個人資料私隱專員（下稱「專員」）
吳斌今日完成一項有關市民投訴香港一所遊樂主題公園（下稱「該公園」）
的調查工作。個案與該公園收集及記錄訪客的指紋資料有關。
背
景
投訴人一家四口（包括他自己在內）購買了四張可多次進入公園的門券。投訴人一家使用門券進入該公園時，被要求進行指紋掃描。投訴人不滿該公園並沒有提供其
他較不侵犯私隱的方式以代替提供指紋資料。
更令投訴人不滿的是當他行使《個人資料（私隱）條例》（下稱「條例」）
第18條賦予他的查閱資料的權利，要求該公園提供他的「生物特徵指紋掃描」（biometric fingerprint
scan）複本時，遭該公園拒絕。該公園告知投訴人他們並無收集或儲存他的指紋掃描。
專
員的行動
專員在2009年9月決定根據條例第38(a)條展開調查，調查重點是該公園有否收集任何個人資料；如有的話，有關收集是否必需、足夠但不超乎適度及以在
有關情況下合法及公平的方式收集。
基於本案涉及多項複雜的資訊科技課題，在進行調查時遇到一定的困難。為全面了解該公園的票務系統（下稱「該系統」）的運作，公署的職員曾到該公園進行實地視察，並向有關職員及該系統的
供應商錄取口供。
該
系統
該公園表示，他們會為選擇使用該系統的訪客進行指紋掃描。訪客在入閘時將其入場證插入讀票機後，該系統會從訪客的食指表面讀取的一些點數以產生一組數字－
「Initial Numeric Code」（下稱「INC」），
而INC會與該入場證背面的磁帶所載有的識別碼（下稱「該識別碼」）
聯繫起來。
當該系統儲存INC後，有關的指紋影像便會即時銷毁。INC會被加密並儲存在一個安全的資料庫內，並會於入場證到期後的一星期內被刪除。聯繫訪客及其
INC的該識別碼會被儲存於由訪客所保管的入場證內。
當訪客再次進入該公園時，他會被要求將入場證插入讀票機內。讀票機會將該識別碼解密以核實有關入場證是否有效，並會從INC資料庫內提取該識別碼所聯繫的
INC。訪客需要再次掃描其食指以產生一組新的數據，與自資料庫提取所得的INC作比較。如比較所得的誤差在可接受的範圍內，訪客便獲准再次進入該公園。
專
員的意見
專員所得的證據及資料顯示投訴人曾購買四張「酒店專用連日門票」（有效期為兩天）供他及家人到訪該公園。該四人中無人選擇於入場證上登記姓名。該公園只收
集了他們的指紋影像以產生INC，用以核實入場證是否有效，除此之外該公園並無於入口處收集投訴人及其家人其他可識辨他們身份的資料。
雖然該公園持有投訴人作為酒店住客的資料，然而該公園並不能切實可行地將有關的INC與投訴人聯繫，因為該公園不能識辨那張入場證是投訴人所使用的。要構
成條例下的「個人資料」的其中一項要求是，從有關資料可直接或間接識辨該名人士的身份是切實可行的。在本案中，由於該公園不能切實可行地獨一無二識辨與投
訴人有關的INC，因此有關資料並不構成條例下的「個人資料」。
專員認為該公園在本投訴個案中並無違反條例的規定。
專
員對其他收集及保存訪客個人資料的情況的意見
以下意見並不屬專員在上述投訴所作出的決定。
專員留意到該公園會在下列情況收集訪客的個人資訊：─
(a) 當只有一名訪客購買「酒店專用連日門票」，該公園可能會透過該識別碼將該名訪客的個人資料及INC連繫；
(b) 當訪客購買全年通行證，該公園會收集其個人資料及INC。
由個人的指紋影像轉化的數字代碼是否屬個人資料經常引起爭議。一些人認為有關的資料只是一些無意義的數字，因此並不屬可識辨個人身份的資料，而且有關數字
代碼亦不能再次將指紋影像重現。
專員曾經作出的看法是，雖然個人的指紋影像已轉化成數字代碼，但該些從該名個人的手指表面所讀取的點數亦可能足以辨識其身份。使用指紋識辨系統的目的在於
識辨或核實一名個人的身份。因此，該些代碼如與該名個人的其他身份識辨資料聯繫起來時，便會被認為屬於「個人資料」。
因此，INC在特定的情況下（例如當訪客同為個人通行證的購買及使用者時）則可能構成訪客的「個人資料」。
專員有以下見解：
(a) 提供收集指紋資料以外的選擇
該公園可讓訪客選擇以附有照片的身份證明文件（例如：護照、身份證等）以代替掃描收集訪客的指紋影像。有關的選擇已清楚地在入場證及該公園的網頁上顯示及
已向首次進入該公園的訪客講解。
(b) 資料當事人的同意
專員尊重資料當事人自願提供其指紋資料作特定用途的決定。該公園只是一個娛樂服務提供者，有別於其他與資料當事人存有特定關係的資料使用者（例如：僱主和
僱員，學校和學生）。在這情況下，並不存在因雙方談判能力不均而產生的不當影響的合理懷疑。因此，如訪客同意提供指紋資料，有關的同意應為真實的，因為訪
客可自由地選擇以附有照片的身份證明文件作為代替，或甚至選擇不遊覽該公園。
(c) 不涉及收集小童的指紋資料
專員注意到該公園並不接受3至11歲的小童提供指紋資料以進入該公園之用。小童必須使用附有照片的身份證明文件入場。
(d) 適當處理所收集的指紋資料
該系統的設計是將指紋資料及訪客的其他個人資料分開儲存在兩個分離的資料庫。這能減低未獲准許或意外查閱INC資料庫的風險及影響。此外，該系統的特定設
計是不容許INC資料庫被查看或輸出資料。專員有理由信納該公園在指紋資料的保留、處理及保安方面已採取了充分的措施。
專員尊重資料當事人所作出的個人自決
吳斌表示：「我尊重個人的自由意願去提供其指紋資料以進出設施及獲得服務，前提是
有關決定必須是在獲得充分的知會及沒有受到不當的影響下而作出的。其中一個重要的考量因素，是該公園已向訪客提供選擇以決定是否使用其指紋資料進入該公
園。該公園並無強迫訪客必須提供其生物辨識資料。經審查其票務系統後，本人欣悉該公園以謹慎態度去管理及已採取措施以處理私隱方面的風險。」
完 |
聲
明∕版 權 
