黄凤娴女士
消费者委员会总干事
二零一三年十二月三日
非常荣幸可以来到南京参加「消费者隐私信息保护」研讨会，并感谢江苏省消费者协会安排时间让我跟大家分享香港消费者隐私信息保护工作的发展。
在此，请容许我为今天的分享内容作一个小序，内地与香港在惯常用语上经常会有一些分别，好像普通话所说的「道地」，我们香港人用广东话会说成「地道」，今天研讨会所要讨论的「隐私」，在香港我们会说成「私隐」，而信息隐私，在香港一般会说成资料私隐。所以现在先跟大家说清楚这差异，那么待会儿当我谈及香港在「私隐」保护方面的情况时，大家就不用抓不着头脑了。
香港对消费者信息隐私的保障，主要是通过由1996年开始生效的「个人资料(私隐)条例」，这条例并非只是保障消费者，更是适用于所有在世人士，故此并不包括已故人士、机构单位等，此外条例只针对个人资料的私隐，而个人资料所指的是与个人有关并可确认个人身分的资料，这些资料必须是在文件中的资讯，并可供查阅及处理，譬如文字档案、影像、录音等都可能包含个人资料，关键是可否从这些文件确认资料当事人的身份。
私隐条例订下了六大保障个人资料的原则：
第1原则：个人资料的收集必须与资料使用者的职能和活动有关，并以合法公平的手法适量地收集，并须说明收集的目的及资料用途，为符合第一原则，香港有不少机构在收集个人资料的时候，会发出一份“收集个人资料声明”，举例说您在香港开立一个银行户口，或者向电力公司开立用电户口，都有可能会收到这种2“收集个人资料声明”；
第2原则：资料使用者须采取切实可行的步骤确保个人资料的准确性，并在完成资料的使用目的以后，删除资料；
第3原则：限制个人资料使用于当初收集的目的或直接有关的用途上，否则必须首先取得资料当事人的同意；
第4原则：资料使用者须采取切实可行的步骤确保个人资料的保安；
第5原则：资料使用者应制定及提供个人资料的政策及实务，一般称为“私隐政策声明”，若果大家浏览香港的网站，譬如本会的网站，可能会在网页的底部发现这一栏，点击后便可阅读该网站如何履行保障个人资料的责任；
第6原则：个人有权利查阅及更改个人资料，资料使用者应在指定的时间内，依从个人提出的查阅或更改资料要求。假若任何资料当事人因为资料使用者违反私隐条例规定而蒙受损害，可透过民事程序申索赔偿，这赔偿可包括感情伤害。
同时，香港亦成立了一个独立的法定机构－个人资料私隐专员公署，负责监察私隐条例的执行，主要工作包括发出实务守则，为遵守条例规定提供实务性指引；视察机构的个人资料系统，包括政府部门，法定法团及商业机构的系统；对涉嫌违反条例规定的情况作出调查，并在适当情况下发出执行通知；就可能对个人资料私隐有不利影响的个人资料处理方法及电脑科技进行研究及监察,并向政府作出立法及政策上的建议；还有处理资料当事人的投诉和协助进行法律诉讼，以及推广公众教育工作，以确保个人资料私隐得到保障。
虽然大家都逐渐认识到隐私权的基本性和重要性，但是隐私权好像人如其名一様，属于比较隐性的权利，一般消费者很少主动保护自身的隐私权，也很少为隐私问题作出投诉及申诉，本会到今年十月为止接获多达二万五千宗的投诉个案当中，只有极少数量的63宗，是涉及有关私隐的投诉。本会早于2001年便注意到日渐流行的网上购物模式为消费者私隐所带来的威胁，当时进行了一个结果相当有趣的调查，发现消费者在网上购物方面最关注的问题是「个人私隐保障」，有46.3%，其次是「资料传送安全度」，有39.4%，再其次才是「产品素质」、「产品价格折扣」、「网站经营者的名气」及「送货方便程度」，但奇怪的是在受访者当中，只有百分之11.7的网上购物的人会在购物之前详细阅读有关公司的个人私隐声明。
从这项小小的调查可以看到，消费者都非常重视自身的隐私，因为这关系到我们自行独处的权利（the right to be alone），即是从社会中抽离出去，自行独处或只与个别人士交往的自由选择权，但是这权利的维护经常容易被营商者与消费者忽视，因为侵害私隐的后果通常没有侵害其他消费者权益的后果那么直接及显著，并且一般难以量化所带来的损害。然而，消费者的隐私安全问题往往会广泛地牵连社会上普遍的消费者，或者影响为数不少的消费者群组，而且会引起轩然大波，这情况在2010年在香港发生的“八达通事件”彻底地反映出来。
曾经来访香港的朋友可能都会知道，八达通是香港的智能卡收费系统，只需带着这张卡，便可以乘坐地铁、公车、火车，也可以到便利店、超市、快餐店消费。在2010年9月，一名声称八达通公司的合作伙伴－信诺环球人寿保险有限公司－的前雇员，向传媒及个人资料私隐专员公署揭发，八达通奖赏公司将这个计划的会员个人资料出售给合作商户，作直接促销用途。其后，八达通奖赏公司亦公开承认曾将会员个人资料转移给六个商户，出售了197万个个人资料，取共4,400万港元的利益，这件事情引起广泛的社会关注及批评，个人资料私隐专员公署展开调查，指出八达通公司在收集及使用客户的个人资料的过程中，违反了《个人资料(私隐)条例》下的保障资料原则
