“八达通”事件凸显港隐私保护亟待更严立法

　　主持人按语

　　香港是世界上不多的成立专门的法定机构来保护个人隐私的地区之一。“个人资料隐私专员公署”自成立以来，在向社会各界推广个人隐私保护意识方面，的确功不可没。但在资讯时代，“个人资料隐私”的商业价值日益凸显，没有任何处罚权力的个人隐私专员在应对频发的个人隐私泄露事件时，就显得有些力不从心。尤其是“八达通”事件发生后，修改法例加强个人隐私保护已成为香港社会的共识。赵正华和冯永强的文章，指出了修法的一个方向，即将严重违反隐私条例的处罚刑事化，提升对侵犯隐私的法律威慑，进而减少滥用个人隐私。但同样值得我们思考的是，是否重刑就能治得住乱象？尤其是越来越多的企业、机构成为泄露个人隐私主体的情况下，刑罚是否能起到预期的威慑效果？如果走民事侵权赔偿这条路，让“泄露”和“窃取”个人资料隐私的公司、机构和个人付出沉重的经济代价，是否也应是修法时需考虑的一个思路？

　　———“香江札记”主持人胡健

　　赵正华冯永强

　　近日，香港社会广为关注的“八达通”公交卡泄露个人隐私事件终于告一段落，公司董事会于8月4日召开会议接受行政总裁陈碧铧辞职并决定将出售客户个人资料所得的4400万港元捐作公益。经此一役，大众对个人隐私保护的关注和意识得到史无前例的提升。如何在资讯日益发达时代背景下保障个人隐私权的讨论仍在持续。

　　隐私泄露防不胜防

　　今年6月17日，香港立法会议员王国兴向香港特区政府隐私专员公署投诉，指控八达通公司泄露客户个人资料。7月21日，隐私专员公署介入调查，后经查清，从2006年1月至今年6月，八达通控股旗下的两家子公司———八达通奖赏和八达通广联在四年半的时间里向特选商户提供了197万名客户的个人资料，商户平均联络每名客户1.7次，八达通公司共从中获利4400万港元。

　　“八达通”事件的发生，反映了香港社会制度在个人隐私保护方面仍有不少漏洞，这与隐私条例中存在“模糊和灰色地带”有密切关联。

　　如何保护个人隐私不被当作商品非法贩卖，除了居民个人应当自我引起注意外，香港个人资料(隐私)条例(以下简称“隐私条例”)更多采用对收集个人信息的政府部门、企业团体苛责义务的方式来保障居民个人信息被合法收集，合法合理使用。例如，隐私条例对收集个人资料目的专门作出限制，要求“个人资料必须是为了直接与将会使用该等数据的数据用户的职能或活动有关的合法目的而收集，且数据的收集对该目的是必需的或直接与该目的有关联的”。

　　但依隐私条例规定，无有关的资料当事人的订明同意，个人资料不得用于前述目的外的其他目的。商家往往就运用一些“蝇头小利”诱导，客户也可能签订合同时被其“文字游戏”迷惑，在填表时不经意写下的“同意”二字，这就成“八达通”们规避法律惩处的盾牌。也正是基于得到此类授权声明，不少商家在利益驱使下，竞相购买客户资料或者毫无顾虑地兜售个人资料、“共享客户资源”，这在香港商界几乎成了公开的秘密，隐私泄露早已是防不胜防。

　　隐私防线再受质疑

　　企业在个人隐私保护方面自然是责无旁贷，“八达通”事件首先体现的是企业在保护个人隐私方面的责任缺失，也导致了“八达通”商誉一落千丈。为了加强公民的隐私保障，香港早在1996年就建立了全亚洲唯一的个人隐私保护法定机构———个人资料隐私专员公署(PCPD)。

　　回顾十几年的发展，PCPD在“八达通出售隐私”事件和一系列与此相关的“资料收集主体非法出售用户隐私”事件，常常表现得力不从心。可以说，“八达通”事件或只是冰山之一角，PCPD在履行自身职责，保护香港特区居民个人隐私方面的努力，在一定程度上受到公众的质疑。

　　一方面，PCPD个人资料隐私调查报告不具有约束力。就“八达通出售隐私”事件而言，虽然隐私专员已经发表了对调查八达通的中期报告，但报告不具任何约束力，而且对于八达通公司是否触犯法律并没有明确的定论。

　　另一方面，PCPD个人资料隐私专员监管权力有限。面对有企业违反个人资料隐私条例，隐私专员只能要求机构改善，劝告无效后才会提出检控，在面对有可能要提出检控的违规事件时，专员就要将案件的调查交给警方处理，他也没有代表市民向违规者申索的法定权力。

　　隐私保护期待修法

　　隐私条例的对侵犯个人隐私行为的惩戒是应该“宽松”或者“严厉”一直是修法争论的焦点，毕竟惩戒标准变动会对资料收集主体的行为起到激励作用，惩戒标准“宽松”可能会鼓励交易而其弊端就是容易侵犯个人隐私；相反惩戒标准“严厉”虽然有助于保护个人隐私，但是也会或多或少削弱交易。

　　隐私条例虽规定了企业在个人合意下豁免责任，但立法一味迎合商品经济社会的合意自由，容易侵害在获取市场信息地位不均衡中处于弱势的消费者的权益，面对商家名目繁多的个人资料收集表格，只要消费者一不留神在诸多同意栏里填写划对，就会给商家一双逃脱个人隐私监管的“翅膀”，使条例对收集个人资料的目的限制徒具其表。诚如有议员所言，隐私条例缺乏刑事惩罚性，令商业机构可利用条文漏洞，透过合约的“魔鬼条文”，将市民个人资料转移甚至变卖。

　　经历“八达通”风波后，香港特区政府已重新检讨条例对个人资料的使用规定是否过于宽松，并研究要求信用卡、八达通、会员卡等申请章程需要用较大的字体列出条款，同时，设立机制让客户拒绝披露个人资料。令人费解的是，作为法治严厉著称的香港特区，企业为何会屡屡铤而走险？有关人士指出，目前法律对侵犯隐私的惩处力度不大，特别是隐私条例缺乏刑事惩罚性的检讨，才是导致香港特区个人隐私无法得到有效保护的真正原因。

　　此风波过后，社会各界意见趋于统一，大部分人都同意特区政府检讨现行法律对侵犯居民个人隐私行为的惩戒标准，要求考虑将严重违反隐私条例的处罚刑事化，提升对侵犯隐私的法律威慑，进而减少滥用个人隐私。

　　连前任个人资料隐私专员吴斌都称“长远而言，建议将出售个人资料刑事化，提高企业的社会责任”。可见，作为全世界最佳投资地之一的香港特区在谨慎平衡这两组价值取向后，采取更为严厉的立法来保护个人的资料及隐私安全，将会是未来的一个重要方向。