私隐专员揭六成商场会员计划收集资料“宁滥勿缺”　脸书名称都问

个人资料私隐专员公署去年审视商场会员计划，对41间商场展开循规审查。在52个会员计划中，公署形容六成收集个人资料时抱有“宁滥勿缺”的心态，有违《个人资料（私隐）条例》行事方式。
究竟有几滥？部分计划要求会员提供年龄、身份证号码、微信帐号、脸书帐户名称、八达通号码，甚至每月收入、是否车主等资料；更有八个会员计划在设计上，强迫顾客同意有关机构可使用其个人资料作直接促销用途，而会员不能说不。

要求会员提供敏感个人资料违私隐条例原则

个人资料私隐专员公署去年巡视100间商场收集个人资料情况，对其中41间商场展开循规审查。总共发现52个会员计划，由其中25个商场提供，它们位于13个地区，其中五个位于油尖旺区、四个位于湾仔／铜锣湾、三个则位于将军澳／西贡，而中西区、观塘和荃湾区则各有两个商场。

私隐专员黄继儿指出，是次审查发现六成、31个会员计划收集个人资料时，抱有“宁滥勿缺”的心态。商场要求会员提供联络方法、敏感个人资料和个人及家庭状况相关的资料，有违《个人资料（私隐）条例》下列明不过度收集资料的原则和收集最少资料的行事方式。

是次循规审查结果亦发现：

部分商场会员计划收集的个人资料，除了基本的联络资料（如姓名、电话、地址和电邮地址）外，亦包括较敏感的个人资料（如生日资料、年龄、香港身份证号码），以至个人及家庭状况（如每月收入、婚姻状况、是否车主，及车牌号码等）；
有三个会员计划（占52个会员计划之中的6%）收集18项个人资料；
有20个会员计划（占52个会员计划之中的38%）要求会员强制提供不必要的个人资料；及
有八个会员计划（占52个会员计划之中的15%）在设计上强迫顾客同意有关机构可使用其个人资料作直接促销用途，而顾客就此没有其他选择。

私隐专员黄继儿指出，在上述“捆绑式同意”的做法及设计下所获取的同意，不能视为真正和有意义的同意，其做法及设计实际上亦构成不公平收集个人资料，因此应予以停止，而有关商场亦已作出相应更改。

黄继儿指出，27%、14 个会员计划涉及过度收集完整生日资料，构成违反《私隐条例》附表 1 保障资料第 1(1)原则的规定；在没有恰当合理的辩解下收集香港身份证号码，一般会视为过度收集个人资料，这观点自八达通案件及于2012年针对会员计划的随后调查起，已被确立。

专员公署的报告，详列各会员计划所收集的资料种类：

10间要求提供婚姻状况，又有8间要求提供子女数目，当中一间强制要求提供；
7间要求提供香港身份证／护照号码，除了一间外，其余6间都是强制要求提供
3间强制要求提供公司地址；3间要求提供公司名称，当中2间强制要求提供
2间强制要求提供会员列明父母姓名，另1间要求提供父母性别
3间要求提供就读学校名称，2间要求提供就读年级，当中有个别强制要求提供
2间要求提供八达通号码
各有1间要求提供脸书帐户名称、微信帐号、头像图片
1间要求提供车牌号码

黄继儿指出，一般而言，私隐专员接受为识辨身份和通讯目的而收集联络资料，然而收集香港身份证号码一般会被视为过度收集个人资料，因为香港身份证号码属敏感的个人资料，处理不当会造成如身份盗窃等不必要的风险。至于为市场分析及提供合适优惠的目的而收集个人及家庭状况有关的个人资料，一般而言可以接受，但同时会员应有不提供这些资料的选择。

该署点名赞扬和记地产营运的黄埔天地收集最少的个人资料，贵宾优惠卡会员计划，只收集三项个人资料，包括强制要求提供姓名及电话，并可自由决定是否提供电邮地址以收取宣传及推广资讯，资料会于会员年期届满后一个月内销毁，因而被视为最私隐友好的商场。

另外，今次亦审视了300个要求提供个人资料以换取优惠的网页，并对其中19间网页营运商展开循规审查。结果显示，相比其他行业，美容、教育和保健产品及服务业，较多利用网上推广活动，分别占是次审查的300个网页之中的44%、18%及8%；由于网上推广活动的目的只为吸引顾客领取推广优惠，只有20个网上推广活动（占300个网页之中的6%）涉及过度收集个人资料，包括香港身份证号码、生日资料、年龄及每月收入。

公署表示，违规计划及活动已停止过度收集以会员计划及网上推广活动为目的的敏感资料，如香港身份证、护照号码及生日资料，并已销毁在以往收集的所有有关资料。有关商场从会员申请表上删除不必要的项目；又重新设计申请表格，以加入独立的空格，拟索取申请人同意商场营运商将可使用及／或转移其个人资料作直接促销用途，违规网页营运商已承诺在将来的推广活动中，不会收集顾客的身份证号码及／或出生资料。