【請廣傳】私隱條例為警察服務 市民私隱就賤過泥
第 1 頁
下一頁
皺皮紙箱
2019-7-4 07:33:55
尋日下晝，警察網罪科開記者會同人講未經資料當事人/資料使用者同意披露個人資料係刑事罪行。我發夢做過個人資料私隱嘅相關工作，對《私隱條例》有深入了解，想同大家一五一十解釋下究竟條《私隱條例》係點！
利申：唔好意思，幾個鐘前喺時事台出過同樣嘅post，但因為有巴絲話night mode睇唔清楚d字 (
https://lihkg.com/thread/1283058
)
，所以呢度post過
重點：
- 網民喺Facebook 揾到警察啲資料再披露，一般喺《私隱條例》下會受豁免
- 違反保障資料原則唔係刑事罪行
- 資料當事人同資料使用者係兩樣野黎，唔好偷換概念
- 公署一向都話網絡欺凌冇得做 但今次遇上警狗就突然就唔同講法
希望大家畀少少時間睇落去，唔好畀人咁易昆到！！
1. 咩係資料當事人同資料使用者？
《私隱條例》第2(1)條：
資料當事人 (data subject) 係指「就個人資料而言，指屬該資料的當事人的個人」
資料使用者 (data user) 係指「就個人資料而言，指獨自或聯同其他人或與其他人共同控制該資料的收集、持有、處理或使用的人」。
例子：
a) 警務處收集新入職/現職僱員嘅個人資料 →
警務處係資料使用者，僱員係資料當事人
b) 網民於社交平台收集警員嘅個人資料 →
網民係資料使用者，警員係資料當事人
2. 未得資料當事人同意披露佢嘅個人資料有冇違反私隱條例？
《私隱條例》附表1有六項保障資料原則。當中，保障資料第1原則同第3原則就同今次情況有關。
保障資料第1原則 (DPP1)：
資料使用者須以合法和公平的方法，收集他人的個人資料，其目的應直接與其職能或活動有關，亦須以切實可行的方法告知資料當事人收集其個人資料的目的，以及資料可能會被轉移給哪類人士。收集的資料是有實際需要的，而不超乎適度。
保障資料第3原則 (DPP3) ：
除非得到資料當事人自願和明確的同意，個人資料只限用於收集時述明的目的或直接相關的目的。
(
https://www.pcpd.org.hk/tc_chi/data_privacy_law/ordinance_at_a_Glance/ordinance.html
)
套落而家嘅情況：
a) 如果有人用唔合法公平嘅方法（例如偷呃拐騙、刻意誤導嘅方法）收集其他人嘅個人資料，可能違反DPP1。
b) 如果資料使用者當初收集個人資料嗰陣已經講明目的係擺上網分享，而後尾喺網上披露吻合當初個收集目的，就未必違反DPP3。
c) 如果d資料係未得資料當事人嘅同意，用左喺一d唔係收集資料時講明或者直接相關嘅目的（例如收集資料果陣就話d資料係自己珍藏，但結果用左黎派街坊），就可能違反DPP3。
不過
《私隱條例》第52條：
「由個人持有並只與其私人事務、家庭事務、家居事務有關的個人資料；或只是為消閒目的而如持有的個人資料，獲豁免而不受各保障資料原則所管限。」
所以一般黎講，如果因為同資料當事人相熟、係親朋戚友關係，或者係資料當事人自己將資料放上社交網站而被朋友睇到，跟住被朋友出賣將資料公開/披露出去，係好大機會獲《私隱條例》第52條豁免而不受保障資料原則（包括DPP3）規管。
亦因為咁，好多時男女朋友分手後喺社交網站/論壇公開另一半嘅資料，又或者有親朋戚友未經當事人同意拎左資料做諮詢人/擔保人，
《私隱條例》係管唔到
。
3. 未經資料當事人同意披露個人資料唔係刑事罪行！
所以要成功指控到有人違反DPP3，就要唔受《私隱條例》第52條豁免。舉個例，如果有人被前同事喺網上論壇公開個人資料，咁資料當事人就要指出前同事唔係因為私人事務而持有果d資料。如果前同事係因為做HR，所以接觸到呢d資料再公開，咁個前同事可能違反DPP3。但如果前同事係因為同當事人相熟，所以知道佢d資料，咁樣公開嘅話就會受《私隱條例》第52條豁免，而無違反DPP3。
不過，就算真係違反DPP3，根據
《私隱條例》第64A(2)(a)條，違反保障資料原則並不屬犯罪
