非高等教育机构处理个人资料的注意事项-gpdp.pdfVIP

澳 門 特 別 行 政 區 政 府 Governo da Região Administrativa Especial de Macau 個 人 資 料 保護 辦 公 室 Gabinete para a Protecção de Dados Pessoais 非高等教育機構處理個人資料的注意事項 隨著第 8/2005 號法律（《個人資料保護法》）的實施 ，教育機構在處理學 生和家長的個人資料的時候，會遇到不少在法律上需要清晰釐定的實務問題，當 中不少涉及不同權利間的衝突和平衡。 為了減少涉及個人資料處理所產生的各種矛盾紛爭給教育機構帶來的困擾 和負擔，也為了《個人資料保護法》更有效地實施，本辦公室特制定本注意事項 ， 供教育機構、學生和家長參考。考慮到高等教育機構的特殊性，在本注意事項中， 主要是針對第 9/2006 號法律 （《非高等教育制度綱要法》）中所指的非高等教 育機構的個人資料處理作出指引。 一〃《個人資料保護法》的適用 《個人資料保護法》第3 條第 1 款指 ，該法律“適用於全部或部份以自動化 方法對個人資料的處理，以及以非自動化方法對存於或將存於人手操作的資料庫 內的個人資料的處理” 。同一法律第4 條第 1 款（一）項指， ‚個人資料‛是“與 某個身份已確定或身份可確定的自然人（ ‘資料當事人’）有關的任何資訊，包 括聲音和影像，不管其性質如何以及是否擁有載體。所謂身份可確定的人是指直 接或間接地，尤其透過參考一個認別編號或者身體、生理、心理、經濟、文化或 社會方面的一個或多個特徵，可以被確定身份的人” 。 因此，教育機構對個人資料的處理 ，應受《個人資料保護法》規範。 二〃負責處理個人資料的實體 《個人資料保護法》第4 條第 1 款 （五）項規定 ，“負責處理個人資料的實 體” （下稱‚負責實體‛）是指 ：“尌個人資料處理的目的和方法，單獨或與他 人共同作出決定的自然人或法人，公共實體、部門或任何其他機構” 。 與‚負責實體‛相關的另一個的概念是‚次合同人‛。 《個人資料保護法》 第4 條第 1 款 （六）項規定 ，‚次合同人‛是指‚受負責處理個人資料的實體的 委託而處理個人資料的自然人或法人，公共實體、部門或任何其他機構‛。雖然 1 《非高等教育機構處理個人資料的注意事項》徵求意見稿 澳 門 特 別 行 政 區 政 府 Governo da Região Administrativa Especial de Macau 個 人 資 料 保護 辦 公 室 Gabinete para a Protecção de Dados Pessoais ‚次合同人‛也處理個人資料，但卻只是受‚負責實體‛的委託進行，不能尌個 人資料處理的目的和方法作出自主的決定。有時候，‚次合同人‛表面上看起來 好像也有一些決定權，但從委託關係可以明顯看到，這些決定實質上是由作為委 託方的‚負責實體‛決定或作出選擇的。最簡單的判斷方法是 ，如果‚負責實 體‛決定終止委託，且不論是否涉及違約賠償等經濟考慮，單在個人資料的處理 而言，‚次合同人‛必然已經不可以再有處理有關資料的合法條件。 一般而言，教育機構對其自身範圍內的個人資料處理，由於其對個人資料處 理的目的和方法有決定權，故是相關處理中的 ‚負責實體‛。 有些時候，有些個人資料處理雖然是在教育機構範圍內進行，但卻不屬於該 教育機構的活動，其 ‚負責實體‛則應是其他機構。而教育機構是否 ‚次合同 人‛ ，則需看其是否有受‚負責實體‛委託進行資料處理。 有些時候，有些個人資料處理雖然是在教育機構範圍外進行，但仍屬於該教 育機構的活動，教育機構仍然掌控資料處理的決定權，仍然是 ‚負責實體‛。 例 1 ：學校場地租賃 A 社團租用了B 學校的體育館舉辦一項體育比賽，參加者是來自不同學校 的學生。A 社團準備了參賽者的名單，舉辦了比賽及頒獎，並