追究八達通責任 推動私隱刑事化

個人資料私隱專員公署昨裁定八達通出賣客戶私隱事件，違反《私隱條例》3項保障私隱原則，但公署決定「放生」八達通，只要求簽署承諾書，並沒有發出較嚴厲的執行通知。雖然根據現行的私隱條例，私隱專員未能對八達通作出刑事檢控，但這不代表可以姑息八達通出售私隱圖利的行為。私隱專員應對八達通作出嚴正的譴責，而港鐵作為八達通的大股東也應追究管理層責任，還受影響客戶一個公道，也警示其他機構要慎重處理私隱資料。同時，當局應全面檢討現時私隱條例，將惡意洩漏個人資料行為刑事化，並加強對八達通企業管治的監管，杜絕事件再次發生。

根據私隱條例，私隱專員可以對違規機構發出執行通知，要求對方補救，若不理會通知將罰款5萬元及監禁2年。但由於八達通事後已作出補救，令專員未能引用法例發出執行通知，變相令八達通可免除各項罰則。鑑於事件涉及197萬市民的私隱資料安全，而且反映了商業上濫用、出售市民私隱牟利的情況愈趨嚴重，所以當局必須嚴肅追究責任，既是以儆效尤，也藉此顯示當局對私隱安全的重視。私隱專員應採取更實質的措施追究八達通的責任，而港鐵更應運用大股東的身份跟進事件，對肇事的管理層作出適當處分。

現時違反保障個人資料原則並不屬於刑事罪行，阻嚇力明顯不足。私隱條例亦無授權私隱專員向受害人提供法律援助，私隱被侵犯的市民想透過民事訴訟索償，成功機會微乎其微，私隱專員更被喻為「無牙老虎」。這次八達通事件再次暴露了私隱條例的不足，當局應及早檢討法例，一方面參考英國等先進國家的經驗，將侵犯私隱的行為列為刑事罪行，賦予私隱專員提出檢控的權力，加強法例的阻嚇力。另一方面，當局應為有關私隱資料的合約定出統一格式，明確要求企業讓客戶可選擇是否願意出售個人資料，以免企業再以蠅頭小字及艱澀的法律條文誤導市民，並杜絕企業運用「霸王條款」投機取巧地利用私隱牟利。

港鐵必須改變過往甚少參與八達通日常管理及商業運作的管理模式，發揮監察作用，確保八達通的管理層守法誠信，不能只為圖利罔顧市民私隱安全。