1. 个人资料私隐专员公署（「公署」）的调查揭示，「香港预防协会有限公司」（「预防协会」）与「翔汇保险策划有限公司」（「翔汇策划」）透过电话推广活动，采用误导、甚至俨如欺诈的手法吸引市民提供个人资料，然后将资料用以进行促销，违反《个人资料(私隐)条例》（「条例」）中订明的收集和使用个人资料保障原则。
2. 在过去两年，预防协会共收集了约36万名市民的个人资料，以转售给翔汇策划促销保险产品之用。
3. 个人资料私隐专员蒋任宏提醒从事直销活动的机构，不论是自行收集个人资料或从其他来源取得目标客户的个人资料以作直接促销产品或服务之用，都应该依循条例的要求，尊重市民对个人资料的自主权。条例中加强规管直销活动的条文已于4月1日生效，若本案发生在今天，涉案机构可能触犯新条文而须负上刑责，被罚款及监禁。
4. 专员亦呼吁市民收到推广电话时，应小心衡量奖赏的真正代价，提防自己的个人资料被滥用。
背景
5. 多名市民向公署作出投诉，指预防协会以「响应全民医疗体检计划」为名，通过电话收集他们的姓名、性别、流动电话号码、住址及部分身份证号码以作登记免费身体检查，但他们其后收到翔汇策划发出的「AEGON Direct Club」会员迎新信件及迎新礼品。在成为「AEGON Direct Club」会员后，翔汇策划会不时使用他们提供的个人资料促销保险产品。
6. 投诉人收到迎新信件后，才发现预防协会致电他们的背后目的是为了取得他们的个人资料，以供翔汇策划在直接促销中使用。投诉人不满预防协会没有在电话中明确告知他们预防协会拟将他们的个人资料交给翔汇策划作直接促销用途。投诉人亦不满翔汇策划在未得他们的同意下，使用他们的个人资料作直接促销，遂向公署作出投诉。
7. 公署迄今收到11宗查询及五宗投诉个案，专员就三宗投诉展开正式调查。
调查结果
8. 预防协会的推广员在电话中要求市民提供个人资料以登记免费验身服务，而实际上将收集所得的资料转售给翔汇策划，以供翔汇作促销保险产品之用。
9. 专员认为，预防协会及翔汇策划皆违反了条例订出的保障资料原则：
预防协会
- 用不公平手法收集投诉人的个人资料，例如讹称为响应「全民验身运动」而推广免费验身，误导投诉人相信该计划获政府认许，推广员亦没有清楚交代个人资料会转移给翔汇策划作直销用途，上述不公平手法违反第1(2)原则（收集资料原则）；
- 推广员没有采取合理切实可行的步骤明确告知当事人，其个人资料会被转移给第三者；提及翔汇策划时没有交代其业务性质，违反第1(3)原则（收集资料原则）；
- 转售投诉人的个人资料，与原先收集个人资料的目的（登记免费验身服务）不相符，亦没有直接关系，而事前未有取得当事人明确和自愿的同意，违反第3原则（使用资料原则）。
翔汇策划
- 为识别目标客户以防止他们重复享用身体检查优惠，而收集他们的部分身份证号码是超乎适度(因其他已提供的个人资料已足够认证之用)，违反第1(1)原则（收集资料原则）；及
- 使用投诉人的个人资料进行直接促销活动，这用途与原本收集资料的目的（登记免费验身服务）不相符和无直接关系，而事前亦未有取得他们自愿及明示的同意，违反第3原则（使用资料原则）。
执法行动
10. 经公署介入后，翔汇策划已停止使用投诉人的个人资料作直接促销，并已销毁他们的个人资料，及其他未有透过翔汇策划购买保险产品的人士的部分身份证号码。不过，为了纠正违例事项，以及防止违例的事宜再发生，专员已根据条例第50(1)条分别向预防协会及翔汇策划送达执行通知。
