《个人资料（私隐）条例》第33条背景説明.PDF

《個人資料（私隱）條例》第33 條背景説明 1. 甚麼是《個人資料（私隱）條例》第33 條? 《個人資料（私隱）條例》（「條例」）第33 條禁止資料使用者將個人資料轉移至香港以外 的地方，除非符合條例列明的例外情況。這個跨境轉移限制的目的是爲了確保被轉移的資料會 獲得相當於在條例下所提供的保障。自1995 年條例被制訂以來，第33 條是條例當中唯一一條 尚未實施的條文。 2. 甚麼是「個人資料」? 在《個人資料（私隱）條例》中， 「個人資料」指符合以下説明的任何資料： （a） 直接或間接與一名在世的個人(資料當事人)有關的； （b） 從該資料直接或間接地確定有關的個人的身分是切實可行的；及 （c） 該資料的存在形式令予以查閱及處理均是切實可行的。 個人的姓名、電話號碼、地址、身份證號碼、相片、病歷和受僱紀錄等都是條例保護的個人資 料。 3. 第33 條有甚麼法律規定? 第33 條明確禁止資料使用者把個人資料轉移到香港以外的地方，除非符合下述其中一項條 件： （a） 個人資料私隱專員（「專員」）藉憲報公告，指明該地方有 「與條例大體上相似或 達致與條例的目的相同的目的」之法律正在生效； （b） 該使用者有合理理由相信在該地方有 「與條例大體上相似或達致與條例的目的相同 的目的」之法律正在生效； （c） 有關的資料當事人已以書面同意該項轉移； （d） 該使用者有合理理由相信該項轉移是為避免針對資料當事人的不利行動或減輕該等 行動的影響而作出的；獲取資料當事人對該項轉移的書面同意不是切實可行的；及 如獲取書面同意是切實可行的，資料當事人將會給予上述同意； （e） 該資料憑藉條例第VIII 部下的豁免而不受保障資料第3 原則所管限；或 （f） 凡假使該資料在香港以某方式收集、持有、處理或使用，便會屬違反條例下的規定， 該使用者已採取所有合理的預防措施及已作出所有應作出的努力，以確保該資料不 會在該地方以該方式收集、持有、處理或使用。 1 4. 誰人須依從第33 條? 第 33 條適用於「資料使用者」。這是指獨自或聯同其他人或與其他人共同控制該資料的收集、 持有、處理或使用的人。如某人純粹代另一人傳輸資料，而並非為其任何本身目的，則該人就 該資料而言不算是資料使用者。此人既然不是資料使用者，便毋須依從第33 條。 5. 違反第33 條將面對甚麼判罰? 根據條例第64A 條，資料使用者沒有合理辯解而違反第33 條，即屬犯罪，最高可被判處罰款 港幣10,000 元。 專員亦可向違反第33 條或保障資料原則的資料使用者發出執行通知。違反專員發出的執行通 知即屬犯罪，可被判處罰款及監禁，及如罪行在定罪後持續，可處每日罰款。 6. 在甚麼情況下轉移資料須受第33 條規管? 第33 條涵蓋兩種情況，分別是(i)將個人資料由香港轉移至境外，及(ii)在兩個其他司法區之 間轉移個人資料，但有關轉移是由香港的資料使用者所控制。 第 33 條適用於資料使用者「有意識地」聘用第三者處理個人資料，而過程中涉及把資料轉移 至香港境外的情況。以下舉例說明是否構成第 33 條下的轉移個人資料至香港境外的各種情況： 第33 條適用的案例  以送遞、郵遞或電子方式發送或傳輸載有個人資料的文件或電子文件至另一司法區 作儲存及╱或處理  聘用身處香港境外的服務提供者代為處理個人資料不論個人資料實質儲存地域  把顧客的個人資料交予身處香港境外的承辦商以用於發出直銷電話  把顧客及╱或僱員的個人資料儲存於中央資料庫，供同屬一間控股公司轄下分佈於 世界各地的姊妹公司共用  聘用雲端服務提供者代爲儲存個人資料，而此雲端伺服器可在香港境外存取資料 第33 條不適用的案例  在香港發送電郵予香港接收者，但過程中因網絡路線問題，資料需經由香港境外的 伺服器或設備作傳輸  個人資料被未獲准許的第三者在香港境外查閱，例如黑客入侵