。但私隱專員係可以向違反《私隱條例》嘅資料使用者發出執行通知，指示資料使用者糾正違反嘅情況，同防止有關情況再發生。
《私隱條例》第50A(1)條就話「資料使用者違反執行通知，即屬犯罪」
。換言之，初犯者違反《私隱條例》唔係犯罪，唔聽話再犯先係刑事罪行。
事實上，CX同香港寬頻之前果兩單資料外洩，影響咁多人，私隱專員亦都只可以出執行通知畀佢地，要佢地做改正措施。
所以如果有人講「未經資料當事人同意披露個人資料係刑事罪行」，呢個講法係唔準確。我會建議佢做下fact check先。
4. 披露未經資料使用者同意而取得嘅個人資料，係刑事罪行，但唔係咁用
警方今日講講下就講有被捕人士係未經資料使用者披露個人資料。呢個講法好奇怪。
《私隱條例》第64條
的確有寫：「任何人披露未經資料使用者同意而取自該資料使用者的某資料當事人的任何個人資料，而該項披露是出於以下意圖的，該人即屬犯罪 ——(a)獲取金錢得益或其他財產得益，不論是為了令該人或另一人受惠而獲取；或(b)導致該當事人蒙受金錢損失或其他財產損失。(2)如 ——(a)任何人披露未經資料使用者同意而取自該資料使用者的某資料當事人的任何個人資料；而(b)該項披露導致該當事人蒙受心理傷害，該人即屬犯罪。」
呢條條文其實係2012年修訂《私隱條例》先新加，同DPP3係有分別。有機會違反第64條嘅情況例如「醫院員工披露未經醫院同意所取得的某名人的健康紀錄，而有關披露對該名人造成心理傷害」；又或者，「手提電腦維修公司的員工於進行維修期間，未經（維修公司的）授權於某名人的手提電腦取得該名人的親暱照片並上載到互聯網，對該名人造成心理損害」（即係陳冠希案）。
(
https://www.pcpd.org.hk//tc_chi/resources_centre/publications/files/offence_disclosing_c.pdf
)
套落而家嘅情況，關鍵係：
1) 邊個係資料使用者？ （第1點講過資料當事人同資料使用者嘅分別。被公開資料嘅警員係呢件事上係資料當事人，唔係資料使用者。）
2) d資料係唔係未經資料使用者同意所取得先？
如果而家個情況係有警務處員工，未經警務處嘅同意披露同事嘅資料，而造成同事嘅心理損害，咁果個員工有機會觸犯《私隱條例》第64條。但如果個情況係有網民係警員嘅社交網站匯集呢d個人資料，咁網民先係資料使用者，並唔會因為咁違反第64條，相反係睇有冇違反保障資料原則。
事實上，呢條條文舉證門檻高，要有證據證明係某人披露資料，又要有資料使用者肯冒住公司聲譽受損嘅風險篤灰，所以好少聽有人會入到，靠嚇居多。
5. 咁私隱專員公署有咩可以做？
私隱專員公署出左份《網絡欺凌你要知》嘅單張，裡面有講：
「香港並未有規管網絡欺凌的法例，加上網絡欺凌活動涉及的範疇廣闊，當中包括誹謗、刑事恐嚇及侵犯知識產權等等，所以各個執法部門需要共同參與，從而援引不同的法例以規管相關活動。如張貼的訊息含有刑事成分例如刑事恐嚇，或涉及民事過失例如誹謗或可導致傷害的造假消息，你可以考慮報警或徵詢法律意見。如你不知道發放訊息人士的身份，你應儲存有關訊息，這或許有助提供線索追查犯事者。當網絡欺凌涉及收集及使用個人資料，資料使用者便須遵從《個人資料(私隱)條例》下保障資料原則的要求。」
(
https://www.pcpd.org.hk//tc_chi/resources_centre/publications/files/cyberbullying_c.pdf
)
不過，
《私隱條例》第37條規定，
投訴人提出投訴時必須具體指明被投訴者的身份，即提供被投訴者的姓名及聯絡資料。（只提供追尋被投訴者身份的途徑，例如網站或電話號碼，而沒有識別其身份的其他資料，一般來說是不足夠的）；及須提供足夠資料(在某些個案中，包括證人)，以支持其指稱。純粹推測是不足以支持投訴的，例如只是持有個人資料並不表示個人資料是以不公平的方法收集
。
