八達通公司出賣客戶個人資料，令全城關注。在這個年頭，市民對個人私隱愈來愈重視，不過，一般市民甚至企業管理人員，甚至處理大量個人資料的機構，究竟對私隱的概念有多清楚？機構和企業知道怎樣合法或合理地處理個人資料嗎？市民自己又知道如何自保嗎？
首先，一般人談起私隱一詞，對不同的人會有不同的解讀，不過，在香港的法律上，個人資料（私隱）條例適用於「可切實用以確定」香港的任何在世人士（資料當事人）的身份的資料，並控制個人資料的收集、持有、處理或使用的人士（資料使用者）。例如，我的身份證號碼可用作確定我的身份，是條例保護範圍，但我不想別人知道我有些壞習慣，我雖然會認為是我的「私隱」，但這並非法律管制範圍。
總結法例對資料使用者處理個人資料，有 6 項保障資料原則（Data Protection Principles, DPP）如下：
（DPP1）收集資料的目的及方式：訂明須以合法及公平的方式收集個人資料，以及列明資料使用者在向資料當事人收集個人資料時，應向該當事人提供的資料。（例如，八達通的「細字」條款，是否合理，當事人是否知情？）
（DPP2）個人資料的準確性及保留期間：訂明所保存的個人資料必須是準確和最新的資料，而保存期間不得超過實際需要。
（DPP3）個人資料的使用：訂明除非獲得資料當事人同意，否則個人資料只可用於在收集資料時所述明的用途或與其直接有關的用途。（八達通的客戶是否可當作已同意出售他們的個人資料？）
（DPP4）個人資料的保安：訂明須採取適當保安措施保障個人資料。（例如醫院管理局、消防局、警務署、銀行等是否已有適當措施保障資料安全？）
（DPP5）資訊須在一般情況下可提供：訂明資料使用者須公開所持有的個人資料類別，以及該等個人資料所作的主要用途。（八達通一直不能直說甚麼資料被賣了給誰作甚麼用途？）
（DPP6）查閱個人資料：訂明資料當事人有權查閱及改正其個人資料。（有個案指八達通或港鐵不能向用戶提供八達通交易資料，會否已觸犯這原則？）
所以，這些保障資料原則實際上不難明白。筆者十幾年前在互聯網供應商工作，因要收集用戶個人資料，自己就「自修」一下，再加一點關懷用戶權益的同理心，不要只顧方便自己公司，或為賺最多的錢，就足夠了。
到了現在，當八達通出了事，傳媒紛紛向相關公司追逼，有些社論又「指定動作」地叫政府檢討法例，好呀，檢討甚麼，應怎樣修改？去年底條例公眾諮詢時媒體和市民有關注嗎？當時政府只肯小修小補，不肯給予私隱專員更大權力，當時的私隱專員吳斌提出了一系列建議，政府差不多全部置之不理。媒體和立法會似乎只有興趣追問專員為甚麼租了個太大的辦公室，「浪費公帑」。結果，政府宣布找一個曾經被指侵犯員工私隱的前郵政署長公務員接任。除了八達通，是誰後知後覺？
沒有正確面對個人私隱的態度，不會懂得法例以內的要求以至法例以外的社會期望，不只必會出事，出事後也不會曉得如可作風險管理；這是我們的社會和商業各界要正視的。老套點說，這次只是冰山一角。
刊載於《Hitech》 2010年8月5日
