個案簡述

（行政上訴案件第 46/2022號）

個人資料的使用 — 收購品牌後客戶個人資料的跨品牌查閱及使用 — 《私隱條例》第63B條下盡職審查的豁免 — 《私隱條例》第65(3)條下的抗辯 — 程序不當 — 正確行使酌情權發出執行通知

聆訊委員會成員：
孫靖乾資深大律師（副主席）
陳浩升先生（委員）
容慧慈女士（委員）

裁決理由書日期 : 2025年2月26日

投訴內容

本上訴源於兩宗針對上訴人所收購的品牌的投訴。在首宗投訴個案中，投訴人帶同其女兒到品牌A向某醫生求診。其後，投訴人得悉其女兒的個人資料在該醫生加入上訴人旗下另一品牌時被轉移至該品牌。在另一宗投訴個案中，投訴人向品牌B提供了個人資料，但其後發現上訴人旗下另一品牌的職員曾查閱其個人資料。

私隱專員的決定

經調查後，私隱專員發現上訴人在收購品牌A及品牌B後，將兩者客戶的個人資料儲存在上訴人的統一系統（該系統）中，並將客戶的部分個人資料供旗下28個品牌透過該系統互用。此安排令不同品牌的前線職員能夠查閱相關的個人資料，惟上訴人不曾就該安排向客戶徵求訂明同意。上訴人亦沒有以任何方式通知被收購的品牌的既有客戶有關收購的事宜，更未有向他們提供上訴人的私隱政策。

私隱專員認為，上述安排與當初收集投訴人的個人資料的目的不一致，因而上訴人違反了保障資料第3原則的規定。私隱專員向上訴人發出執行通知，指示上訴人糾正其違反事項，以及防止同類違反的行為再發生。上訴人不滿私隱專員的決定，遂向行政上訴委員會（委員會）提出上訴。

上訴

委員會確認私隱專員的決定，並基於下述理由駁回上訴人的上訴：

1. 委員會同意私隱專員的調查結果，認為上訴人旗下品牌的前線職員能透過上訴人的統一系統，使用及跨品牌查閱客戶的個人資料。
2. 委員會強調，品牌A或品牌B所收集的個人資料原擬使用於由該等品牌所提供的服務，而非用於由同一服務領域內或同一集團內其他品牌所提供的服務。此外，由於其他品牌查閱個人資料並無便利品牌A或品牌B提供服務，因此，個人資料的互用與原先的收集目的並無直接關聯。雖然上訴人的收集個人資料聲明（該聲明）允許跨品牌查閱個人資料，但該聲明僅適用於就該聲明給予了同意的新客戶，而並不適用於相關品牌在被上訴人收購前所收集的個人資料。
3. 由於本案涉及的是上訴人作出收購後使用個人資料的情況，與盡職審查並不相關，因此《私隱條例》第63B條並不適用於本案。《私隱條例》第65(3)條亦不適用，因為問題並非源於僱員所作出的作為或從事的行為本身，而是源於該系統的設計及功能。
4. 委員會駁回了上訴人提出有關程序不當的指控。委員會指出，私隱專員並無法定責任提前披露執法行動及建議。此外，私隱專員已向上訴人提前提供了調查報告擬稿的相關部分，當中詳述了其調查結果及理由。委員會確認，私隱專員在進行調查及取得任何資料時擁有靈活及廣泛的酌情權，能按其認為合適的方式作出相關查詢。

行政上訴委員會的決定

委員會駁回本上訴。

上載日期：2025年5月