刊于《信报》，2025年3月17日
私隐条例六原则 成个人资料护罩
许佳龙
科大商学院署理院长；信息、商业统计及营运学系讲座教授；艾礼文家族商学教授
笔者在上一篇文章（〈弄清楚私隐概念 有效保障个人资料〉）扼要讨论了私隐的三个维度——1、个人「隐密」信息；2、私人空间不受入侵；3、个人免于受到「监视」。由于不同人对私隐保障有不同的理解和标准接受程度，譬如有人不介意给街上电子镜头监视，但有人却视之如「洪水猛兽」，因而令私隐保障在三个维度上取得平衡，成为一项挑战。这一点，也成为目前世界各国或不同地区对私隐保护有不同政策取态、不同法律应对的其中一个原委。
基于每个人对私隐保护都有不同的出发点，不同的关注程度和政府措施不同接受程度等，这种情况，使得私隐保护无可避免是一个触及到理论层面、文化背景以至个人价值观等叠加考虑的取舍。
香港私隐条例
笔者将于本专栏扼要阐述当前不同国家或地区政府不同的政策做法。首先讨论与我们最贴身的香港私隐条例。
根据香港法例 486章《个人资料（私隐）条例》（下简称《条例》），个人资料的定义包含「（a）直接或间接与一名在生者有关的；(b) 可从该等数据直接或间接地查明某人身份的；及（c）该等数据的存在形式是可予查阅及处理的」。换言之，在我们日常生活中，个人资料的例子如个人姓名、住址、性别、年龄、国籍、身份证号码以至医疗纪录等信息。在上述的个人资料的三项定义下，任何人或机构在收集、持有、处理或使用个人资料时，必须遵守《条例》清楚订明的六项保障资料原则，这六项原则对个人资料保障形成一个保护罩。
六项原则必须遵守
第1原则：「收集个人资料的目的及方式」。法例规定必须合法收集个人资料。第 2原则：「个人资料的准确性及保留期间」。法例规定机构保存的个人资料必须准确，在数据的保留期间，不能超过实际需要。第3原则：「个人资料的使用」。法例规定，除非获得当事人「订明同意」，否则不可改变数据的原来所述用途；第4原则：「个人资料的保安」。法例规定，机构必须采取适当保安措施，去保障个人资料。第 5原则：「信息须在一般情况下可提供」。法例规定须确保他人能够知道机构所制订的个人资料私隐政策；第 6原则：「查阅个人资料」。法例订明，当事人有权要求某机构或政府部门，证实是否持有其个人资料，以及有权要求获得有关数据的副本。如发现副本的个人资料不准确，有权要求改正。
数据收集使用影响范围广泛
细看《条例》的六项保障资料原则，部分相当清晰，没有含糊性，譬如第4原则有关信息保安，公司必须有一个安全计算机系统，去保障用户的个人资料。这条保障原则，明显是应对笔者对上一篇文章提及的第一私隐维度范畴，这项保障原则，相信也没有人有异见，而事实上各国都有类似的法例。
很显然，六大原则中，牵涉公众最广的是第1 及第3原则。第1原则要求必须以合法与公平方式收集个人或交易对手数据，这触及前一篇文章提及的私隐第一及第三维度，亦即个人的「隐密」信息及免于受到「监视」(因为监视亦等同资料收集)；而第 3原则牵涉如何使用个人资料。
禁止过度收集与使用
进一步阐释如何合法收集个人资料，按第1原则列明，资料是为了一个合法目的而收集，而「就该目的而言，资料属足够但不超乎适度」，否则不得收集。换言之，原则要求合法而适当地收集个人资料。以个人身份证为例作阐释，对个人来说，身份证号码是极度重要的数据，很多重要交易都以身份证来认证个人身份。
不过，若然只是参与一个普通抽奬项目，或登记某人是否到过此处，即使今天，仍然有当事机构要求查看个人身份证，甚至进行数据登记，这种行为，显然是属于过度地获取个人信息。因为当事机构所提供的服务，很多根本没有获取个人资料的需要。机构获取或记录了超乎服务目的的信息，不仅对公司带来更大的潜在信息保安风险；对公司也没有实际利益。因此，在私隐条例中，便倾向避免纳入这种不必要的做法。
了解法例 提高数据保护意识
至于个人资料使用的第3原则，要求数据不得用于与数据当事人订明原来使用目的以外的任何目的，亦即不可「过度地」应用个人资料。这原则所规范的行为，明显牵涉私隐第二维度，即前一篇文章提到直销来电的滋扰。往往，我们注册使用某一项服务，向相关服务机构提供了个人的电话号码，在本港还没有私隐条例前（《个人资料（私隐）条例》于1996年12月20日正式生效），有些服务机构便利用客户登记的电话号码，来做一些和原来登记服务无关的其他服务来电促销，对个人构成莫大滋扰。此举无疑是过度地使用了个人的信息，违反了《个人资料（私隐）条例》的第3原则。
诚然，多了解私隐条例，提高对个人资料保障的意识十分重要。其他的四个原则，另文讨论。