演講詞

　　以下是署理政制及內地事務局局長黃靜文今日（六月二十七日）在立法會會議全體委員會審議階段動議就《2011年個人資料（私隱）（修訂）條例草案》（《條例草案》）第21條的修正案的發言全文：

主席：

　　我動議修正第21條。我們建議刪去《條例草案》第21條所建議加入《私隱條例》的第VIA部，而代以新的第VIA部。

　　《條例草案》的第21條就售賣個人資料、在直銷中使用個人資料等引入新規管。讓我先扼要介紹原本在《條例草案》下的建議規管安排。

　　首先，在直銷方面，《條例草案》規定擬把個人資料用於直銷，或提供個人資料予他人以供用於直銷的資料使用者，須向資料當事人提供書面資訊，述明擬使用或提供的個人資料的種類、該資料擬提供予甚麼類別的人，以及擬要約提供或進行廣告宣傳的貨品、設施或服務的類別或索求捐贈或貢獻的目的。資料使用者並須提供回應設施，讓資料當事人表示是否反對。

　　如資料當事人向資料使用者發送書面回覆表示他不反對，資料使用者便可把該資料用於直銷或提供該資料以供用於直銷。如資料當事人在三十日內沒有發送表示反對的書面回覆，資料當事人將被視為不反對。建議這項「30日內不回覆視為不反對」的安排，主要是考慮到在有些情況下，資料使用者在收集個人資料時，不打算把資料用於直銷或提供予他人以供用於直銷，但其後才有意這樣做。

　　《條例草案》亦建議，不論資料當事人有否在三十日的回應限期內向資料使用者發送書面回覆表示不反對，其後可在任何時候，以書面形式表示反對使用或提供其個人資料予他人以供用於直銷，而資料使用者須隨即停止把該資料用於直銷，或提供該資料予他人以供用於直銷。資料當事人亦可書面要求資料使用者通知獲提供其個人資料以供用於直銷的人士，停止如此使用該資料。在收到通知後，獲提供個人資料的人士必須停止如此使用該資料。

　　在售賣個人資料方面，《條例草案》亦引入具體規定。擬售賣個人資料的資料使用者須在售賣前，向資料當事人提供書面資訊，述明擬售賣的個人資料的種類，以及該資料擬售賣予甚麼類別的人。資料使用者亦須提供回應設施，讓資料當事人表示是否反對。如資料當事人在三十日內沒有發送表示反對的書面回覆，資料當事人將被視為不反對。

　　《條例草案》亦訂明，不論資料當事人有否在三十日的回應限期內向資料使用者發送書面回覆表示不反對，其後可在任何時候，以書面形式表示反對售賣其個人資料，而資料使用者便必須停止售賣該資料當事人的個人資料。再者，資料當事人可書面要求資料使用者通知獲售其個人資料的人士停止使用該資料。在收到通知後，買方必須停止使用該資料。

　　《條例草案》建議的規管安排，旨在保障個人資料私隱和給予商業機構運作空間之間求取平衡，讓資料當事人在知情的情況下，選擇是否容許他人把其個人資料用於直銷。

　　法案委員會仔細、深入地審議了《條例草案》的建議規管安排，並在兩次會議中聽取團體的意見。因應法案委員會和私隱專員的關注、意見和建議，我們對規管安排作出了多方面的修訂。

　　首先，法案委員會最關注的是建議規管安排採用「拒絕機制」，以及「30日內不回覆視為不反對」的安排。雖然部分委員接受採用「拒絕機制」，但有些委員認為應在取得資料當事人明確同意後，才可售賣其個人資料或把其個人資料用於直銷，他們因此建議採用「接受機制」。另一些委員則建議當局考慮在售賣和直銷的規管安排分別採用「接受機制」和「拒絕機制」。而私隱專員認為雖然最終目標應是採用「接受機制」，但他也明白顧客需要時間適應，而且大部分的海外司法管轄區現時在直銷方面都是採用「拒絕機制」，因此私隱專員同意在現階段就直銷方面採用「拒絕機制」，而在售賣個人資料方面則應採用「接受機制」。

　　至於「30日內不回覆視為不反對」的安排，法案委員會及私隱專員深表關注。他們認為資料當事人沒有回覆，可能基於各種原因，例如資料使用者所持有資料當事人的地址未有更新，有關通知因而未能送達資料當事人，又或資料當事人表示反對的回覆可能未有送達資料使用者。

　　鑑於法案委員會和私隱專員對建議規管安排的意見，我們經與相關業界團體商討後，同意撤回「30日內不回覆視為不反對」的安排。資料使用者必須在收到資料當事人的回覆，表示不反對資料使用者售賣他的個人資料、或把他的個人資料用於直銷、或提供予他人以供用於直銷，資料使用者才可這樣做。

　　第二，《條例草案》中有關售賣個人資料的規定，是源於早前一些企業把大量顧客的個人資料售賣予他人作直接促銷用途時，沒有明確具體地告知顧客有關的售賣，也未有徵求他們的同意。這些個案引起社會廣泛的關注，我們因此在《條例草案》中提出規管售賣個人資料，目的就是為了回應這些關注。

　　然而，在《條例草案》中，「售賣」一詞的定義相當闊，或會無意地把一些普遍被接受而且在資料當事人合理預期中的活動納入該定義的範圍。因此，我們建議把規管範圍限於售賣個人資料作直接促銷用途的行為。

