適度，因而違反了《個人資料（私隱）條例》（「條例」）保障資料第1 (1) 原則的規定，影響五十二萬名人士1。
2. 另一份調查報告披露香港十家主要的外籍家庭傭工（「外傭」）中介公司，把外傭申請人的某些個人資料、其家屬及其前僱主（包括香港僱主）的個人資料上載網站任人查閱，違反了保障資料第3原則的規定。一般準僱主並不會以這些不相關的資料作為挑選合適家傭的準則，這些外傭中介公司在網上過度披露個人資料似乎是該行業的普遍做法。現時在港工作的外傭人數超過三十三萬2。
3. 個人資料私隱專員（「專員」）蔣任宏表示：「互聯網的迅速發展正改變了我們如何收集、使用及儲存個人資料的習慣。機構及消費者都必須了解，進行電子商貿活動及使用網上服務平台可能帶來私隱風險，例如資料外洩、資料被不明人士再使用，從而對當事人造成不必要的滋擾及身份盜竊。經營網站的機構須確保它們收集及使用的個人資料真正符合業務所需，而消費者習以為常地在網上向服務供應商提供個人資料亦應多加警惕，不要因為急於獲取某些服務而白白犧牲自己的個人資料私隱。」
補習中介網站
4. 是次調查涉及分別由五間公司經營的六個網站（「該些網站」，見附件一），它們均在網上收集求職的補習導師及徵求私人補習服務的家長／學生的個人資料，然後根據他們提出的要求和條件作出配對。該些網站在成功作出配對後，可賺取相等於兩星期補習學費的佣金 。
5. 求職導師在登記時需要提供其身份證號碼3及其聯絡人4的姓名、電話號碼及與求職導師的關係，公署認為該些網站收集了超乎適度的個人資料。
6. 該些網站解釋有需要收集身份證號碼以核實求職者的身份，避免出現「冒認」的情況，以防止發生影響網站及／或學生和家長的不正當或欺詐行為。
7. 事實上，該些網站並不是受《僱傭條例》監管的職業介紹所，沒有法律責任收集求職者的身份證號碼。它們的商業模式是低成本運作，所以並不可能面見每一位求職者以查實身份。在網上收集求職者的身份證號碼來辨識身份，可以說是毫無作用。
8. 其實，在進行配對過程中，該些網站必需使用求職者所提供的地址、電郵地址或電話與他們聯絡。即使求職者有不當行為如拖欠行政費，中介網站憑這些聯絡資料已足夠讓警方跟進，或向小額錢債審裁處作出申索。
9. 蔣任宏指：「身份證號碼是獨一無二的身份代號，是終生不能更改的個人資料，應被視為高度私隱及敏感的資料，及加以保護。如身份證號碼落入不法之徒手中，可能會帶來或增加身份盜竊的風險，對受影響人士造成麻煩，甚至財務損失。為免因資料外洩或非授權取得資料而引致嚴重後果，機構應只在有絕對需要時才收集客戶的身份證號碼。」
10. 他補充：「我同時注意到該些補習中介公司與家長／學生訂定的服務條款既混亂又不清晰。我建議該些網站應提升透明度，明確地提醒家長及學生應自行負責核實求職者的身份證明文件，而不應倚賴在這方面沒有法律責任的補習中介網站。」
11. 此外，該些補習中介網站解釋需要求職者的聯絡人姓名與電話號碼，以便發生事故時可作緊急聯絡用途。這做法看來無可厚非，但該些網站應讓個別導師按其所需，自行決定是否提供聯絡人資料，而毋須在導師登記過程中強制收集。
外籍家庭傭工中介公司
12. 另一調查報告涉及香港十間主要的持牌外傭中介公司，主要業務是為準僱主介紹有意來港工作的外傭。
13. 過程中，該十間中介公司透過申請表格收集求職外傭（「申請人」）、其家屬及其前僱主的個人資料。中介公司有必要收集該些個人資料，以助這些申請人成功找尋工作及符合勞工處和入境事務處的相關程序，但當中並不應包括申請人家屬的個人資料（姓名、年齡及職業）。申請人成功獲聘用後，中介公司或僱主需要收集其家屬的資料作緊急聯絡之用，這是可以理解的。但獲聘用的外傭應在自願情況下提供家屬資料，而不應該在招聘初期被要求提供該資料。
14. 而本案發現最大的問題是該些中介公司在其網站展示申請人、其家屬及其前僱主（包括香港僱主）的個人資料。
