[經濟法律] 私隱資料有錯須改

黃覺岸

個人資料很多時都會落入一些機構的手中，而機構若得授權可將資料交給第三者，最常見的是個人信貸資料（credit data），當這些資料有錯之時，信貸資料的保有者固然有更正資料的責任，而若然資料已經轉交給第三者，而資料的錯誤足以影響客戶的利益之時，資料保全者原來是有責任主動通知第三者去更正信貸的資料以保障客戶的名聲，若然沒有這樣做，個人資料私隱專員有責任接受投訴並展開調查。下面是一件有關的案件。

Yao Kit Ying Stephane V Privacy Commissioner for Personal Data [2012] 2HKC 344

上訴人從一間叫Trans Union Ltd的公司取得一份自己的信貸報告（Credit Report），這個公司擁有430萬香港消費者的信貸資料。她發覺自己的資料有誤，所以寫信給這個保有她私隱資料的公司要求更正。同時，她亦向私隱專員作出投訴（Privacy Commissioner for Personal Data）「香港個人資料私隱專員公署」進行調查，發現Trans Union在收到上訴人的投訴後與銀行磋商，並之後為上訴人準備了經修改的信貸報告。

但修改後的信貸報告明顯地顯示不正確的信貸紀錄曾經傳達（communicated）給一些第三者，這發生於一年時間以內。公司並無將修改的信貸報告重新傳達給這些第三者。

私隱專員公署認為全面調查已不需要，並告知上訴人，上訴人不滿並向公署的行政上訴委員會上訴，結果勝訴。下面是委員會作出的法律觀點分析。這些觀點對公署將來如何處理同類事件自然是有指導性作用的；

《個人資料（私隱）條例》中第23條，指如有資料使用者信納改正資料要求所關乎的個人資料不準確；在收到該項要求的40日內，他須對該資料作出所需的改正；他須向提出要求者提供經如此改正的資料副本一份；及如在之前的12個月內該資料曾經披露予第三者，而該資料使用者沒有理由相信第三者已將資料用於目的，他須採取所有切實可行的步驟，向該第三者提供改正的資料複本一份，所以：

（一） 不能假設銀行在考慮上訴人第二次申請信貸之時，會只是單一地依賴已修改的信貸報告而全不理會第一次申請時所發生的情由。

（二） 單是提供修正的信貸報告並不足夠，應同時提供修正本給所有曾經收到有關信貸資料的人，因為第一次的資料是錯誤及不準確的。

（三） 私隱專員公署有彈性的權力，當認為事件無傷大雅之時，不作進一步的調查。明顯今次事件並非無傷大雅，申請人有實質的影響，所以應繼續調查。

（四） 申請人要求的補償，可能是無理（No merit）或是超出公署的權力範圍，但這並非不需再調查的理由。

（五） 信貸提供者（credit provider）不應以為顧客保密為理由任由錯誤的資料繼續存在並使用。行政困難或是不方便能成為任由錯誤資料存在並繼續使用的理由。◇