立場新聞 Stand News

私隱:誰管、點管、有乜資源管?

2018/12/17 — 14:46

香港個人資料私隱專員公署影片截圖

香港個人資料私隱專員公署影片截圖

最近有兩單大嘢:國泰資料外洩、環聯出現保安漏洞。我起了條題,問三個問題,並嘗試找答案。

誰監管私隱?

答案本應明顯 — 香港個人資料私隱專員公署(公署)。但有意見認為環聯事件「金管局責無旁貸」,我不想爭辯,不如看看環境證供。

廣告

私隱專員根據《私隱條例》第 12 條發出「個人信貸資料實務守則」,裏面有獨立章節講「信貸資料機構為資料保安及系統完整性所採取的措施」,並指明「信貸資料機構須自費聘用由專員核准(或專員選擇由其委任)的獨立循規審核人進行定期循規審核」,而且「每次進行循規審核開始後三個月內向專員呈交審核報告,供其考慮及/或評論」。環聯作為信貸資料機構,好明顯係完完全全受公署監管。

如果唔係環聯,而係其他被監管機構(例如銀行/證券行),咁又邊個管?有賊打劫銀行,斷估你會覺得應該搵差人,由警方建議銀行如何做好防盜。但點解私隱外洩就覺得關金記事?因為有個「重疊位」— 數據安全。不同監管機構對數據安全各有要求,目的都是履行各自的法定責任。例如金記要確保銀行體系穩健和存戶保障等等,而公署則是保障私隱。兩者要求可能近似但未必完全相同,而銀行就要同時滿足兩者要求。所以要分清楚權責範圍,當牽涉到私隱問題,合規與否及如何改正是公署的權責範圍。如果銀行蠢到唔聽公署話,金記從企業管治角度已可出手,但這是後話。

廣告

公署點管?有無資源管?

嘗試從公署的年報找答案,裏面有 case studies,值得睇,學到嘢。但有三個驚起(驚到彈起)位。

第一個驚起位是人手和資源。原來公署只有 75 人,涵蓋傳訊及教育、投訴、合規及查詢、企業支援、法律、和政策及研究六個部門,而且一年開支只有八千幾萬(證監開支係佢 20 倍,17 億幾)。以咁嘅人手資源,一年可以處理到萬六宗查詢、千六宗投訴、273 個循規審查及調查行動,仲有時間做 68 次傳媒訪問,真係堅過梁栢堅!但大話怕計數,inputs(資源 × 方法)= outputs(質 × 量)。雖然我深信公署職員必盡力工作,但 75 人要完成咁嘅量,除非「方法」好特別,「質」難免有所犧牲。

講到「方法」就發現第二個驚起位,公署在「執法」和「監察及監管符規」兩項工作的策略都有這句:「夥拍其他規管者,憑藉他們的法定權力、制度和執法權力,履行公署的責任」。我對此策略感到很奇怪,公署怎能把法定責任外判給其他規管者?其他規管者知唔知、有無同意?公署與其他規管者有無合作備忘錄說明如何分工?《私隱條例》有無賦予公署足夠權力履行責任,點解要借他人之力? 這策略會否導致受規管機構與不受規管機構出現雙重標準(因後者無得借力)?對於這些問題,希望公署能多說明,讓公眾理解。

第三個驚起位是有關 Facebook 的調查,年報提及「Facebook HK 並不控制香港帳戶資料的收集、持有、處理或使用,所以不能被視為《私隱條例》下的「資料使用者」; 雖然 Facebook Ireland 是香港帳戶的「資料使用者」,但沒有香港帳戶向公署表示受影響,故《私隱條例》 相關規管條文未能適用於是次事件。」這結論可能建基法律觀點,但從風險管理角度看就不太合理。要預防風險,公署不應只看結果,還要看有關安排,在最壞情況下可導致什麼惡果。另一個是操作問題:如真有香港帳戶表示受影響,公署究竟有無辦法搞得掂負責人員不在香港的 Facebook Ireland?

我非常尊敬及同情公署,管私隱即是管哂全世界所有可能有港人個人資料嘅機構,單是擁有大量個人資料的機構如金融機構、航空公司、旅行社、電訊公司、超市、藥房等等都唔知有幾多間!得咁少資源,除了扮管同埋屈其他監管機構幫手,仲有什麼辦法?希望公署能想清楚應該點管,要幾多資源管,然後積極向政府爭取。

 

原刊於貼地風管 Facebook

發表意見