15. 外傭的工作性質有別於其他工種，她們需要長時間與僱主及其家庭成員共同生活，朝夕相對的程度猶如家人般關係密切。因此，專員接納該些中介公司為協助準僱主挑選合適家傭，而在網上披露大部分申請人提供的個人資料（包括其相片）。然而，專員不認同中介公司在網上披露申請人的姓名5、住址6、護照號碼或香港身份證號碼7，他認為這些資料無助準僱主挑選合適外傭。
16. 基於同一原因，在網上披露申請人家屬的個人資料8（例如姓名、年齡及職業）及其前僱主的姓名9及住址10也是不被接納的。
17. 附件二詳列了這十間外傭中介公司的違規情況。
18. 蔣任宏表示：「申請人由海外到港尋找家傭工作，提供不少他人及自己的個人資料，中介公司應該顧及她們對其個人資料私隱的期望。中介公司應該對申請人提供的個人資料逐一慎重考慮，絕不可以在網上披露與申請人求職目的並無直接關係的個人資料。」
19. 「這做法與直接向親身到中介公司的準僱主披露個人資料截然不同，分別是申請人提供的個人資料一旦在網上公開，便可能被不知名的第三者隨意查閱、複製甚至永久保存，及與其他零碎但屬同一人的個人資料整合。任何人也難以預料及控制誰人可以再次使用有關資料。公司營運網站時須小心處理，關注申請人可能因此受到的損害，儘量減低有關風險。」
改善措施及執法行動
20. 專員欣悉部分外傭中介公司已在調查期間採取了相關的改善措施（詳見附件三）。
21. 為確保有關機構完全遵守條例規定，專員已向該十家外傭中介公司及五間經營補習中介網站的公司分別送達執行通知，指令他們要採取措施糾正尚有違例的情況，以及防止違例的情況再次發生11。
22. 蔣任宏補充：「這次對外傭中介公司的調查並無涵蓋公司與準僱主會面時，披露有關前僱主的個人資料的做法。我同意外傭中介公司可向準僱主披露申請人過去任職家傭的詳情（包括工作時期、工作地區、工作性質等），但切勿同時披露有關前僱主的個人資料（例如姓名及聯絡資料）。如準僱主希望直接聯絡申請人的前僱主以取得申請人的工作評價，外傭中介公司在向準僱主披露有關申請人前僱主的聯絡資料前，必須先取得有關前僱主的同意。」
23. 「作為良好的行事方式（而非只為遵守條例規定），即使申請人的有關個人資料客觀地有助準僱主挑選合適家傭，我建議外傭中介公司在網上披露該些資料前，最好先取得申請人的同意。鑑於網上披露資料所帶來的私隱風險，及部分資料屬敏感性質，這良好的行事方式是更妥善的做法。外傭中介公司須尊重申請人的選擇，不應上載申請人表示不同意在網上披露的個人資料。」
總結
24. 蔣任宏總結：「我希望這兩份調查報告對補習中介及外傭中介行業提供具規範性的指引，我亦鼓勵這兩個行業及所有網上服務平台營運者能借鏡是次調查結果，共同建立一個值得信賴和保障私隱的網上世界。」
有關補習中介網站及外籍家庭傭工中介公司調查報告可分別於
www.pcpd.org.hk/tc_chi/resources_centre/publications/files/R14_19675_c.pdf及
www.pcpd.org.hk/tc_chi/resources_centre/publications/files/R14_1382_c.pdf下載。
完
1 根據有關中介公司的公開資料及它們所提供的資料而得出的數字，當中包括補習導師及聯絡人，但重覆登記人士亦計算在內
2 由入境事務處提供截止本年十月尾的數字
3 全部六個網站要求提供身份證號碼
4 六個網站當中的五個要求提供聯絡人資料，不包括香港大學生教育網
5 全部十間中介公司披露申請人的姓名
6 七間中介公司披露申請人的住址
7 一間中介公司披露申請人的護照號碼或香港身份證號碼
8 八間中介公司披露申請人家屬的個人資料
9 與上述相同的八間中介公司披露申請人前僱主的姓名
10 兩間中介公司披露申請人前僱主的住址
11 違反執行通知即屬犯罪，最高刑罰為罰款港幣50,000元及監禁兩年；如屬持續罪行，可處每日罰款港幣2,000元。