調查個案摘要

編號: 0103/2015/IP

標題: 公佈的諮詢結果文本內載有意見發表者的個人資料

立案原因: 主動介入

個案簡介:

    本辦公室獲悉A政府部門公佈的諮詢結果意見彙編中登載了個別市民的個人資料,遂主動立案跟進。調查發現,上述彙編內會刊登提交書面意見的市民之姓名,其中一名市民更被登載了完整的地址和電話號碼;另外,一名市民的電郵和身份證號碼雖有以黑色方格遮蔽,但因色差問題導致有關資料能被查看。
  此外,本辦公室發現A部門在另一份意見彙編內同樣刊登了意見發表者的完整姓名,於其中一頁內刊登了一名意見發表者的完整地址,但有以“馬賽克”遮蔽其電話號碼;另一名意見發表者的身份證號碼和地址則以“x”取代。

分析:

    根據《個人資料保護法》第4條第1款(一)項的規定,“個人資料是指與某個身份已確定或身份可確定的自然人(‘資料當事人’)有關的任何資訊,包括聲音和影像,不管其性質如何以及是否擁有載體”。A部門滙集所有意見並透過互聯網及書刊公佈意見彙編,當中至少載有意見發表者的姓名,屬個人資料,根據《個人資料保護法》第3條第1款的規定,需受該法律規範。
  經了解,A部門的諮詢活動並非強制以記名方式進行,而是開放讓市民自由決定填寫內容。倘市民自願填寫其個人資料,A部門基於接收意見並編製彙編之目的而處理個人資料,具有資料當事人的同意的正當性條件,符合《個人資料保護法》第6條的規定。然而,A部門尚需符合同一法律第5條所規定的各項原則,尤其第1款(三)項的適度原則。
  事實上,A部門提供予市民填寫的意見收集表內,並無任何收集個人資料之欄目,反映出是市民在發表意見時主動提供其個人資料,而A部門公開意見發表者的姓名,是為更真實地呈現活動成果,避免外界質疑造假,而非為故意批評或侵害提供意見者的權益。另一方面,在刊登意見的同時保留發表意見者的姓名,也可顯示尊重之意,加上不能排除所提供的姓名實際上是化名,或是同名同姓之人,因此,如公開的資料種類僅限於姓名而不包含其他資訊,則公開意見發表者姓名的做法可被接受。
  除姓名外,文本內尚有個別市民的完整地址、電話號碼、電郵及身份證號碼無被遮蔽或遮蔽效果不佳。雖然意見發表者位處的地點或住址在特定情況下對諮詢結果具重要性,但只需意見發表者所居住的街道或大廈名稱,就可令公眾得悉其身處位置,實無理據詳細至公開居住樓層及座號,至於電話號碼,更沒有任何公開的需要及理由。事實上,從另一份意見彙編內,A部門亦曾對上述資料作出遮蔽,印證其非刻意披露。
  至於意見發表者的電郵及身份證號碼,A部門表態是有必要遮蔽,只是遮蔽效果有偏差而導致被遮蔽之內容仍能被查看,A部門就此解釋是交由顧問團隊(外判公司)負責製作。根據《個人資料保護法》第15條第2款和第3款的規定,A部門仍需負上監管責任,卻無發現有遺漏遮蔽地址和電話,以及遮蔽電郵和身份證號碼之效果不佳,存在疏忽大意。這種過份依賴外判公司,而未有切實履行自身監管義務的態度,正是造成今次事件的主因。
  雖然A部門稱已制定內部資料及機密文件處理工作指引,惟上述指引並非直接規範有關彙編之個人資料處理,尤其沒有釐清彙編內應予以公開或遮蔽的資料種類,致令屬下人員和外判公司無章可循。基於此,A部門違反了《個人資料保護法》第15條。
  本案源於A部門的疏忽,令個別意見發表者的地址、電話號碼、電郵及身份證號碼被公開,而公開該等資料非為達至真實呈現諮詢結果之目的所必需。再者,考慮到彙編會公開讓任何人索取或網上瀏覽,除有可能被不法之徒利用外,也無法控制他人轉發或散播。本辦公室認為,A部門亦同樣違反《個人資料保護法》第5條第1款(三)項所指的適度原則。

處理結果:

    經分析,A部門違反了《個人資料保護法》第5條第1款(三)項和第15條的規定,前者根據同一法律第33條第1款和第35條第1款的規定構成行政違法,考慮到A部門是監管不足而非故意實施違法行為,過程中亦積極配合調查及採取補救措施等因素,故決定向其科處澳門幣10,000元的罰款。

註:
參考《個人資料保護法》第3, 4,5,6,15,33,35條。