11. 执行通知指令预防协会及翔汇策划制定相关政策、工作指引及/或程序，防止日后在收集及使用个人资料进行推广活动时（包括将个人资料转移给他人作直接促销之用），违反条例第VIA部有关直接促销的规定。
12. 另外，专员亦指令翔汇策划在今年9月30日或之前，销毁所有在涉案的推广计划下从预防协会取得的个人资料（当中由预防协会转介，已透过翔汇策划购买保险产品的资料当事人的个人资料除外）。除非翔汇策划在上述日期前遵守条例直销规管新条文（第VIA部）的规定，使用有关个人资料作直接促销，则作别论。
13. 根据条例，违反执行通知的规定即属犯罪，违者一经定罪可被处罚款五万元（第5级罚款）及监禁两年。
专员的评论
14. 蒋任宏表示：「2010 年八达通公司透过奖赏计划收集的个人资料转售图利一事东窗事发后，引起广泛关注，我期望公署就该事件所发出的调查报告可警醒资料使用者在收集及使用个人资料作直接促销时必须尊重资料当事人的私隐。遗憾的是，从近期多宗个案，包括今次调查的个案中可见，不少企业对保障个人资料仍然抱残守缺，态度轻忽，与市民的期望及条例的要求存在极大的鸿沟。」
15. 「我在2012年10月公布的调查报告指出，屈臣氏集团（香港）有限公司透过百佳及屈臣氏营运的易赏钱计划收集及使用会员的个人资料，在两方面重蹈八达通公司的复辙：（一）虽然用其他联络资料已足以验证顾客的身份，但屈臣氏公司仍然收集部分身份证号码作验证之用。（二）屈臣氏公司没有在收集个人资料声明中清楚交代收集个人资料的用途及资料承转人的类别。我在八达通事件调查报告中批评，用『附属公司』、『联营公司』、『第三方』及『向我们负有保密责任的任何其他人士』等字眼描述资料承转人，过于笼统；但屈臣氏公司却照办煮碗。」
16. 「在今次调查的个案中，预防协会及翔汇策划同样未有汲取八达通事件的教训，不必要地收集市民的部分身份证号码作验证之用。更甚的是，预防协会在收集个人资料的过程中，一如八达通事件中的做法，采用了误导﹑甚至俨如欺诈的手法。预防协会显然是有计划地将目标客户的个人资料转售给翔汇策划作促销之用，借此图利，但没有明确告知当事人，令他们在不知情的情况下提供了个人资料。而翔汇策划事先曾批准预防协会推广员的讲稿，在事件上亦难辞其咎；这种不负责任，罔顾法纪的行为应该受到公开谴责。」
17. 蒋任宏总结：「我殷切期望作为资料使用者的商业机构自发地做好保障个人资料私隐的工作，以回应客户的期望；企业应视尊重个人资料私隐为良好公司管治不可或缺的一环，付诸实践； 而毋须待我运用权力制裁违规者时才亡羊补牢。『千里之行，始于足下』，企业最基本应该立即检讨它们的私隐政策及守则，以确保符合条例要求。进而求上，企业应建立尊重个人资料私隐的公司文化，从而赢取顾客的信任，并提升其营运竞争力。」
管规直销新条文已生效 违规后果严重
18. 专员再三提醒机构，《2012年个人资料(私隐)(修订)条例》中加强规管直销活动的条文己于今年4月1 日生效，触犯新条文的后果严重。在未获资料当事人同意而将其个人资料转交第三者作促销之用，最高刑罚是罚款50万元及监禁3年；如该转移是为得益，最高刑罚是罚款100万元及监禁5年。没有明确向直销对象提供直销的通知及取得其同意，而使用其个人资料作促销之用，亦属违例，罚则是罚款50万元和监禁三年。相信新条文的刑罚可对资料使用者起阻吓作用。
19. 详细调查结果请参阅调查报告。报告可于公署的办事处（香港湾仔皇后大道东248号阳光中心12楼）索取，或在网站下载： www.pcpd.org.hk/tc_chi/resources_centre/publications/files/R13_1138_c.pdf
－完－