即係話，你要投訴就要指明係邊個做，仲要提供被投訴者嘅姓名同聯絡方法。唔同警方查案，私隱專員公署下嘅投訴程序，舉證責任係投訴人身上。講唔出係邊個做，又或者唔夠證據就返屋企啦，所以年中有唔少人有冤無路數！
其實每年都有好多好多人被人網絡欺凌，被人係網上面公開資料。有人懷疑係反左面嘅前度做，有人話係財務公司做，有人就被不知名嘅網民搞。但總之指出唔到係邊個做，冇證據就跟進唔到。
Ads
皺皮紙箱
2019-7-4 07:34:37
最諷刺係平時做唔到嘅野，今次牽連到警察嘅時候，私隱專員黃繼兒就即刻出新聞稿話：
「私隱專員已主動聯絡若干相關的網上社交平台及討論區的營運商，並同時要求他們聯絡有關網民，要求他們立即移除及停止上載該等內容／帖文，並已聯同其他執法機構（包括警方）作出跟進……私隱專員再三強調，網民必須尊重他人個人資料私隱；網上社交平台及討論區的營運商亦須履行其法定及企業道德責任，停止提供其平台予任何人作出不合法和損害個人資料私隱的行為。類似的網絡欺凌行為亦可能涉及其他民事和刑事的法律責任。」
(
https://www.pcpd.org.hk/tc_chi/news_events/media_statements/press_20190614.html
)
不過佢本人2018年9月出席香港大學一個名為「Cyberbullying from a Personal Data Privacy Perspective」嘅研討會果陣，其中一頁PPT slide (p.20) 就話
「PCPD is not empowered to direct a forum provider / webpage operator to remove the cyberbullying content」
(
https://www.pcpd.org.hk/english/news_events/speech/files/HKU_Cyberbullying_Conference_4Sept2018.pdf
)
hahamelon
2019-7-4 07:36:03
推
Kaybb
2019-7-4 07:38:26
推到上熱門
億京太子爺
2019-7-4 07:39:53
此回覆已被刪除
你是力埸
2019-7-4 07:41:44
推
我要屙尿尿
無髮可修飾的首
2019-7-4 07:51:05
我無野講
:^(
噪音
2019-7-4 07:57:18
:^(
美彩寶寶
2019-7-4 07:59:07
pish
七十二個八
2019-7-4 08:01:50
推
要出簡化板 等多啲人易明
施旻奇俠
2019-7-4 08:12:46
巴打好有心
Ads
夏が終わった
2019-7-4 08:14:24
推
泡沫花火
2019-7-4 08:55:28
多謝巴打專業講解
3M耳塞
2019-7-4 08:56:46
我冇野講
我要搵律師 (冇電話就問佢拎律師聯絡冊)
冇律師 我唔簽任何文件
我有權唔解鎖
我要食飯 飲水 拎毛氈 去廁所
我唔舒服想去醫院
泡沫花火
2019-7-4 09:05:49
多謝巴打專業講解
一碌鳩打柒一船人
2019-7-4 09:10:59
我無嘢講
dthdefj
2019-7-4 09:45:19
我冇野講
托住個七
2019-7-4 09:47:24
真係長知識
:^(
:^(
:^(
:^(
工業用革命口罩
2019-7-4 09:59:57
官官相衛 屌佢老母
哈佛醫科生
2019-7-4 10:01:05
我冇野講
我要搵律師 (冇電話就問佢拎律師聯絡冊)
冇律師 我唔簽任何文件
我有權唔解鎖
我要食飯 飲水 拎毛氈 去廁所
我唔舒服想去醫院
基信處男RyanPun
2019-7-4 10:25:02
我冇野講
我要搵律師 (冇電話就問佢拎律師聯絡冊)
冇律師 我唔簽任何文件
我有權唔解鎖
我要食飯 飲水 拎毛氈 去廁所
我唔舒服想去醫院
:^(
Ads
Marlon_Brando
2019-7-4 10:25:20
推
今生無緣
2019-7-4 10:29:39
Push
夢如人生
2019-7-4 10:37:56
