|
何子建 高校聯資訊科技及管理協會理事
自從去年八達通公司遭到揭發，未經授權就將二百四十多萬市民的個人資料出售圖利，不少朋友才如夢初醒，原來，在「商業運作」的幌子下，對個人私隱資料的保障可以如此薄弱。當然，類似「故事」還會衍生發展下去，日後大家或者會更頻繁地接獲來歷不明的促銷電話，對方更可能操一口流利普通話，而且是從內地某城市打出，究竟，這當中暗含甚麼玄機呢？
隱患隨跨境個人資料流動猛增
說穿了，這只是表明一個事實，隨著兩地經濟日漸融合，在商業運作和成本效益等力量驅動下，跨境個人資料流動必呈猛增之勢，個人私隱資料失去保障的隱患亦隨之增加：其一，由於香港租金貴，薪金相對不便宜，不少公司將部分工序遷移至珠三角城市，例如電訊公司、銀行將後勤服務或數據中心設於廣州等地；其二，一些公司近年紛紛推出兩地聯營服務，例如聯營信用卡，又或者八達通與深圳通擬推出的「港深一卡通」之類。不管是哪種情況，對於廣大「資料當事人」來說，結果並無分別——某些重要的個人私隱資料，甚至是涉及個人財務等敏感資料，在未經其本人授權的情況下，都極有可能被轉移到香港以外地方。
特區政府最近宣佈擬檢討《個人資料(私隱)條例》(以下簡稱「條例」)，將違規賣個人資料刑事化。但有意無意之間，卻留下兩條尾巴：首先，當局以「給予商業機構運作空間」為由，採納所謂「拒絕機制」，若資料當事人在三十日內並無回覆，便視為沒有拒絕其個人資料用於直銷活動，而非採用由當事人主動同意的「接受服務」機制，難怪私隱專員認為，政府的建議是變相將出售個人資料合法化。更有甚者，對於規管跨境個人資料流動，政府似乎避重就輕，僅表示會修訂條例，訂明資料使用者須以合約等方式，確保其資料處理者和分判商，不論在本港境內外，均遵守相關規定。
兩地保障有別應予重視
根據現行條例第三十三條，資料使用者如要將個人資料轉移到香港以外地方，他須確保該地方的法例對個人資料能夠提供相約程度的保障，事實上，私隱專員已擬備一份「範本合約」，以協助移轉人(資料使用者)和承轉人(資料處理者或分判商)遵守有關規定。不過，一旦具體涉及兩地跨境資料流動，仍有不少實際問題尚待解決：首先，眾所周知，基於「一國兩制」，兩地法制不同，對私隱(國內通稱隱私)的保障更是大有差異，例如中國《民法通則》並未將隱私權確定為一項獨立的人格權，只能借助司法解釋並通過保護個人名譽權的方式，間接保護隱私。港人當然期望，國家未來可以制訂專項法例保護隱私，但遠水不能救近火，兩地理應透過政府層面的磋商和協議，為兩地之間跨境資料流動提供適切的規管措施。其次，僅靠企業自律或相互訂立合約並不足夠，私隱專員公署也須要盡快制訂關於跨境處理個人資料的新指引。
筆者曾聽到一些駐港跨國企業主管公開表示，他們決定選擇在港設立亞太區域總部或數據中心的一個重要考慮因素，是本港對資訊安全和私隱保障有具體的法例和政策措施，這是香港的競爭優勢之一，不容有失。由此看來，即使本港已在法例上建立起保障個人私隱的堤壩，卻在跨境個人資料流動的規管方面出現缺口，是頗令人憂慮的。所以，完善對跨境個人資料流動的規管，特區政府和私隱專員公署都絕不應等閒視之。
|
