香港个人信息保护研究

李丹丹

摘 要：香港是法治社会，有比较好的普通法传统，香港居民都很注意保护自己的个人信息与隐私，但即使这样，对于个人信息在香港是否安全，保护得如何？人们却莫衷一是。一方面，香港有亚洲国家唯一的个人信息保护机构——香港私隐专员公署，并颁布了《个人资料（私隐）条例》，对香港居民的个人信息安全筑造了保护的屏障；但另一方面，香港社会却也频繁地爆出诸如“八达通买卖用户个人资料”、“艳照门”这样的轰动性事件，给人们带来种种疑虑与不安。因此，将未得本人同意出售个人资料私隐的行为列入刑事罪行的呼声也越来越高。

关键词：个人信息；隐私；侵权

中图分类号：D92 文献标志码：A 文章编号：1673-291X（2014）24-0292-02

一、香港近年个人信息（私隐）保护现状

香港曾经最为轰动的“艳照门”是较为严重隐私曝光事件，明星隐私的泄露也许满足了公众某种偷窥欲，也有人认为娱乐记者、狗仔队挖掘的明星八卦就是供人消遣的，但明星也是人，笔者认为对明星的个人信息和隐私也需要加以尊重，而香港政府也对该事件表明了态度，九龙城裁判法院对传播者判处入狱两个月，缓刑两年。普通民众的个人信息也因其巨大的经济价值不断出现泄漏和买卖事件。2008年，先是香港医院的患者个人就医信息失窃，其后香港汇丰银行近16万名客户的资料被窃，此后媒体又爆出香港在过去五年里有六家银行，将60多万名客户的资料透露给第三方。泄密事件不断升级，香港入境处的秘密文件竟然被晒到了互联网上。最让香港居民吃惊的是，八达通前任行政总裁陈碧铧在接受香港私隐专员公署聆讯后承认，在2006年1月至2010年6月期间，八达通旗下两家子公司八达通广联和八达通奖赏，曾经向6家商户提供了197万个客户资料，销售所得达到4 400万港元。随后，陈碧铧被迫申请辞职，八达通公司也停止了所有相关合作，并将出售所得的4 400万港元会捐给公益基金[1]。

其实，香港是有保护个人信息的良好社会环境的。在香港居住一段时间的人会发现一个特别的现象：即使这个香港朋友已经成为你的好朋友，他会跟一起你解决工作难题，一起八卦明星政要绯闻，但却很少分享他的私人感情；他们会和你在外边用餐，但很少邀请你去家里做客；学习和工作之外的生活，他们会觉得是自己私人的空间，没必要与别人分享。可见，香港普通市民大多具有很强的保护自己个人信息和私生活的意识。

二、香港个人信息保护机制

（一）香港个人资料私隐专员公署—专门独立的执行机构

香港个人资料私隐专员公署（以下简称“公署”）成立于1996年8月1日，它的地位之所以特殊，并非仅仅因为它是亚洲唯一一家公营的个人信息监管机构，更是因为它的独立性——它，不需要向最高行政长官负责和报告，也不受香港任何机构的管治，这一点确实比香港廉政公署還“厉害”。它的职责是监察香港法例第486章《个人资料（私隐）条例》（以下简称“《条例》”）的施行，其重要目标只是确保个人和公司（其他机构）认识自己在个人信息保护领域的权利和义务。

公署的日常工作是通过教育和宣传，培养香港公众尊重个人信息的文化，而不是强硬打击对个人信息的侵犯。公署官方网站可供香港居民预订每个月2～3次的隐私权保护讲座，公署还会在香港的酒店和医院以及电视节目上宣传推广“如何保护个人信息”。公署虽不是一个执法机构，但是对侵犯个人信息的行为，它会认真处理投诉，也会积极主动地出击调查和发出改正通知[2]。

（二）《个人资料（私隐）条例》——公正但不具强制力的温和保护

1.《条例》的主要内容。香港个人信息的主要法规就是该《条例》，它规定了个人信息的收集、持有、处理和使用的规则，该条例适用于所有产业和所有类型的个人信息，但并不适用于法人隐私。

2.《条例》规定了六条隐私权原则（“DPPs”）。

原则一：个人信息的收集。数据用户只能以合法目的收集个人信息。该目的关系到终端用户的操作或者活动。数据用户收集的个人信息不得超过实际所需或者应当与其目的有直接关系。信息收集的方法必须合法、公平。收集任何个人信息时，数据用户必须尽量将以下事项通知有关人员：目的、信息可能转发给谁、获取或收集信息的安排情况。