:^(
來生不做人
2019-7-4 12:09:09
我無嘢講
第 1 頁
下一頁
利申：唔好意思，幾個鐘前喺時事台出過同樣嘅post，但因為有巴絲話night mode睇唔清楚d字 (https://lihkg.com/thread/1283058)，所以呢度post過
重點：
- 網民喺Facebook 揾到警察啲資料再披露，一般喺《私隱條例》下會受豁免
- 違反保障資料原則唔係刑事罪行
- 資料當事人同資料使用者係兩樣野黎，唔好偷換概念
- 公署一向都話網絡欺凌冇得做 但今次遇上警狗就突然就唔同講法
希望大家畀少少時間睇落去，唔好畀人咁易昆到！！
1. 咩係資料當事人同資料使用者？
《私隱條例》第2(1)條：
資料當事人 (data subject) 係指「就個人資料而言，指屬該資料的當事人的個人」
資料使用者 (data user) 係指「就個人資料而言，指獨自或聯同其他人或與其他人共同控制該資料的收集、持有、處理或使用的人」。
例子：
a) 警務處收集新入職/現職僱員嘅個人資料 → 警務處係資料使用者，僱員係資料當事人
b) 網民於社交平台收集警員嘅個人資料 → 網民係資料使用者，警員係資料當事人
2. 未得資料當事人同意披露佢嘅個人資料有冇違反私隱條例？
《私隱條例》附表1有六項保障資料原則。當中，保障資料第1原則同第3原則就同今次情況有關。
保障資料第1原則 (DPP1)：資料使用者須以合法和公平的方法，收集他人的個人資料，其目的應直接與其職能或活動有關，亦須以切實可行的方法告知資料當事人收集其個人資料的目的，以及資料可能會被轉移給哪類人士。收集的資料是有實際需要的，而不超乎適度。
保障資料第3原則 (DPP3) ：除非得到資料當事人自願和明確的同意，個人資料只限用於收集時述明的目的或直接相關的目的。
(https://www.pcpd.org.hk/tc_chi/data_privacy_law/ordinance_at_a_Glance/ordinance.html)
套落而家嘅情況：
a) 如果有人用唔合法公平嘅方法（例如偷呃拐騙、刻意誤導嘅方法）收集其他人嘅個人資料，可能違反DPP1。
b) 如果資料使用者當初收集個人資料嗰陣已經講明目的係擺上網分享，而後尾喺網上披露吻合當初個收集目的，就未必違反DPP3。
c) 如果d資料係未得資料當事人嘅同意，用左喺一d唔係收集資料時講明或者直接相關嘅目的（例如收集資料果陣就話d資料係自己珍藏，但結果用左黎派街坊），就可能違反DPP3。
不過《私隱條例》第52條：
「由個人持有並只與其私人事務、家庭事務、家居事務有關的個人資料；或只是為消閒目的而如持有的個人資料，獲豁免而不受各保障資料原則所管限。」
所以一般黎講，如果因為同資料當事人相熟、係親朋戚友關係，或者係資料當事人自己將資料放上社交網站而被朋友睇到，跟住被朋友出賣將資料公開/披露出去，係好大機會獲《私隱條例》第52條豁免而不受保障資料原則（包括DPP3）規管。
亦因為咁，好多時男女朋友分手後喺社交網站/論壇公開另一半嘅資料，又或者有親朋戚友未經當事人同意拎左資料做諮詢人/擔保人，《私隱條例》係管唔到。
3. 未經資料當事人同意披露個人資料唔係刑事罪行！
所以要成功指控到有人違反DPP3，就要唔受《私隱條例》第52條豁免。舉個例，如果有人被前同事喺網上論壇公開個人資料，咁資料當事人就要指出前同事唔係因為私人事務而持有果d資料。如果前同事係因為做HR，所以接觸到呢d資料再公開，咁個前同事可能違反DPP3。但如果前同事係因為同當事人相熟，所以知道佢d資料，咁樣公開嘅話就會受《私隱條例》第52條豁免，而無違反DPP3。
不過，就算真係違反DPP3，根據《私隱條例》第64A(2)(a)條，違反保障資料原則並不屬犯罪。但私隱專員係可以向違反《私隱條例》嘅資料使用者發出執行通知，指示資料使用者糾正違反嘅情況，同防止有關情況再發生。《私隱條例》第50A(1)條就話「資料使用者違反執行通知，即屬犯罪」。換言之，初犯者違反《私隱條例》唔係犯罪，唔聽話再犯先係刑事罪行。
