新聞稿

一間時裝貿易公司以監察員工考勤為由 過度及不公平收集僱員的指紋資料

（2015年7月21日） 香港個人資料私隱專員公署（「公署」）今日發表一份調查報告，指時裝貿易公司坤麗（亞洲）有限公司（「該公司」）以保安及監察員工考勤為由收集僱員的指紋資料，公署認為其資料收集屬超乎適度和不公平。

2. 個人資料私隱專員 （「專員」）蔣任宏在今日的新聞發佈會上表示：「指紋識別裝置的應用日趨普及，但我們不容因此在私隱和資料保障方面作出妥協。今次的個案是一個活生生的例子，該公司為求取方便及因這些裝置價格相宜 ，而忽略當中潛在的私隱問題。個案亦顯示若盲目追崇科技，而忽視和低估了科技帶來的私隱風險，私隱往往成為科技發展的犧牲品。追求科技卓越無可厚非，但我們不應接受以不負責任的態度來使用科技。」

專員的調查結果和決定

3. 專員有下述觀察：

1. 基於指紋資料具獨特和不變的特性，必須加以保障，免致個人身份被盜用，故此必須要有充份的理據方可收集及使用指紋資料。
2. 該公司已安裝多項保安措施以保障公司財物，當中包括閉路電視鏡頭、數碼門鎖、一般門鎖及鏈鎖，故此安裝指紋識別裝置作為夜間保安措施，實屬多此一舉。
3. 該公司曾發生多次日間失竊事件，犯案者均是其員工和顧客。因此即使安裝了指紋識別裝置以防止外人擅自進入，亦無助防止盜竊案件發生；反之透過已安裝的閉路電視錄影的影像去追查這些失竊事件，並從中成功認出犯案者 ，更能發揮保安功能。
4. 該公司只有20名僱員，要監察僱員考勤，使用較少干犯僱員私隱的方法來取代指紋識別裝置亦相對容易，如利用密碼或智能卡等，均無須額外收集或儲存個人資料。

4. 根據上述觀察，專員認為該公司超乎適度地收集僱員的指紋資料，違反了《個人資料（私隱）條例》（「條例」）的保障資料第1(1)原則。

5. 此外，專員發現該公司收集僱員指紋資料的方式屬不公平，因為該公司並沒有讓僱員選擇其他替代方法以迎合保安及考勤紀錄的要求，亦沒有告知僱員提供其指紋資料所涉及的私隱風險，以及該公司有甚麼措施防止不當收集或使用該些資料，此舉違反了條例的保障資料第1(2)原則。

執法行動

6. 專員已向該公司送達執行通知，指令其銷毀所有已收集屬於現職及離職僱員的指紋資料，並停止收集僱員的指紋資料。

專員的建議

7. 指紋是每個人與生俱來的獨特生理特徵，屬於高度敏感的個人資料。指紋資料可以準確無誤地識別出個人身份，而且終生不變。要減低如身份被盜用的私隱風險，收集指紋資料時必須要有充分的理據，並須加以適當行政措施及技術加強保障，以避免未經授權地存取和使用相關數據。

8. 在收集指紋資料前，機構必須確定他們是有特定的目的和實際需要，而又沒有其他替代方法可達致相同目的及減低侵犯私隱的程度，方可考慮收集指紋資料。機構不能單單因為指紋識別裝置能在巿面上輕易購得，又或取其方便及價格便宜為理由而隨意採用。舉例來說，在需要高度保安的情況下，指紋識別裝置或許是一個合適的選擇，但對於純粹記錄僱員出勤而言，採用指紋識別裝置的必要性則往往是令人質疑。

9. 即使有充份的理據使用指紋識別裝置，機構仍須要進一步思考，究竟需要收集多少隻手指的指紋及指紋上多少的資料（即紋理特徵數據），已可達致準確識別或核實個別人士的身份。一般而言，所需的資料數量是與要識別或核實的人數成正比。

10. 再者，僱主在收集指紋資料時，不應對僱員施加不恰當的影響或威嚇以取得他們的同意， 因為這種行為無異於不公平收集員工的個人資料。在這方面，僱主須要緊記他們和員工之間的談判實力並不均等，員工往往沒有勇氣拒絕僱主收集指紋資料的要求。除非僱主有提供收集指紋資料以外的其他選擇，否則僱員給予的同意也可能不是自願地作出的。再者，僱員須是在清晰及知情的情況下表示同意的。換言之，僱員須要獲告知收集及使用指紋資料的私隱風險。

11. 公署發出《收集及使用生物辨識資料指引》(www.pcpd.org.hk/tc_chi/resources_centre/publications/files/GN_biometric_c.pdf)，當中提供更多有關收集及使用指紋資料的行政措施及技術的詳情。該指引亦適用於其他用作身份識辨的生物特徵資料，如DNA、視網膜、面部圖像、掌紋圖像及筆跡。

調查報告可於www.pcpd.org.hk/tc_chi/enforcement/commissioners_findings/investigation_reports/files/R15_2308_c.pdf下載。

- 完 -