个案简述

（行政上诉案件第 46/2022号）

个人资料的使用 — 收购品牌后客户个人资料的跨品牌查阅及使用 — 《私隐条例》第63B条下尽职审查的豁免 — 《私隐条例》第65(3)条下的抗辩 — 程序不当 — 正确行使酌情权发出执行通知

聆讯委员会成员：
孙靖干资深大律师（副主席）
陈浩升先生（委员）
容慧慈女士（委员）

裁决理由书日期 : 2025年2月26日

投诉内容

本上诉源于两宗针对上诉人所收购的品牌的投诉。在首宗投诉个案中，投诉人带同其女儿到品牌A向某医生求诊。其后，投诉人得悉其女儿的个人资料在该医生加入上诉人旗下另一品牌时被转移至该品牌。在另一宗投诉个案中，投诉人向品牌B提供了个人资料，但其后发现上诉人旗下另一品牌的职员曾查阅其个人资料。

私隐专员的决定

经调查后，私隐专员发现上诉人在收购品牌A及品牌B后，将两者客户的个人资料储存在上诉人的统一系统（该系统）中，并将客户的部分个人资料供旗下28个品牌透过该系统互用。此安排令不同品牌的前线职员能够查阅相关的个人资料，惟上诉人不曾就该安排向客户征求订明同意。上诉人亦没有以任何方式通知被收购的品牌的既有客户有关收购的事宜，更未有向他们提供上诉人的私隐政策。

私隐专员认为，上述安排与当初收集投诉人的个人资料的目的不一致，因而上诉人违反了保障资料第3原则的规定。私隐专员向上诉人发出执行通知，指示上诉人纠正其违反事项，以及防止同类违反的行为再发生。上诉人不满私隐专员的决定，遂向行政上诉委员会（委员会）提出上诉。

上诉

委员会确认私隐专员的决定，并基于下述理由驳回上诉人的上诉：

1. 委员会同意私隐专员的调查结果，认为上诉人旗下品牌的前线职员能透过上诉人的统一系统，使用及跨品牌查阅客户的个人资料。
2. 委员会强调，品牌A或品牌B所收集的个人资料原拟使用于由该等品牌所提供的服务，而非用于由同一服务领域内或同一集团内其他品牌所提供的服务。此外，由于其他品牌查阅个人资料并无便利品牌A或品牌B提供服务，因此，个人资料的互用与原先的收集目的并无直接关联。虽然上诉人的收集个人资料声明（该声明）允许跨品牌查阅个人资料，但该声明仅适用于就该声明给予了同意的新客户，而并不适用于相关品牌在被上诉人收购前所收集的个人资料。
3. 由于本案涉及的是上诉人作出收购后使用个人资料的情况，与尽职审查并不相关，因此《私隐条例》第63B条并不适用于本案。《私隐条例》第65(3)条亦不适用，因为问题并非源于雇员所作出的作为或从事的行为本身，而是源于该系统的设计及功能。
4. 委员会驳回了上诉人提出有关程序不当的指控。委员会指出，私隐专员并无法定责任提前披露执法行动及建议。此外，私隐专员已向上诉人提前提供了调查报告拟稿的相关部分，当中详述了其调查结果及理由。委员会确认，私隐专员在进行调查及取得任何资料时拥有灵活及广泛的酌情权，能按其认为合适的方式作出相关查询。

行政上诉委员会的决定

委员会驳回本上诉。

上载日期：2025年5月