原则二：准确性及保留期限。使用者必须尽最大努力确保所持有的个人信息是准确，最新，没有超过必要存放时间的，要始终考虑到信息使用的目的。

原则三：个人信息的使用。用户使用个人信息的目的只能是在特定的收集时间内的目的（或者直接相关的目的），除非获得本人同意。

原则四：个人信息的安全性。数据用户必须尽最大努力确保个人信息不被擅自获取、使用或者删除。

原则五：信息公开。使用者必须尽到最大努力将其在使用个人信息政策方面的信息公布于众，包括所持有的数据类型及其目的。

原则六：信息的获取。个人信息若被他人持有，则被持有者有权：确定用户持有者的信息，要求一份信息的副本以及对信息更正后的文本。

条例中没有规定积极履行信息隐私原则的义务。但是违反这些原则可能会引起民事赔偿诉讼，包括精神损害赔偿。当然数据主体也可以向公署专员投诉[3]。

3.《条例》的实施。如前所述，根据《个人资料（私隐）条例》，如果香港居民感到自己的个人信息被非法泄露或者被不当商业使用，受害者可以向个人私隐专员投诉滥用资料者。

但是公署并不会对每一个投诉都做出调查，按照《条例》规定，如果他们认为投诉所涉及的行为是微不足道的，这种行为只对投诉人造成轻微的损害或不便；或者投诉是无理取闹或不是真诚做出的；投诉是因为私人恩怨或其他和个人信息无关的因素引起的等等，这些投诉都不会被受理。例如2010年末，黄先生为儿子数月前遭杂志跟踪偷拍一事，写信给公署求助，公署就没有受理。更普遍的情况是，在接到投诉并核实投诉人的身份后，私隐专员公署会辨别证据真伪，再展开调解，或正式调查。如果经过初步查询后，公署发现投诉对象没有违反条例任何规定的表面证据，他们也可以终止调查。假如举报属实，私隐专员发出执行通知，要求违规者改进。如果公署觉得违规者有可能重犯，也会出一个执行通知，此人必须遵守执行通知。2006年初，一所学校为了记录出勤情况和提供午餐及书馆服务而收集职员和学生的指纹。有学生向公署投诉，公署调查后认为这一做法违反《条例》，发出执行通知校方立即停止这一做法，并销毁已经收集的指纹。

不管是教育、宣传，还是调查、执行通知，其实都是以很温和的方式开展。《条例》的“最高处罚”也就是可能被处五万元罚款和两年的监禁。事实上，公署建立多年以来，被课以“最高处罚”的案例少之又少。原因正如前专员吴斌接受媒体采访时所言：“我自己觉得这个条例是比較温和有柔性的，条例最终是希望培养一个个人信息受到尊重和保护的社会。所以我们更重视教育和调查。”

为了保证公正，按照《条例》规定，如果被投诉的个人或企业不服私隐专员公署的调查和裁决，可以向私隐专员公署行政上诉委员会申诉，如果被驳回，也可以向香港高等法院提出司法复核。

（三）普通法的有力保障

香港居民个人信息如果被侵权，除了可以向公署投诉外，也可以向法院起诉。尽管香港普通法中并没有明确隐私权是一项独立的权利，对个人信息的侵权行为还是可以向法院提出起诉，只不过当事人无法获得直接的法律救济，而必须诉诸其他民事侵权的诉讼理由，通过间接的方式寻求保护。根据普通法制度，这些诉讼理由主要包括“侵犯他人土地”、“违背信任”、“妨害个人安宁”、“违约”、“侵犯版权”、“有意施加精神压力导致身体伤害”、“诽谤”、“侵犯他人人身”、“恶意谎言”等。

三、香港个人信息保护展望

香港有些居民认为《条例》太过温和，缺少保护的力度，很多人的个人信息和隐私被侵权后，他们往往选择法院而不是公署去救济自己的权利。在“艳照门”事件中，相关当事人均未向个人资料私隐专员提出投诉，而是采纳了律师的建议，首先承认自己拥有照片的版权，才遏制了其进一步传播。

“八达通出售用户资料”事件之后，公署发表调查报告，裁定八达通违反私隐条例三个原则，但是私隐专员以八达通再犯机会不高为由，并未开展惩罚程序。此种处理结果引发民众诸多不满，香港政府也建议修订《条例》，将直销和出售个人私隐列为刑事犯罪；同时堵塞灰色地带的漏洞，例如要清楚界定何谓转移、何谓牟利，市民私隐才可以得到有效保障[4]。前专员吴斌称，“长远而言，建议将出售个人资料刑事化”，而现任专员蒋任宏也期待“港府能修例加强私隐专员的执法能力，及加重违反私隐的罚则”。身为专员，他们这样建议也是因为知道《条例》和个人资料隐私专员公署的不足，主要在于：一方面，个人资料私隐调查报告不具有约束力。另一方面，专员监管权力有限。面对有机构违反个人资料私隐条例，私隐专员只能要求改善，劝告无效后才会提出检控。在面对有可能要提出检控的违规事件时，专员就要将案件的调查交给警方处理，他们也没有代表市民向违规者起诉的权力。

是否要赋予私隐专员刑事检控违例机构和个人的权力？是否对个人信息侵权者处以刑罚？这些争论其实从信息成为商品，互联网繁荣以来，就没有停止过。信息自由的商业精神和个人安宁、隐私人权保护的冲突始终存在，变数在两组价值的冲突与协调中长久存在，只有在变化中协调二者倾听公众需求才是未来立法的选择。

参考文献：

[1] 香港八达通贩卖个人信息年渔利超10万[N].北京日报，2010-08-11.

[2] 冯永强.香港立法给力个人信息保护 机制漏洞有待完善[EB/OL].正义网，2011-03-21.

[3] Johan De Jong.中国香港地区、瑞典和韩国信息隐私法概况[Z].马利，译.For information about GIGNA International，refer to page 10.

[4] 港报社评.八达通违规不违法，为保私隐需刑事化[EB/OL].中国新闻网，2010-10-09.

[责任编辑 魏 杰]