個人資料保護辦公室

Gabinete para a Protecção de Dados Pessoais

Office for Personal Data Protection

調查個案摘要
Print

編號: 0055/2012/IP

標題: 未取得客戶同意將其個人資料轉交予境外公司

立案原因: 投訴

個案簡介:

    市民甲投訴,A公司未取得其同意且無知會的情況下將其個人資料(包括姓名和身份證編號)轉交予其他公司(包括國內公司)作客戶意見調查。
  稍後, B局轉介另一個案,市民乙表示A公司未經當事人同意將其電話號碼交給另一公司作客戶意見調查。本辦公室為此開立了第0105/2012/IP號調查卷宗,並且因應工作需要將該案併入本個案處理。
  甲、乙均認為,A公司侵犯其私隱,要求本辦公室跟進。

分析:

    根據《個人資料保護法》第4條第1款(一)項及第3條第1款規定,本案中有關資料的處理受《個人資料保護法》規範。
  A公司表示,委託C公司對三類客戶(消費者客戶、中小企客戶和企業客戶)進行電話問卷調查,只在其資料庫內取出客戶的電話號碼清單連同相關市場分類名稱及其內部識別號碼轉交給C公司。
  本辦公室認為,當中“自然人客戶”的身份,C公司可憑有關電話號碼聯繫相關申請者及將其與他人區別,C公司是代表A公司聯絡特定的客戶調查對其服務的意見。因此,A公司所轉交的客戶電話號碼清單,是可以確定相關客戶身份的指標,同時電話號碼本身是與客戶有關的資訊內容,連同其他被轉交的市場分類及A公司內部識別號碼,根據《個人資料保護法》第4條第1款(一)項規定,均屬相關客戶的“個人資料”。
  A公司有權決定有關客戶個人資料的處理目的和方式,包括將資料轉交予其他公司,故A公司為負責實體。C公司受A公司委託並按其指示進行客戶問卷調查,只是A公司的次合同人。
  電信服務經營者基於電信服務合同處理客戶的個人資料。A公司為了解客戶的滿意程度進行調查,以便優化服務,故A公司處理客戶的資料具有《個人資料保護法》第6條(一)項規定的正當性。甲、乙不滿A公司在未徵得其同意下將其個人資料轉交予第三方。然而,獲轉交資料的C公司,是受A公司委託並以A公司名義處理相關客戶的個人資料,因此,A公司無須就委託事宜取得當事人同意。
  A公司表示,有關電話號碼清單首先上載至香港C公司的伺服器,而C公司在廣州辦事處的電話終端機進入該伺服器隨機選擇號碼作問卷調查。可見,A公司已將相關客戶的個人資料轉移至香港和中國內地。本辦公室在本案中從未宣告任何資料接收地的法律體系能確保適當保護程度。A公司亦沒有依據《個人資料保護法》第20條第2款的規定向本辦公室申請發出許可。因此,A公司不符合《個人資料保護法》第19條、第20條第2款或第3款的規定。經查證,沒有資料顯示A公司轉移客戶資料已取得當事人同意及為執行合同所必需;根據第14/2001號法律《電信綱要法》第5條規定,提供電信服務具有公共利益,但A公司轉移資料之目的是為收集客戶意見以優化服務,且委託境外公司收集意見並非為達到該目的之必要或唯一的手段,不足以認為A公司是為保護一重要的公共利益。因此,A公司轉移有關客戶資料不符合《個人資料保護法》第20條第1款(一)、(二)及(三)項前部分的規定,也明顯不屬於該法律第20條第1款(三)項後部分、(四)及(五)項規定的,經通知本辦公室後可作出轉移的情況。
  按A公司提供的《收集個人資料聲明》,未清楚顯示《個人資料保護法》第10條規定的資料接收者的類別。
  綜上所述,A公司將客戶個人資料轉移到澳門特區以外地方,違反了《個人資料保護法》第20條的規定。

處理結果:

    本辦公室考慮到所轉移的個人資料種類少,且不涉及敏感資料,根據《個人資料保護法》第33條第2款的規定,向A公司科處澳門幣壹萬元罰款。及根據同一法律第43條(一)項的規定,一併科處A公司須要求C公司立即銷毁所取得的個人資料。
  本辦公室已致函通知甲、乙、A公司及B局上述分析及決定,並建議A公司完善《收集個人資料聲明》。

註:
參考《個人資料保護法》第 3,4,6,10,19,20,33,43 條。

返回

澳門南灣大馬路804號中華廣場17樓 電話(853)2871 6006 傳真:(853)2871 6116