　　我們在修正案中亦把先前「售賣」的字眼更改為「為得益而提供」。有關改動是基於相關業界對「售賣」一詞的關注。在直銷行業中，一般來說，個人資料可能會在獲授權或許可下在一段時間內被分享或使用，但不涉及任何擁有權的轉移。「售賣」一詞有賣方不再擁有或不再維持對該資料的使用的任何控制的含意，未能準確描述有關行為。為清晰起見，我們建議把「售賣」更改為「為得益而提供」。

　　第三，《條例草案》建議，資料使用者必須以書面方式向資料當事人提供規定的資訊，以及資料當事人須以書面回覆資料使用者。有些業界團體提出，口頭方式應也可接受。考慮到在商業世界中透過電話收集個人資料並進行交易的情況並不罕見，我們認為如果資料使用者擬把資料當事人的個人資料用於直銷，資料使用者和資料當事人之間以口頭方式溝通，是可以接受的。這可以為商業運作留有適當的空間。

　　為提供額外保障，若資料當事人以口頭方式回覆表示不反對，我們建議資料使用者必須在收到該口頭回覆起計十四日內，向資料當事人發出載有收到回覆的日期和詳情的書面確認，才可把有關個人資料用於直銷。

　　若資料使用者擬提供資料當事人的個人資料予他人以供用於直銷，無論是為得益與否，則仍須以書面向資料當事人提供有關資訊，並須收到該當事人的書面同意才可作如此提供。這是確保在牽涉到第三者的情況下，資料當事人的個人資料私隱可得到充分的保障。

　　第四，在《條例草案》下，就算資料當事人曾表示不反對，他其後可在任何時候，向資料使用者發出通知，表示反對在直銷中使用其個人資料或提供其個人資料予他人以供用於直銷，無論是為得益與否。資料當事人亦可要求資料使用者通知獲提供其個人資料以供用於直銷的人士，停止如此使用該資料。《條例草案》規定資料當事人作出的通知必須以書面提出。私隱專員認為這要求並不利便資料當事人提出反對，我們接納其意見，因此在修正案中建議，資料當事人可以口頭作出通知。

　　第五，為處理在新規定生效前已收集的個人資料，我們在《條例草案》中建議引入剛才有委員稱為「不溯既往」的安排，我在二讀發言時已提及，如果用「豁免安排」的詞彙來形容是較為恰當及切合情況，即「豁免安排」是指如果訂明的條件在新規定生效日期前獲符合，在新規定生效後繼續在有關同一促銷標的之直銷中使用之前已收集的個人資料，有關直銷的新規定不適用。

　　有業界團體曾向我們表示，在商業世界中，直銷活動多涉及不同組合的個人資料的使用。為配合此需要，有關業界團體建議，如資料使用者在有關直銷的新規定生效前，曾在直銷中使用資料當事人的任何個人資料，豁免安排應適用於生效日期後繼續在關乎同一類別的促銷標的之直銷中使用資料當事人的任何個人資料。

　　經與法案委員會和私隱專員討論豁免安排的細節後，我們建議修訂有關豁免的安排。新的建議是，如資料使用者在有關直銷的條文生效日期前，曾明確告知資料當事人其個人資料會在直銷中就哪些類別的促銷標的而被使用，並在沒有違反當其時有效的《私隱條例》的任何條文的情況下如此使用該資料當事人的任何資料，而該資料當事人沒有表示反對，那麼資料使用者在新規定生效日期後，在關乎同一類別的促銷標的之直銷中，繼續使用他在生效日期前持有並不時更新的該資料當事人的任何個人資料，新規定並不適用。這項豁免只適用於資料使用者本身在直銷中使用資料當事人的個人資料，而不適用於把資料當事人的個人資料提供予他人以供用於直銷，無論是為得益與否。

　　這項豁免安排是恰當和有理據的，因為資料使用者曾就這些直銷活動接觸資料當事人，資料當事人如希望對方停止向他促銷，他本可以提出要求，但他卻沒有這樣做，而且在關乎同一類別的促銷標的之直銷中使用其資料，應該屬於有關資料當事人的合理預期。

　　我想強調一點，這項豁免安排將不會影響資料當事人在任何時候反對在直銷中使用其個人資料的權利。資料當事人可隨時提出反對。

　　我想再重申一點，我在二讀發言時亦有提及，這項豁免安排並不是指把過往違規的情況不再作追究，並不是這個意思。我剛才談到，如果要將豁免安排適用時，必須要符合一些條件，當中是包括過往收集和使用這些個人資料用於直銷時，是沒有違反當時正在有效的《私隱條例》中的任何條文。換言之，在之前是不可以有任何的違規情況。而且，在新規定生效後，只適用於直銷同一個類別的服務或產品。

　　主席，上述各項修訂是經與法案委員會、私隱專員和相關業界團體多輪討論，和認真考慮他們的意見後提出的。法案委員會亦已審議這些修訂。相比《條例草案》內的建議，修訂的建議規管安排更為完善，一方面令規管更嚴謹，加強對個人資料私隱的保障，另一方面，亦為商業運作留有空間，達到更好的平衡。法案委員會亦支持我們建議的修訂。我懇請委員支持這項修正案。

　　我知道涂謹申議員會於稍後提出五項修正案，我會在各位委員發言後再作詳細回應。

　　主席，我謹此陳辭。

完

２０１２年６月２７日（星期三）