阿涂於2013年4月17日會議上向政府質詢有關「規管個人資料用於直接促銷」問題，詳情如下：
=================================================================
=================================================================
立法會十四題：規管個人資料用於直接促銷的情況
以下為今日（四月十七日）在立法會會議上涂謹申議員的提問和政制及內地事務局局長譚志源的書面答覆：
問題：
《2012年個人資料（私隱）（修訂）條例》（《修訂條例》）自今年四月一日起全面實施。其中一項新規定是：個人資料使用者在把個人資料用於直接促銷（直銷），或提供個人資料予另一人以供用於直銷（直銷用途）前，須告知資料當事人，並收到回覆表示不反對資料使用者這樣做。《修訂條例》有不溯既往的安排，如果有關機構在該項規定生效前曾通知其客戶收集和使用他們的個人資料的目的、曾向他們進行直銷活動，以及他們從無拒絕該等直銷活動，則該等機構可以在該項規定生效後繼續把有關的個人資料用作直銷用途。不少銀行和電訊服務公司等機構因此在四月一日前向其現有客戶發出通知函件，表示機構會把他們的個人資料用於直銷用途，如果客戶不同意這做法，他們可通知機構行使選擇權拒絕促銷。就此，政府可否告知本會：
（一）鑑於不少資料當事人並不知悉他們不理會通知函件，即表示同意有關機構繼續使用他們的個人資料作直銷用途，當局是否知悉，個人資料私隱專員公署（公署）有否評估上述規定會否因此不能有效地防止該等機構的現有客戶的個人資料，在他們不知情的情況下，被繼續用作直銷用途；
（二）是否知悉，各銀行和電訊服務公司提供的安排（包括客戶可否從該等機構的網頁下載回應表格），是否便利其客戶就上述於四月一日前收到的通知函件作出回應，拒絕把他們的個人資料用作直銷用途，或於日後提出停止該用途的要求，以及該等機構提供的回應表格的內容有否違反公署於本年一月發出的《直接促銷新指引》；若該等機構沒有提供便利的安排或其提供的回應表格的內容違反該新指引，公署會否要求該等機構作出改善；
（三）是否知悉，大部分機構是否已在其回應表格內，讓客戶分別選擇是否同意接收循不同途徑（例如郵寄、人對人直銷電話、流動電話訊息及電郵等）發出的直銷信息；
（四）是否知悉，大部分機構是否已在其回應表格內，讓客戶分別指明他們是否同意該等機構（i）把其個人資料用於直銷機構的產品及服務，以及（ii）提供其個人資料予另一人以供用於直銷；若沒有提供這樣的選項，公署會否要求該等機構作出改善；
（五）是否知悉，大部分銀行是否已在其回應表格內，讓客戶分別選擇是否同意接收不同種類的產品（包括存款、按揭貸款、私人貸款、信用卡、投資、保險及強積金產品等）的直銷信息；若沒有讓客戶作出該等選擇，公署會否要求銀行作出改善；及
（六）是否知悉，公署會於何時檢討上述規定的實施情況，以保障個人資料在未得資料當事人明確同意下不會被用作直銷？
答覆：
主席：
經修訂的《個人資料（私隱）條例》（《條例》）下，除非有關豁免適用，資料使用者如擬在直接促銷中使用某資料當事人的個人資料，必須告知該資料當事人：（1）他擬如此使用資料當事人的個人資料；（2）擬使用的個人資料的種類；（3）擬就甚麼類別的促銷標的而使用；及（4）他須得到資料當事人的同意，方可如此使用該資料。此外，資料使用者須向資料當事人提供回應途徑，讓資料當事人可在無需向該資料使用者繳費的情況下，傳達同意或不反對。上述資訊須以易於理解的方式呈示，如屬書面資訊，內容必須易於閱讀。
