公司注册处外泄近11万人个人资料　私隐署认为没违例及促检视系统

公司注册处2024年4月通报资料外泄事故，在其电子查册系统上，查册者透过「开发者工具」（web developer tool）及编写程式，可以找到额外的个人资料。编写程式取得额外资料，近11万人可能受影响。今日（3月12日）私隐署发表报告，指无足够证据显示公司注册处违例，又促全面检视系统。

公司注册处电子查册系统有风险

私隐署发言人指，事件源于公司注册处2024年4月通报的资料外泄事故，表示「电子服务网站」内的电子查册系统，出现个人资料外泄风险。在公署调查后认为，公司注册处在翻新系统的过程已采取一系列保安措施，包括处方透过合约规范要求承办商在翻新相关系统所采取的措施、处方及承办商在推出相关系统前进行的测试及评估，以及额外的编码审查，因此认为没有足够证据显示公司注册处违反保障资料原则。

私隐署表示，考虑到相关系统的个人资料确实曾经存在外泄风险，公署已建议公司注册处对载有个人资料的系统进行定期及全面的检视，确保没有其他系统设计及安全漏洞。

私隐署源于常用模组未移除部分数据

私隐署补充说，根据公司注册处及承办商提供的资料，外泄事件源于在设计系统的相关功能时使用了常用模组，未有移除部分数据字段，导致「额外」的个人资料被传输到查册者的电脑。

调查显示，公司注册处自2023年12月推出相关系统起，便出现上述情况，但相关「额外」资料并非显示在查册结果页面上，亦无证据显示涉事的「额外」个人资料曾受到未获准许的或意外的查阅。

外泄事件可能有约10万9千人受影响，近九成涉及的个人资料，包括公司董事资料，仍可从已登记文件中经查册服务查阅。公司注册处事后已通知所有可能受影响人士、即时修正相关系统设计、委托独立的第三方全面检视系统，采取改善措施防止类似事件再次发生。

同场加映：《个人资料（私隐）条例》

保障资料原则是为了确保个人资料的收集方式是具透明度及公平，亦须尽量减低个人资料的收集；一经收集，应以安全的方式处理个人资料，而资料的保留时间不应超过达致原来目的所需，个人资料的使用亦应限于或关乎原来收集目的;资料当事人有权查阅或改正自己的个人资料。

原则1 收集目的及方式

保障资料第1原则订明，资料使用者须为直接与其职能或活动有关的合法目的，收集个人资料；收集的资料对该目的是必须及足够的，但不超乎适度；而收集的方法应该是合法和公平的。

如果你直接向资料当事人收集个人资料，你应告知资料当事人是否必须提供资料、收集资料的目的、资料可能会被转移给哪类人士，以及资料当事人可要求查阅和改正自己的资料的权利及途径。

原则2 准确性及保留期间

保障资料第2原则要求资料使用者采取所有切实可行的步骤，以确保持有的个人资料准确无误，而保留时间不超过达致原来目的实际所需。如果你聘用资料处理者处理个人资料，须采取合约规范或其他方法，确保资料处理者依从这些有关资料保留的要求。

条例的第26条要求资料使用者采取所有切实可行的步骤删除已不再为使用目的而需要的个人资料，除非删除是受任何法律禁止或不合乎公众利益。第26条可在资料使用者不处理资料当事人就删除其个人资料的投诉或要求的情况下被引用，相比违反保障资料第2原则（保留资料时间超过达致原来目的实际所需），违反第26条会构成罪行，最高可被判罚款港币1万元。

原则3 资料的使用

保障资料第3原则订明，除非得到资料当事人自愿给予的明示同意，否则个人资料不得用于「新目的」，即原先收集资料时拟使用或相关的目的以外的目的。资料当事人有权以书面通知，撤回先前曾给予的同意。

就个人资料的使用限制，条例第6A部进一步规定资料使用者，在使用资料当事人的个人资料作直接促销或向第三方提供资料作直接促销前，须先取得资料当事人知情的同意；这同意必须是由资料当事人明确表示，可包括表示不反对，但是沉默并不能构成同意。

此外，必须让资料当事人在知情的情况下给予同意。资料使用者须向资料当事人告知：打算使用其个人资料作直接促销的意图、如没有资料当事人同意的话资料使用者不能如此使用有关个人资料、意图使用的个人资料类别、意图就甚么类别的促销目的使用有关资料。资料使用者亦需告知资料当事人有权撤回同意。如果资料使用者意图向第三方提供资料作直接促销，须将这意图告知资料当事人，并说明可能会提供资料予哪类人士和涉及甚么类别的促销目的，以及是为了得益而提供资料等。违反有关直接促销的规定可构成罪行，最高可被判罚款港币50万元及监禁3年，如属为了得益而提供资料予第三方的情况，最高可被判罚款港币100万元及监禁5年。

原则4 资料的保安

保障资料第4原则订明要求资料使用者采取一切切实可行的步骤，保障个人资料不会未经授权或意外地被查阅、处理、删除、丧失或使用。资料使用者尤其须考虑资料的种类、上述情况一旦发生所造成的损害，以至为确保能查阅资料人士的良好操守、审慎程度及办事能力而采取的措施等。如果你聘用资料处理者处理个人资料，你必须采取合约规范或其他方法，确保资料处理者依从上述的资料保安要求。

原则5 透明度

保障资料第5原则订明，资料使用者须采取一切切实可行的步骤，确保任何人都能确定其在个人资料方面的政策及实务，以及获告知资料使用者所持有的个人资料种类和使用于甚么主要目的。

原则6 查阅及改正

保障资料第6原则赋予资料当事人可要求查阅及改正自己的个人资料的权利。若资料使用者拒绝资料当事人提出的查阅或改正的要求，便要提供理由。

条例的第5部另有详细条文补充保障资料第6原则，具体订明遵从查阅及改正资料要求的方式及时限，以及在甚么情况下资料使用者可拒绝依从这些要求等。资料使用者亦须备存记录簿，记录所有曾作出的拒绝。