抽查报告用户在顾客奖赏计划中对个人资料的掌控.pdf

2017 年抽查報告 ： 用戶在顧客獎賞計劃中 對個人資料的掌控程度 2017年12月18日 目錄 I. 摘要2 II. 抽查行動的目的3 III. 抽查的方法4 IV. 全球抽查結果4 V. 公署抽查結果4 VI. 結論及建議9 附錄–抽查行動統計數據 11 1 I. 摘要 在 2017 年，香港個人資料私隱專員公署（公署）連續第五年參與 「全球私隱執法機關網絡」（Global Privacy Enforcement Network ）的抽查 行動 。 2. 本年抽查行動的主題是「用戶對其個人資料的掌控程度」。二十四個 來自世界各地的私隱執法機關（包括公署）參與了抽查行動，當中主要透過 檢視個人資料收集表格、私隱政策及收集個人資料聲明，評估不同行業在私 隱方面的實務措施。 3. 抽查行動在 2017 年 5 月22 至 26 日期間進行。公署檢視了六個不同 行業的30 個顧客獎賞計劃 ，即零售、酒店、餐飲、航空、戲院及汽油。 4. 公署在抽查行動所得的主要觀察結果簡述如下： A. 欠缺透明度： 雖然所有顧客獎賞計劃都備有私隱政策，但大多 數政策均使用空泛及含糊的字眼 ，以致欠缺透明度 。 B. 沒有具意義的同意： 大部分計劃在登記時向顧客取得「綑綁式 1 同意」 ，以便將他們的資料用於多項用途。顧客通常沒有真正 的選擇。 C. 欠缺對個人資料的控制： 顧客沒有獲提供適當的途徑以要求刪 除其個人資料 、反對分享其個人資料 ，以及反對利用其個人資 料進行個人概況彙編等，顧客因而不能對其個人資料作有效的 控制。數據中介行業的興起令人更難掌握資料最終會落在何人 手中。 1 「綑綁式同意」是指顧客只能夠一并地接納服務的所有條款及細則 ，而不能單獨地拒絕資料使 用者將其個人資料用於不相關的目的。 2 2 D. 涉及大數據分析 及個人概況彙編的私隱風險 ：很多計劃在其 私隱政策中表明有意使用個人資料作大數據分析、個人概況彙 編及／或自動化決策，這些做法會增加私隱風險，例如：  過度收集個人資料；  從匿名資料中再識別個人的身份；及  揭露個人私密生活的詳情。 5. 公署促請顧客獎賞計劃的營運商坦誠地向顧客說明其私隱政策及實 務 、尊重顧客的個人資料私隱權利，以及讓顧客可以掌控其個人資料。公署 亦建議個人在參加顧客獎賞計劃前要三思，小心衡量私隱風險。 II. 抽查行動的目的 6. 「全球私隱執法機關網絡」是按經濟合作與發展組織的建議於 2010 年成立 ，旨在促進私隱規管者在全球化環境下的跨境合作。抽查行動的目的 是：  加強公眾及商業機構對保障私隱的權利和責任的認識 ；  找出值得關注的私隱議題 ；及  鼓勵業界遵從私隱法規 。 7. 2017 年的抽查行動旨在通過檢視機構的私隱政策及實務措施 ，以了解 用戶對其個人資料的掌控程度 。公署一共抽查了本港六個不同行業 （即零 售、酒店、餐飲、航空、戲院及汽油）的30個顧客獎賞計劃 。公署檢視有關 顧客獎賞計劃 ，是考慮到它們在本地市場的普及程度及可能向數目龐大的人 士收集大量個人資料。 2 「大數據分析」指分析從廣泛途徑取得的大量資料，即大數據，以找出不同事物及行為的模式及 關連，而這些模式及關連在未經分析前