香港私隱法例與您的軟件項目:淺白說明。

法例涵蓋什麼

私隱條例規管個人資料的收集、持有、處理及使用 — 即與在世個人有關、並可據以識別該人的資料。客戶名單、預約記錄、登記資料、查詢表格、員工記錄,甚至相片,都可能屬於個人資料。該法例由個人資料私隱專員公署(私隱專員公署)監督,公署以中英文發布指引。

本指南描述法例的大致輪廓,並未涵蓋每種情況或豁免,而且自撰寫以來細節可能已有改變。

六項保障資料原則,化為設計問題

私隱條例建基於六項原則。以下是每項原則如何變成您項目的問題:

• 1. 收集目的及方式。每個欄位為何需要?使用者在交出資料前知道用途嗎?有沒有「以防萬一」而收集的東西?
• 2. 準確性及保留期間。人們如何更正其資料?您何時刪除不再需要的資料?
• 3. 使用。資料只會用於您所說明的目的,還是用於人們意想不到的用途,例如促銷或分享?
• 4. 保安。誰可以看到資料?儲存及傳輸時有保護嗎?裝置遺失或帳戶被入侵時會怎樣?
• 5. 公開性。您有清晰的私隱聲明及政策,讓人找得到並看得懂嗎?
• 6. 查閱及更正。如果有人問您持有他們什麼資料,您能找到並及時回覆嗎?

規劃產品時這意味著什麼

• 精簡表格。每個欄位都是一份責任。只詢問服務所需的資料。
• 及早撰寫聲明。在收集資料處以簡短聲明說明收集什麼、原因、誰會查看,以及如何聯絡您。如果使用者閱讀中英文,兩種語言都要提供。
• 把刪除納入設計。決定保留期限,並建立刪除或匿名化的方法,而不是永遠保存一切。
• 控制存取。按職責給予員工所需的權限,並就敏感資料記錄誰做了什麼。
• 為申請做好準備。能夠找出、匯出及更正某人資料的方法,日後可省去很多麻煩。

敏感及特殊情況

• 健康、財務及兒童資料即使法例沒有更具體的規定,也值得額外審慎。請參閱我們就診所、教育及金融撰寫的行業說明。
• 資料外洩。預先計劃若資料外洩您會怎麼做:誰負責調查、通知誰、如何通知。私隱專員公署已發布處理外洩事故的指引;請查核目前的規定或建議。
• Cookie 及分析工具。追蹤訪客可能涉及個人資料。請清楚說明您使用什麼及原因。

可以向開發商提出的問題

• 產品會收集哪些個人資料?其中有哪些可以刪去?
• 資料儲存在哪裡?誰可以存取,包括你們自己的員工?
• 它如何受到保護?備份如何處理?
• 哪些第三方服務會收到資料?它們在哪裡營運?
• 我們如何應要求刪除或匯出某人的資料?
• 萬一出事,計劃是什麼?

本指南的限度

某個設計是否合規,取決於我們不知道的事實,而法例及私隱專員公署的指引亦可能改變。我們在開發軟件時會顧及這些原則,但我們不提供法律意見。對於基本要求以外的事項 — 或資料屬敏感 — 請諮詢香港律師,或參考私隱專員公署自己的資料。

延伸閱讀

相關指南:為香港設計表格及資料、小型企業軟件及網站的保安基礎。