個人資料保護辦公室

Gabinete para a Protecção de Dados Pessoais

Office for Personal Data Protection

調查個案摘要
Print

編號: 0027/2008/IP

標題: 學生填寫的《入學註冊表》的內容

立案原因: 舉報

個案簡介:

    巿民甲表示,A學校每年要求學生辦理註冊登記,即使資料沒有更改,學校都要求學生須提交註冊登記表、學生及其父母的身份證副本,以及學生的“回鄉證”副本。
  甲認為A學校過度收集個人資料,沒有確保資料當事人的資訊權,以及沒有採取足夠措施保護個人資料,違反了《個人資料保護法》,向本辦公室作出舉報。

分析:

    根據《個人資料保護法》第4條第1款(一)項及第3條第1款的規定,本案中有關資料的處理受《個人資料保護法》規範。
  A學校解釋,他們只要求特定學生(初中一、高中一、高中三及新生)辦理註冊登記,需提交《入學註冊表》,以及學生證副本、學生及其父母或監護人之有效身份證副本,而非甲所述般每年均收集,亦沒有要求提交學生之“回鄉證”副本。A學校收集上述資料主要是基於建立、更新及核對學生的資料。另外,為了更新及保證資料準確性,於製作畢業證書前會再次收集學生的個人資料。
  A學校解釋,學生參加活動需到內地時,A學校可能會根據需要收集相關學生之“回鄉證”副本以轉交旅行社作行程安排。
  本辦公室認為,A學校基於學校管理及履行法定義務,根據《個人資料保護法》第6條、第38/93/M號法令(《訂定從事非高等教育之私立教學機構章程》)第29條第1款規定及第81/92/M號法令(《教育暨青年局組織法》)之相關規定,具正當性處理學生及其父母或監護人的個人資料。
  另外,A學校的《入學註冊表》涉及收集學生的“宗教”及“天主教領洗日期及地點”資料,根據《個人資料保護法》第7條第1款規定,“宗教”及“天主教領洗日期及地點”資料為宗教信仰資料,屬於敏感資料。A學校作為天主教會學校,為安排天主教徒學生參加教會活動,經當事人同意而收集學生的宗教資料,符合同一法律第7條第3款(二)項之規定,亦具正當性。
  A學校要求特定學生提交《入學註冊表》是實現學校對學生事務管理及履行向教育暨青年局提供學生資料的法定義務所必須;定期收集學生註冊資料,以及收集身份證副本以作核對,可確保校內學生資料庫的準確性,亦可向教育暨青年局提供準確及更新的學生註冊資料。於製作畢業證書前再次收集學生的個人資料,目的是更新及保證資料準確性,所收集的資料為其處理目的所必需。而基於協助學生向旅行社填報資料而收集學生之“回鄉證”副本,以及為安排教會活動而收集學生的宗教敏感資料,亦與其處理目的相符。有關處理均符合《個人資料保護法》第5條的規定。
  在保障資料安全性方面,沒有證據顯示A學校無採取必要的措施保障個人資料處理之安全性。
  然而,A學校作為負責處理個人資料實體,未根據《個人資料保護法》第10條的規定,向資料當事人提供足夠資訊,有可以改善之處。
  綜上所述,A學校有關資料的處理不符合《個人資料保護法》第10條的規定,雖然尚不構成行政違法,但必須作出改善。

處理結果:

    本辦公室已經致函A學校,建議A學校盡快制定處理學生資料的《收集個人資料聲明》或處理政策,並須確保資料當事人的資訊權。
  A學校回覆,接受本辦公室建議。

註:
參考《個人資料保護法》第 3,4,5,6,7,10 條。

返回

澳門南灣大馬路804號中華廣場17樓 電話(853)2871 6006 傳真:(853)2871 6116