持份者意见
个人资料私隐专员公署意见
1. 24小时健身室一般会收集使用者的不同个人资料，甚或有要求消费者在体验期间将证件暂存在前台，相关做法是否恰当？
一般而言，所有资料使用者在香港收集、持有、处理或使用（包括披露和转移）个人资料时，均须遵从《个人资料（私隐）条例》（《私隐条例》）及当中6项保障资料原则的规定，其中包括：
- 收集个人资料：必须有合法、直接相关的目的；只收集必要和足够的资料，不可超乎适度；用合法、公平的方法；并在收集前或收集时告知资料当事人是否必须提供资料、不提供的后果、用途、可能转交的对象，以及在首次使用该等资料于收集目的之时或之前告知资料当事人其查阅和更正的权利及途径；及
- 使用个人资料：只能用于收集时述明的目的或直接相关的用途，除非得到资料当事人的订明同意；若没有资料当事人的订明同意，则必须符合《私隐条例》下的豁免条文，方可使用个人资料于新目的。
以健身室为例：
- 收集出生日期或身份证号码时，要确保资料是必要而不超乎适度，例如视乎收集资料的目的，在某些情况下只收集出生年份或已足够；
- 要求会员把身份证暂存在前台，健身室必须证明这做法符合《私隐条例》，尤其是保障资料第1原则的规定；及
- 因为身份证包含敏感的个人资料，机构在收集和处理时要特别谨慎。
2. 24小时健身室采用人脸识别作为入场方式，这是否符合《私隐条例》？
人脸识别涉及收集面部影像，属敏感的生物辨识资料，一旦被滥用或外泄，后果严重。机构应先考虑用其他较少侵犯私隐的方法达到目的；若一定要收集生物辨识资料，必须有充分理由。
此外，机构还要遵守以下原则：
- 保留个人资料：只保存到达成目的所需的时间，之后应删除，除非法律禁止或不合乎公众利益；及
- 个人资料保安：要采取所有切实可行的步骤防止未经授权或意外的查阅、删除、丧失或使用。
消费者在提供其生物辨识资料前尤其需要考虑有关机构(i)收集生物辨识资料的合法性、程度及目的；(ii)该些资料将会如何使用，将会披露或转移予哪些人士或机构；(iii)保留生物辨识资料的期限；及(iv)保障生物辨识资料所采取的安全措施。
人脸识别可能涉及收集个人的面部图像，而面部图像属生物辨识资料。因此，使用人脸识别的消费者同样应考虑上述事项。
4. 健身室在收集身份证号码、住址或出生日期时，消费者是否仅提供首4位号码、所属地区或出生年份已足够？
消费者所提供的个人资料是否足够，视乎健身室作为资料使用者收集个人资料的目的。
在收集个人资料方面，根据保障资料第1原则，健身室（作为资料使用者）在收集个人资料时，必须是为了直接与其职能或活动有关的合法目的而收集；而就该目的而言，资料属必须、足够的，但不超乎适度。因此，资料使用者所收集的个人资料是否足够而不超乎适度，视乎个案的情况及收集资料的目的而定。
