Skip to content

個案簡述

個案簡述

有關保障資料第4原則 - 個人資料的保安的個案簡述

參考編號.:2019C10

職員在未經機構同意下透過會員通訊表達其政治理念 — 《私隱條例》第65 條、保障資料第3 及4 原則

投訴內容

投訴人是一機構的會員。投訴人收到一封由該機構會員部發出的電郵,內容除了通知他因應近日的社會事件的最新會員服務安排外,還包括一些對近期社會事件的意見。翌日,投訴人收到署名為該機構會員部主任發出的電郵,表示日前電郵中的意見是他以個人名義撰寫的,並不代表該機構的立場。投訴人不滿該主任如此使用其個人資料作發表政見之用,遂向私隱公署投訴該機構。

結果

該機構向私隱公署解釋,所有負責處理會員事務的職員,在發電郵前會通知經理或以上級別的管理人員電郵的大概內容,並在取得管理人員的同意後才發出。該機構表示一直有向職員講解發出上述會務電郵的做法和程序,以及電郵應包含的內容。本個案源於會員部主任在得到管理人員同意其初稿內容後,擅自更改電郵內容所致。

私隱公署認為,會員在入會時向該機構提供個人資料,理應只預期其資料被用於與會員事務有關的事情上,而不會預期其資料被用於接收該機構員工的個人政見。

因應本個案,該機構要求所有需處理會員事務的職員必須在草擬電郵內容後,呈交管理人員批核才發出,批核後職員不得再修改內容。該機構並就發出會務電郵的做法和程序,制訂書面準則規範職員的行事。

借鑑

在現今的數碼年代,透過電子通訊向會員發放機構的最新消息無疑是方便快捷。然而,僱主亦須就職員如何使用會員的個人資料作出規範,以平衡科技帶來的便利及個人資料的保安。

雖然是次事件看來只涉及個別員工的行為,但根據《私隱條例》第65(1) 條的規定,僱主作為資料使用者須為僱員的作為負責,僱主必須採取步驟確保僱員依從既定指引行事,例如制訂書面政策供職員遵循,並監察有關政策的實行情況。相反,單靠個別職員口耳相傳的提醒,並非一個可靠而有系統的監察機制。機構應將個人資料保障視為企業管治責任,並將之納入日常業務不可或缺的一環,由上而下貫徹地在機構中執行有關保障個人資料的政策,以彰顯問責原則。

上載日期:2020年9月


個案種類 : 按條例規定/ 保障資料原則/ 實務守則/ 指引分類 : 按題目/內容分類: