個人資料保護辦公室

Gabinete para a Protecção de Dados Pessoais

Office for Personal Data Protection

調查個案摘要
Print

編號: 0025/2014/IP

標題: 網上報名系統可瀏覽其他報名者的資料

立案原因: 投訴

個案簡介:

    市民甲表示,在A學校的網上報名系統為子女報讀幼稚園,提交報名資料後可瀏覽其他報名者的報名資料。
  甲認為該系統沒有採取適當的措施保護報名者的個人資料,造成資料外洩,要求本辦公室跟進。

分析:

    根據《個人資料保護法》第4條第1款(一)項及第3條第1款規定,本案中有關資料的處理受《個人資料保護法》規範。
  本辦公室在接到投訴後隨即要求A學校通知受影響人士及儘快糾正網上報名系統,確保不會再外洩個人資料。
  A學校覆函表示,網上報名系統收集報讀學童的姓名、出生日期、證件副本、電話號碼、地址、學歷、特長及民族等資料及收集家長的姓名、電話號碼、任職機構、職業等資料,但書面報名表沒有收集學童的民族資料而收集健康情況等資料。是次至少外洩3名網上報名用戶的報名資料。
  本辦公室認為,家長為子女報讀A學校,按該校要求提供其本人的個人資料。A學校是在資料當事人明確同意下處理家長的個人資料,具有《個人資料保護法》第6條規定的正當性條件。
  按照經第39/99/M號法令核准之《民法典》第111條及續後條文規定,報讀學童為幼稚園學生,屬於未成年人,其無行為能力需要以親權彌補。因此,父母為子女報讀學校而主動向校方提供子女的個人資料,可視為A學校是在資料當事人明確同意及明確許可下處理報讀學童的個人資料,在保障非歧視原則及《個人資料保護法》第16條規定的安全措施的前提下,具有《個人資料保護法》第6條及第7條第2款(三)項規定的正當性條件。
  關於收集資料的適度問題,根據第38/93/M號法令第32條第1款規定,私立教育機構的運作須遵守所適用的法律和規章的規定及教育暨青年局的指示,接受其教學檢查。按教育暨青年局制定的《學校招生指引(2014/2015學年修訂本)》規定,在招生時檢閱相關的證明文件正本,以核實考生的年齡及可在本澳居留或逗留。此外,按該局要求,報讀考生須向學校提供考生及其父母的證件影印本、健康證明書及地址。因此,A學校為進行招生報名工作,收集報讀學童及其父母的身份資料及聯絡資料等,並未見有違反《個人資料保護法》第5條第1款(三)項規定的適度原則。
  另外,按照教育暨青年局上述招生指引的規定,學校在入學面談時宜以多元化方式觀察,故A學校收集報讀學童的學歷、特長,有助該校了解報讀學童的成長發展,更好安排入學面談,也未見有違反適度原則。
  根據A學校的覆函,該校沿用數十年的學籍冊一直有記錄學生的民族資料,家長報名時如自願提供,在入學面談時會避免冒犯學童及家長的提問。按照教育暨青年局上述招生指引的規定,學校在入學面談時,必須維護幼兒的身心安全。本辦公室認為,A學校基於辦學需要,了解報讀學童的民族資料,有助更好安排入學面談,避免相關提問,關顧學童及家長的情緒。故此,有關資料的收集也未見有違反適度原則。但民族資料在今天的澳門社會已經失去作用,A學校的書面報名表也沒有收集民族資料。再者,民族資料屬敏感資料,其保存措施需符合《個人資料保護法》第16條的規定。基此,建議A學校考慮收集報讀學童的民族資料的必要性。
  A學校指,該校的網上報名系統與書面報名表收集的資料種類不一,以及並非所有欄目均必須填寫。基於良好行事規則,本辦公室建議A學校統一兩者收集的資料;在收集資料的欄目註明資料的提供是否具有強制性,並說明不提供可能產生的後果;提供收集個人資料聲明,以提供《個人資料保護法》第10條第1款規定的資訊;及在網上報名系統提供風險提示。
  基於A學校在網上報名系統開發階段,沒有周全考慮系統實際需要處理的資料種類,透過系統收集敏感資料,也疏忽評估系統的使用量、需要承擔的風險及符合的安全條件;在系統使用階段,在未能確保系統正常運作且明知多人使用系統的情況下更新系統,導致系統出現異常。因此,A學校未能確保網上報名系統妥善保護敏感資料,導致資料外洩,違反了《個人資料保護法》第16條第1款的規定,有關行為構成行政違法,可被科處罰款,故對A學校作書面聽證。但A學校沒有任何回應。
  綜上所述,A學校未能採取適當的安全措施妥善保護敏感資料,違反《個人資料保護法》第16條第1款的規定。

處理結果:

    本辦公室考慮到以下因素:1. 涉及多於一位資料當事人和眾多的資料種類;2. 知悉資料外洩後,A學校隨即停止網上報名系統;3. 首次違反《個人資料保護法》的規定;4. 調查過程中A學校持合作態度,故根據《個人資料保護法》第33條第1款規定,科處A學校澳門幣4,000元罰款,並提醒A學校作出改善。

註:
參考《個人資料保護法》第3,4,5,6,10,16,33條。

返回

澳門南灣大馬路804號中華廣場17樓 電話(853)2871 6006 傳真:(853)2871 6116