《條例》中的豁免安排，容許機構可在下述四個條件全部符合的情況下毋須依從新規定而繼續在直接促銷中使用在二○一三年四月一日前已收集的客戶的個人資料。該四個條件是：（1）資料當事人已獲資料使用者以易於理解和（如以書面方式告知）閱讀的方式明確告知，其個人資料擬在或在直接促銷中，就該類別的促銷標的而被使用；（2）該資料使用者已如此使用該資料當事人的任何資料；（3）該資料當事人沒有要求該資料使用者停止如此使用該資料當事人的任何資料；及（4） 該資料使用者沒有就該項使用而違反於該項使用時有效的《條例》的任何條文。
此外，不論在《條例》修訂之前或之後，資料當時人都可隨時向資料使用者提出，反對在直接促銷中使用其個人資料，而資料使用者便不得如此使用該資料，否則便需負上刑責。《條例》修訂後，一經定罪，可處罰款$500,000及監禁三年。
就問題的各部份，答覆如下：
（一）如上文引言所述，資料當事人的個人資料理應不會在他不知情的情況下在直接促銷中被使用。但無論如何，即使資料當事人從來沒有提出拒絕其個人資料被用於直接促銷，他仍一如以往繼續享有隨時提出拒絕的權利，而資料使用者必須依從。
（二）至（六）《條例》並無就問題第（二）至第（五）部分所述的回應表格模式作出硬性規定，但個人資料私隱專員公署（公署）已分別為機構及公眾人士發出「直接促銷新指引」及「根據《個人資料（私隱）條例》行使你同意及拒絕直接促銷活動的權利」資料單張，當中建議機構向客戶就以下項目提供選擇：（1）機構在直接促銷中使用的個人資料的種類；（2）容許機構本身使用其個人資料或提供個人資料予其他人作直接促銷；及（3）可以使用個人資料作直接促銷的各種產品／設施／服務的類別。如資料使用者不提供選項，資料當時人可選擇拒絕讓機構使用其個人資料進行直接促銷或提供其個人資料予其他人作直接促銷。
至於有關各機構的回應表格安排，由於新規定剛實施不久，公署正密切留意機構的做法，並根據所接獲的查詢和投訴監察有關情況。
以下為今日（四月十七日）在立法會會議上涂謹申議員的提問和政制及內地事務局局長譚志源的書面答覆：
問題：
《2012年個人資料（私隱）（修訂）條例》（《修訂條例》）自今年四月一日起全面實施。其中一項新規定是：個人資料使用者在把個人資料用於直接促銷（直銷），或提供個人資料予另一人以供用於直銷（直銷用途）前，須告知資料當事人，並收到回覆表示不反對資料使用者這樣做。《修訂條例》有不溯既往的安排，如果有關機構在該項規定生效前曾通知其客戶收集和使用他們的個人資料的目的、曾向他們進行直銷活動，以及他們從無拒絕該等直銷活動，則該等機構可以在該項規定生效後繼續把有關的個人資料用作直銷用途。不少銀行和電訊服務公司等機構因此在四月一日前向其現有客戶發出通知函件，表示機構會把他們的個人資料用於直銷用途，如果客戶不同意這做法，他們可通知機構行使選擇權拒絕促銷。就此，政府可否告知本會：
（一）鑑於不少資料當事人並不知悉他們不理會通知函件，即表示同意有關機構繼續使用他們的個人資料作直銷用途，當局是否知悉，個人資料私隱專員公署（公署）有否評估上述規定會否因此不能有效地防止該等機構的現有客戶的個人資料，在他們不知情的情況下，被繼續用作直銷用途；
（二）是否知悉，各銀行和電訊服務公司提供的安排（包括客戶可否從該等機構的網頁下載回應表格），是否便利其客戶就上述於四月一日前收到的通知函件作出回應，拒絕把他們的個人資料用作直銷用途，或於日後提出停止該用途的要求，以及該等機構提供的回應表格的內容有否違反公署於本年一月發出的《直接促銷新指引》；若該等機構沒有提供便利的安排或其提供的回應表格的內容違反該新指引，公署會否要求該等機構作出改善；