事實上，CX同香港寬頻之前果兩單資料外洩，影響咁多人，私隱專員亦都只可以出執行通知畀佢地，要佢地做改正措施。
所以如果有人講「未經資料當事人同意披露個人資料係刑事罪行」，呢個講法係唔準確。我會建議佢做下fact check先。
4. 披露未經資料使用者同意而取得嘅個人資料，係刑事罪行，但唔係咁用
警方今日講講下就講有被捕人士係未經資料使用者披露個人資料。呢個講法好奇怪。
《私隱條例》第64條的確有寫：「任何人披露未經資料使用者同意而取自該資料使用者的某資料當事人的任何個人資料，而該項披露是出於以下意圖的，該人即屬犯罪 ——(a)獲取金錢得益或其他財產得益，不論是為了令該人或另一人受惠而獲取；或(b)導致該當事人蒙受金錢損失或其他財產損失。(2)如 ——(a)任何人披露未經資料使用者同意而取自該資料使用者的某資料當事人的任何個人資料；而(b)該項披露導致該當事人蒙受心理傷害，該人即屬犯罪。」
呢條條文其實係2012年修訂《私隱條例》先新加，同DPP3係有分別。有機會違反第64條嘅情況例如「醫院員工披露未經醫院同意所取得的某名人的健康紀錄，而有關披露對該名人造成心理傷害」；又或者，「手提電腦維修公司的員工於進行維修期間，未經（維修公司的）授權於某名人的手提電腦取得該名人的親暱照片並上載到互聯網，對該名人造成心理損害」（即係陳冠希案）。
(https://www.pcpd.org.hk//tc_chi/resources_centre/publications/files/offence_disclosing_c.pdf)
套落而家嘅情況，關鍵係：
1) 邊個係資料使用者？ （第1點講過資料當事人同資料使用者嘅分別。被公開資料嘅警員係呢件事上係資料當事人，唔係資料使用者。）
2) d資料係唔係未經資料使用者同意所取得先？
如果而家個情況係有警務處員工，未經警務處嘅同意披露同事嘅資料，而造成同事嘅心理損害，咁果個員工有機會觸犯《私隱條例》第64條。但如果個情況係有網民係警員嘅社交網站匯集呢d個人資料，咁網民先係資料使用者，並唔會因為咁違反第64條，相反係睇有冇違反保障資料原則。
事實上，呢條條文舉證門檻高，要有證據證明係某人披露資料，又要有資料使用者肯冒住公司聲譽受損嘅風險篤灰，所以好少聽有人會入到，靠嚇居多。
5. 咁私隱專員公署有咩可以做？
私隱專員公署出左份《網絡欺凌你要知》嘅單張，裡面有講：「香港並未有規管網絡欺凌的法例，加上網絡欺凌活動涉及的範疇廣闊，當中包括誹謗、刑事恐嚇及侵犯知識產權等等，所以各個執法部門需要共同參與，從而援引不同的法例以規管相關活動。如張貼的訊息含有刑事成分例如刑事恐嚇，或涉及民事過失例如誹謗或可導致傷害的造假消息，你可以考慮報警或徵詢法律意見。如你不知道發放訊息人士的身份，你應儲存有關訊息，這或許有助提供線索追查犯事者。當網絡欺凌涉及收集及使用個人資料，資料使用者便須遵從《個人資料(私隱)條例》下保障資料原則的要求。」
(https://www.pcpd.org.hk//tc_chi/resources_centre/publications/files/cyberbullying_c.pdf)
不過，《私隱條例》第37條規定，投訴人提出投訴時必須具體指明被投訴者的身份，即提供被投訴者的姓名及聯絡資料。（只提供追尋被投訴者身份的途徑，例如網站或電話號碼，而沒有識別其身份的其他資料，一般來說是不足夠的）；及須提供足夠資料(在某些個案中，包括證人)，以支持其指稱。純粹推測是不足以支持投訴的，例如只是持有個人資料並不表示個人資料是以不公平的方法收集。
即係話，你要投訴就要指明係邊個做，仲要提供被投訴者嘅姓名同聯絡方法。唔同警方查案，私隱專員公署下嘅投訴程序，舉證責任係投訴人身上。講唔出係邊個做，又或者唔夠證據就返屋企啦，所以年中有唔少人有冤無路數！
其實每年都有好多好多人被人網絡欺凌，被人係網上面公開資料。有人懷疑係反左面嘅前度做，有人話係財務公司做，有人就被不知名嘅網民搞。但總之指出唔到係邊個做，冇證據就跟進唔到。