持份者意見
個人資料私隱專員公署意見
1. 24小時健身室一般會收集使用者的不同個人資料，甚或有要求消費者在體驗期間將證件暫存在前台，相關做法是否恰當？
一般而言，所有資料使用者在香港收集、持有、處理或使用（包括披露和轉移）個人資料時，均須遵從《個人資料（私隱）條例》（《私隱條例》）及當中6項保障資料原則的規定，其中包括：
- 收集個人資料：必須有合法、直接相關的目的；只收集必要和足夠的資料，不可超乎適度；用合法、公平的方法；並在收集前或收集時告知資料當事人是否必須提供資料、不提供的後果、用途、可能轉交的對象，以及在首次使用該等資料於收集目的之時或之前告知資料當事人其查閱和更正的權利及途徑；及
- 使用個人資料：只能用於收集時述明的目的或直接相關的用途，除非得到資料當事人的訂明同意；若沒有資料當事人的訂明同意，則必須符合《私隱條例》下的豁免條文，方可使用個人資料於新目的。
以健身室為例：
- 收集出生日期或身份證號碼時，要確保資料是必要而不超乎適度，例如視乎收集資料的目的，在某些情況下只收集出生年份或已足夠；
- 要求會員把身份證暫存在前台，健身室必須證明這做法符合《私隱條例》，尤其是保障資料第1原則的規定；及
- 因為身份證包含敏感的個人資料，機構在收集和處理時要特別謹慎。
2. 24小時健身室採用人臉識別作為入場方式，這是否符合《私隱條例》？
人臉識別涉及收集面部影像，屬敏感的生物辨識資料，一旦被濫用或外洩，後果嚴重。機構應先考慮用其他較少侵犯私隱的方法達到目的；若一定要收集生物辨識資料，必須有充分理由。
此外，機構還要遵守以下原則：
- 保留個人資料：只保存到達成目的所需的時間，之後應刪除，除非法律禁止或不合乎公眾利益；及
- 個人資料保安：要採取所有切實可行的步驟防止未經授權或意外的查閱、刪除、喪失或使用。
消費者在提供其生物辨識資料前尤其需要考慮有關機構(i)收集生物辨識資料的合法性、程度及目的；(ii)該些資料將會如何使用，將會披露或轉移予哪些人士或機構；(iii)保留生物辨識資料的期限；及(iv)保障生物辨識資料所採取的安全措施。
人臉識別可能涉及收集個人的面部圖像，而面部圖像屬生物辨識資料。因此，使用人臉識別的消費者同樣應考慮上述事項。
4. 健身室在收集身份證號碼、住址或出生日期時，消費者是否僅提供首4位號碼、所屬地區或出生年份已足夠？
消費者所提供的個人資料是否足夠，視乎健身室作為資料使用者收集個人資料的目的。
在收集個人資料方面，根據保障資料第1原則，健身室（作為資料使用者）在收集個人資料時，必須是為了直接與其職能或活動有關的合法目的而收集；而就該目的而言，資料屬必須、足夠的，但不超乎適度。因此，資料使用者所收集的個人資料是否足夠而不超乎適度，視乎個案的情況及收集資料的目的而定。
