以香港法为例探讨个人信息保护

目前中国大陆对个人信息保护的法律、规章和司法解释非常有限，对于个人信息的保护更多地是以单独条款的方式散布在各项法规中。虽然现阶段我国大陆地区尚缺乏对个人隐私的统一立法，但为了降低公司运营中的合规风险，许多大型企业均已根据自身经营特征在内部制定和执行客户个人信息保护政策，并在与客户订立合同关系时签署关于个人信息保护的协议。中国香港在立法以及信息保护监管具有很高借鉴价值，根据香港《个人资料（隐私）条例》所订立的六个基本原则以及香港个人资料私隐专员公署（公署）发布的相关案例，我们简要探讨个人信息保护实务中应注意的问题。

收集资料原则。首先，资料使用者需以合法公平的方式，收集他人的个人资料，其目的应与职能或活动直接有关。其次，资料使用者须以切实可行的方法告知资料当事人收集其个人资料的目的，及资料可能会被转移给哪类人士。第三，收集的资料是有实际需要的，而不超乎适度水平。

例如，某旅游公司购买旅游产品（不含机票、船票、火车票等）的手机应用程序要求消费者在用户注册时须填写姓名、电话或电子邮箱、出生日期和身份证号码。公署认定公司要求消费者提供出生日期和身份证号码是超乎适度的收集资料行为，消费者的姓名和电话或电子邮箱信息已足够公司开展其产品销售、积分累计、消费者确认等经营活动。

资料准确及保留原则。资料使用者须采取切实可行的步骤以确保持有的个人资料准确无误，而资料保留时间不应超过实现原来目的的实际所需。

某客户投诉他早已获个人破产解除，但某银行仍保留其破产资料，并发现银行内部规定保留个人破产信息99年。公署认为虽然与个人破产有关的个人资料是银行信贷风险管理和协助破产受托人识别和扣押破产人的财产及账户的重要资料，但这不自动赋予银行无限期或长时间保留个人资料的权利。考虑到破产人根据《破产条例》在四到八年后解除破产后可以重新掌握其财务事宜，公署认为银行该行为会不利于该个人过没有产权负担的正常生活。因此，银行保留个人破产资料不应超过八年。

使用资料原则。除非得到资料当事人自愿和明确的同意，个人资料只限用于收集时述明的目的或直接相关的目的。

某补习机构在其学生获得优异高考成绩后，通知该学生提供成绩通知原件复核后向其发放了奖学金并采访。随后，该补习机构将该学生的采访内容、成绩通知以及学生与补习机构老师的合影刊登于该补习机构的刊物上作宣传用途。公署认定学生领取奖学金的行为并不构成学生对于补习机构使用其个人资料的明确同意，该学生有权向该补习机构要求民事赔偿。

资料保安原则。资料使用者须采取切实可行的步骤，保障个人资料不会未经授权或意外地被查阅、处理、删除、丧失或使用。

某人在某密件处理公司的碎纸厂外发现宽16毫米的某医院诊疗预约便条，便条碎片可拼凑出部分患者相关医疗信息。经调查，该医院与密件处理公司合同中约定碎纸宽度不应超过4毫米，16毫米碎纸是由于密件处理公司新员工操作不当所致。

公署认定医院对资料保护有最终责任，并提出改善建议：（1）细化合同约定内容，合同中应包含对外包公司员工未经授权将资料移出公司的限制；（2）应加强对外包公司执行合同的视察和监督。

公开政策原则。资料使用者须采取切实可行的步骤来公开其处理个人资料的政策和行事方式，并交代其持有的个人资料类别和用途。例如，由于发生邮票失窃，邮局在洗手间和更衣室附近安装针孔摄影机用以侦查案件。公署认为，雇主若要对雇员进行监察，应采取合理步骤制定清晰的私隐政策声明，并最好以书面形式通知受监察对象。公署认定邮局的偷录行为违反了公开政策原则。

查询及改正原则。资料当事人有权要求查阅其个人资料；若发现有关个人资料不准确，有权要求更正。

某银行将就客户提出的资料查询申请收取200元费用。了解银行内部流程及成本介绍后，公署认定银行应考虑客户所要查询资料的数量和性质来收取相应费用，一刀切的200元收费标准有阻碍资料当事人查阅其个人资料的嫌疑，并建议银行根据资料数量和性质订立不同的收费标准。

作者：锦天城律师事务所合伙人秦蓁、外国法律顾问陈哲臻