歐盟《通用數據保障條例》(GDPR,General Data Protection Regulation)於2018年5月25日生效,鑒於新條例適用於歐盟境內及境外,所以任何歐盟、跨國或香港企業/機構在處理歐盟居民的個人資料時,必須符合新標準,否則須付巨額罰款。香港貿發局中小企服務中心早前邀請法律專家講解《通用數據保障條例》,協助港商減低違規風險。
規範企業處理客戶個人資料
據了解,任何企業/機構如透過雲端建立大數據,或透過社交網站和手機應用程式投放廣告,均會牽涉用戶資料,因此在法例上該等企業/機構即被視為「資料控制者/資料處理者」。
盛德律師事務所(香港)律師馮嘉麒指出,《通用數據保障條例》是一套全面的個人資料保障及私隱制度,規範了企業(包括資料控制者/資料處理者在內)處理客戶個人資料的方法,以及賦予個人用戶查閱權、被遺忘權等保障自身資料的權利。該項條例不僅適用於歐盟成員國的企業/機構,甚至在世界各地設立據點(即歐盟境外)而持有任何歐盟居民(包括住在歐盟境內的香港人)資料的企業/機構,亦必須遵守此項條例。「只要客戶向企業/機構提供歐盟境內的住址資料,其個人資料便受到歐盟法例的保障。」
保障歐盟境內居民
在歐盟境內設立並收集或處理客戶個人資料的機關,一概被視為「歐盟資料控制者/資料處理者」。馮嘉麒說,歐盟法規雖尚未對「機關」角色有任何詳細的定義,但可把「機關」理解為「任何向歐盟人士進行貨品或服務推銷、出售、宣傳或促銷活動的分支機構或子公司、銷售辦事處或銷售代理機構」。
若歐盟境外企業/機構向歐盟境內人士提供貨品或服務、或採用Cookie等技術向他們作出網上追蹤或監察活動的行為,一概被視為「非歐盟資料控制者/資料處理者」。但馮嘉麒提醒中小企,任何歐盟境外企業/機構只要使用歐洲成員國的語言、歐盟域名.eu或採納歐元為交易貨幣,均構成向歐盟人士提供貨品或服務的行為,即使客戶沒有付款完成交易,其活動亦會受《通用數據保障條例》規管。
須先徵求歐盟客戶允許 方能將資料用作推廣用途
由於個人資料可用來識別「資料當事人」的身份,所以資料控制者/資料處理者需慎用及合理地使用個人資料,以免侵犯當事人的個人私隱。馮嘉麒稱,一般個人資料包括姓名、身份識別號碼、出生日期、位置資料、網上識別代號;而敏感個人資料則包括種族或民族本源、政見、宗教、工會會籍、性取向、健康狀況等。「一旦資料控制者/資料處理者對敏感個人資料處理不當,或會對當事人構成嚴重傷害或歧視性後果。新法例要求企業或機構,必須委任保障資料主任來處理大規模的敏感個人資料。」
為合法處理歐盟顧客的個人資料,在歐盟境內及境外的資料控制者/資料處理者,或任何負責處理資料的第三方機構,均須在網上以書面方式徵求當事人的同意,以及向當事人明確列明他們擁有撤回同意的權利,而書面內容所採用的語言須簡單、易明及容易讀取。
換言之,任何企業/機構如採用歐盟客戶的個人資料進行市場推廣,須事先取得客戶的同意。馮嘉麒補充,顧客需要確認被聯絡的意願,而且企業/機構須在意向書上向顧客提供「同意」及「不同意」選項。
他又指,由於Cookie技術可用來識別個人身份,故亦受新條例約束;當網站要使用Cookie技術來收集個人資料時,必須取得瀏覽者的同意,並向對方列明可撤回設置Cookie的權利。
增設資料外泄通報機制
馮嘉麒稱,《通用數據保障條例》強制規定企業/機構,在得悉外泄事故後的72個小時內,必須對外通報事故,並向歐盟成員國監管機構作出通報。他續指,通報內容包括外泄資料的性質和後果、受影響人士(資料當事人)的數目和種類,以及企業/機構所採取的補救措施。倘外泄事故對資料當事人的權利和自由造成高度風險,企業/機構亦有責任通知受影響人士。
另外,新法例亦引進罰款分級制度,某些違規行爲將可被處以高達1,000萬歐元,或上一個財政年度全球年度營業額2%的罰款(以較高者為準)。嚴重違規的資料掌控者或資料處理者,可被處以高達2,000萬歐元,或上一個財政年度全球年度總營業額4%的罰款(以較高者為準)。
相關網頁:
延伸閱讀: