個人資料保護辦公室

Gabinete para a Protecção de Dados Pessoais

Office for Personal Data Protection

調查個案摘要
Print

編號: 0046/2009/IP

標題: A大學附有“X儲值卡”功能的學生證

立案原因: 投訴

個案簡介:

    學生甲早前已完成A大學碩士課程,現為A大學博士班學生。在領取博士班學生證時,大學資訊處職員要求甲先退回原碩士班的學生證才能領取新的學生證, 因爲B儲值卡公司(下稱“B公司”)要取回有關的舊學生證(下稱“校園卡”)才會發新證給甲。
  甲堅持必須在不申請“X儲值卡”及不退回原碩士班學生證的情況下,得到A大學發出新的學生證。甲認爲其僅是A大學學生而非B公司客戶,亦無意申請B公司的“X儲值卡”服務;同時,甲在兩年前註冊為碩士班學生時曾表明不需要“X儲值卡”服務並拒絕A大學將其本人資料給B公司,不明白爲何B公司有其資料。
  因此,甲認為A大學不當將其學生資料交予B公司,違反了《個人資料保護法》,於是向本辦公室作出投訴。

分析:

    根據《個人資料保護法》第4條第1款(一)項及第3條第1款規定,本案中有關資料的處理受《個人資料保護法》規範。
  根據B公司官方網站的資料,從卡面的文字顯示,如遺失A大學校園卡,需交還A大學,故A大學校園卡與個人化“X儲值卡”關係應該理解為A大學校園卡是一種附有“X儲值卡”功能的校園卡,與B公司提供的個人化“X儲值卡”並非同一類卡。
  根據A大學提供的資料,A大學校園卡由A大學資訊處負責印製,並非交予B公司印製。如果學生接受個人化“X儲值卡”服務,學生須親自填妥個人化“X儲值卡”申請表,並簽名確認,然後大學才將其校園卡和申請表交給B公司,再由B公司將持卡人的身份證明文件號碼首6個數字輸入其校園卡,使其成為具個人化“X儲值卡”功能的校園卡。如果學生不選擇接受個人化“X儲值卡”,大學發出的則只是一張其自行印製,包含普通“X儲值卡”功能的校園卡。
  本辦公室認為,A大學與B公司的收集個人資料的目的各有不同,一個是教學管理,另一個則是商業服務運作。A大學與B公司各自對其不同目的的個人資料處理具有決定權。同時,A大學與B公司之間不存在委託關係,均不是對方的次合同人。故兩者是互為獨立的負責處理個人資料的實體。
  A大學是澳門一所私立大學,根據第37/2000號行政命令核准的《A大學頒授碩士及博士學位規章》第19條第1款的規定:“報讀博士學位課程之人士,應透過呈交學術及教學委員會之申請書報讀有關課程”,由此可見,報讀A大學博士班課程,是由相關人士自行作出申請。又根據第20/2000號行政命令核准的《A大學章程》第3條第1款的規定:“根據法律,大學享有學術及教學自主權”,A大學在處理學生資料上只要是涉及學術或教學的目的,具有自主權。
  本案中,甲就讀A大學博士班,完全是出於自願,而A大學又具有教學自主權,A大學以教學為目的處理甲的個人資料,屬於《個人資料保護法》第6條規定,當事人明確同意的情況。同時,A大學的學生入學需要繳納學費後,學校再提供教學服務,大學與學生之間實際上存在著一種合同的關係,也可以根據《個人資料保護法》第6條(一)項的規定 :“執行資料當事人作為合同一方的合同”,進行個人資料的處理,故A大學同時具有處理甲個人資料的兩種正當性條件。
  在本案中,如甲不申請個人化“X儲值卡”, A大學是不會將甲的資料交給B公司,故不會存在A大學在未經甲同意下,將甲的資料轉移給B公司的情況。甲對於由學生自行申請的個人化“X儲值卡”,與具有“X儲值卡”功能的校園卡的理解存在誤會。
  關於甲堅持必須在不申請“X儲值卡”及不退回原碩士班學生證的情況下,得到A大學發出新學生證的問題,因A大學學生證的發放條件屬大學内部的管理事宜,故其非本辦公室的權限範圍。
根據《個人資料保護法》第10條及第11條的規定,A大學必須履行相關義務以確保當事人(甲)的“資訊權”和“查閲權”校方在甲行使相關權利時,應清楚解釋校方與B公司的關係及其資料被處理的情況,以消除甲的誤會。
  綜上所述,本辦公室認為A大學與B公司並沒有違反《個人資料保護法》第5條及第6條的規定,但在確保當事人(甲)的“資訊權”和“查閲權”方面有改善空間。

處理結果:

    本辦公室致函通知A大學及甲上述分析和意見,並建議A大學遵守《個人資料保護法》有關“資訊權”及“查閲權” 的規定,制定相關的《收集個人資料聲明》,通過與學生的溝通消除部份學生的誤解和疑慮。

註:
參考《個人資料保護法》第 3,4,5,6,10,11 條。

返回

澳門南灣大馬路804號中華廣場17樓 電話(853)2871 6006 傳真:(853)2871 6116