鉴于八达通公司已承诺会停止有关的行爲，因此私隐专员没有作出进一步的执法，但是经过八达通事件以后，私隐专员亦陆续审视了多个著名的客户忠诚计划有关收集及使用会员个人资料的情况，其中包括大家可能比较熟悉的屈臣氏集团，经过调查后，私隐专员向屈臣氏发出执行通知，要求对方停止过度收集客户资料，及清楚述明可能会把客户资料转交给什么机构作直接促销用途。
同时，私隐专员更发现有一间名为「香港预防协会」的公司，以「响应全民医疗体检计划」为名，通过电话收集个人资料，实情是向一间保险公司提供这些个人资料，作直接促销的用途，这个做法亦严重违反了保障私隐原则，引起了社会的回响。
香港政府在2011年中向立法会提交修订私隐条例草案，采纳了多项私隐专员提出的建议，加强商户进行直接促销活动的时候，对消费者个人资料的保障，本会亦就消费者如何具体行使自己的权利，在草案公开谘询期间向政府提交意见书。修订条例在2012年6月通过，并在今年4月1日生效，规定资料使用者必须先告知资料当事人将会使用的个人资料种类、用作什么类别的促销及将向什么类别人士提供有关资料作直接促销等事项，并提供回应途径，让资料当事人表明是否反对这样的使用方式，如未获资料当事人的同意，不可以进行直接促销或将资料提供予第三方作直接促销，如果未能符合这些规定，可以构成罪行，最高可被判罚款一百万港元及监禁5年，大大增加了私隐条例的阻吓性，亦回应了社会大众在八达通事件后对加强个人资料私隐保障的期望。
然而，修订条例亦就商界在市场推广方面的需要及利益，作出了一定的平衡，譬如刚才提及的资料当事人「同意」，广义地包括「表示不反对」，虽然缄默将不构成「同意」，但这广义的定义为商界提供了一定的弹性，毋须取得客户正面的同意指示，例如可以在给予客户回复的表格内，要求客户如反对将有关资料作直接促销用途的话，在「我反对收取直接促销资料」的空格上加「」号，假如消费者没有加上这「」号，便可构成条例下的同意，让商户更容易合法地进行直接促销活动。此外，直接促销在条例下亦有相当特定的意义，方式可以是透过电话通话、电话短讯、传真、邮件、电邮等，但必须是以特定人士为对象，推销产品、进行广告宣传、或寻求捐赠，故此不包括拨打随机抽出电话号码的人对人电话通话(cold calls)，亦不包括非应邀的商业电子讯息，虽然这类促销行为可能也会侵害个人自行独处的权利，但因为这些活动未有涉及使用个人资料，故此不在私隐条例的规管范围之内。
针对滥发商业电子讯息活动，香港在2007年通过了另一条例－「非应邀电子讯息条例」，订明发送商业电子讯息的规则，例如必须提供取消接收选项，以及推出「拒收讯息登记册」等，这条例由通讯事务管理局执行，可算是香港在保护个人资料私隐以外，进一步保护个人空间隐私的法例。
在这法规及各执法机关已经相当到位的情况下，香港消费者委员会亦不可松懈，现时资讯发达，科技日新月异，消费者隐私的问题总会为维权工作带来种种的新挑战，我们不时密切留意消费市场及新兴科技的动态，在政策上，譬如像先前在电子健康记录系统、共用个人信贷资料方面，我们都曾经为消费者发声，向政府提交意见书；另外，一如以往我们非常注重并鼓励商界尊重消费者权益，譬如在2002年本会与私隐专员公署等机构1联合推出「保障固定及流动电讯服务营办商顾客资料的实务守则」，为电讯营办商作出具体指引，如何提升对客户资料保障，于2005年，本会又制定了「良好企业社会责任指引」，当中亦强调顾客私隐保障的重要性，得到22个商会、专业团体及行业组织支持，当然；作为消保团体，我们亦会继续透过教育工作，加强消费者对私隐保障的意识，譬如在本会网站内的消费指南中，我们特意加入网上消费专题，提醒消费者提防网页黑客及俗称「曲奇」(Cookies)的电脑程式，保障自己的财务及个人资料，免被截取。
消费者信息隐私关乎消费者基本的权利，同时亦可能牵涉到消费者的重大金钱损失。回顾美国已故总统肯尼地(J.F.Kennedy)在1962年的国会演说中，提出消费者有四大权益：安全权、知情权、自由选择权及申诉权，随着社会不断进步，消费者的基本权利已逐步扩濶至八大基本权利2，现在也应该是时候把隐私权一并加进消费者的基本权利了。而随着网上消费日渐普及，消费者与商户经常身处于不同地域，相信将来保障消费者隐私的工作必须要跨地域的沟通和合作，就让今次这个难得的交流研讨会作为一个起点吧。在此，我代表香港消委会谨祝大家在隐私保护工作上取得更大的成功。谢谢！
1另还有(1)廉政公署(2)当时的电讯管理局
2加添了(1)满足基本需要、(2)发表意见、(3)接受消费者教育、(4)享有可持续发展及健康的环境四大权益