（三）是否知悉，大部分機構是否已在其回應表格內，讓客戶分別選擇是否同意接收循不同途徑（例如郵寄、人對人直銷電話、流動電話訊息及電郵等）發出的直銷信息；
（四）是否知悉，大部分機構是否已在其回應表格內，讓客戶分別指明他們是否同意該等機構（i）把其個人資料用於直銷機構的產品及服務，以及（ii）提供其個人資料予另一人以供用於直銷；若沒有提供這樣的選項，公署會否要求該等機構作出改善；
（五）是否知悉，大部分銀行是否已在其回應表格內，讓客戶分別選擇是否同意接收不同種類的產品（包括存款、按揭貸款、私人貸款、信用卡、投資、保險及強積金產品等）的直銷信息；若沒有讓客戶作出該等選擇，公署會否要求銀行作出改善；及
（六）是否知悉，公署會於何時檢討上述規定的實施情況，以保障個人資料在未得資料當事人明確同意下不會被用作直銷？
答覆：
主席：
經修訂的《個人資料（私隱）條例》（《條例》）下，除非有關豁免適用，資料使用者如擬在直接促銷中使用某資料當事人的個人資料，必須告知該資料當事人：（1）他擬如此使用資料當事人的個人資料；（2）擬使用的個人資料的種類；（3）擬就甚麼類別的促銷標的而使用；及（4）他須得到資料當事人的同意，方可如此使用該資料。此外，資料使用者須向資料當事人提供回應途徑，讓資料當事人可在無需向該資料使用者繳費的情況下，傳達同意或不反對。上述資訊須以易於理解的方式呈示，如屬書面資訊，內容必須易於閱讀。
《條例》中的豁免安排，容許機構可在下述四個條件全部符合的情況下毋須依從新規定而繼續在直接促銷中使用在二○一三年四月一日前已收集的客戶的個人資料。該四個條件是：（1）資料當事人已獲資料使用者以易於理解和（如以書面方式告知）閱讀的方式明確告知，其個人資料擬在或在直接促銷中，就該類別的促銷標的而被使用；（2）該資料使用者已如此使用該資料當事人的任何資料；（3）該資料當事人沒有要求該資料使用者停止如此使用該資料當事人的任何資料；及（4） 該資料使用者沒有就該項使用而違反於該項使用時有效的《條例》的任何條文。
此外，不論在《條例》修訂之前或之後，資料當時人都可隨時向資料使用者提出，反對在直接促銷中使用其個人資料，而資料使用者便不得如此使用該資料，否則便需負上刑責。《條例》修訂後，一經定罪，可處罰款$500,000及監禁三年。
就問題的各部份，答覆如下：
（一）如上文引言所述，資料當事人的個人資料理應不會在他不知情的情況下在直接促銷中被使用。但無論如何，即使資料當事人從來沒有提出拒絕其個人資料被用於直接促銷，他仍一如以往繼續享有隨時提出拒絕的權利，而資料使用者必須依從。
（二）至（六）《條例》並無就問題第（二）至第（五）部分所述的回應表格模式作出硬性規定，但個人資料私隱專員公署（公署）已分別為機構及公眾人士發出「直接促銷新指引」及「根據《個人資料（私隱）條例》行使你同意及拒絕直接促銷活動的權利」資料單張，當中建議機構向客戶就以下項目提供選擇：（1）機構在直接促銷中使用的個人資料的種類；（2）容許機構本身使用其個人資料或提供個人資料予其他人作直接促銷；及（3）可以使用個人資料作直接促銷的各種產品／設施／服務的類別。如資料使用者不提供選項，資料當時人可選擇拒絕讓機構使用其個人資料進行直接促銷或提供其個人資料予其他人作直接促銷。
至於有關各機構的回應表格安排，由於新規定剛實施不久，公署正密切留意機構的做法，並根據所接獲的查詢和投訴監察有關情況。
