為何香港必須趕上改變中的中國私隱法例

中國法律教授郭兵起訴杭州野生動物世界,在未徵得其同意下不當使用人臉識別技術,案件最近取得了部分勝利。

然而,法院認為園區在商業營運中有權使用生物識別技術,郭兵不滿判決上訴。若他勝訴,本案可能會成為中國首宗公民控告信息收集者勝訴的案例。判決可能會引發一輪指控政府和企業侵權的法律挑戰。

無可否認,信息是最有價值的商品,而中國在獲取信息資源方面處於領先地位,許多科技公司都在爭奪競爭優勢。2019年,以信息價值為基礎的新經濟佔中國國內生產總值的16.3%。

在中國,公共場所安裝了超過2000萬個監控攝影機,收集了大量公民的生物識別信息。在私營領域,中國人依賴網上購物和移動支付,也建立了消費者信息庫,引發網絡安全問題。

郭兵的案件只是冰山一角。近年備受矚目的信息洩露事件增加,令信息私隱成為討論焦點。為應對公眾關注的日益增加,中國於2021年8 月20日出台的《個人信息保護法》,為中國互聯網使用者提供全面的信息保護。這項法律並非雷聲大雨點小,它規定政府機構與私人公司一樣,在收集信息之前須獲得同意。不受監管地利用信息資源的時代可能已經結束。隨著對私隱的規定更加嚴格,科技和廣告公司的數據變現策略將面對更嚴格的審查。

作為最大的互聯網用戶市場和數據經濟體,中國的數據私隱框架具有域外影響力,可以規管向他們提供產品或服務的個人信息跨境處理。

這對香港有何影響?許多香港企業進入數碼市場後,客戶開始留下巨大的數碼財富,而這些財富以往在實體環境是無法識辨的。數據收集和處理通常經過多個管轄接觸點。任何為中國客戶提供服務的香港公司,可能很快就必須遵守中國的私隱法例。

事實上,違規的後果很嚴重。新法例允許監管機構對違規行為處以類近歐盟《通用資料保護規則》的巨額罰款,後者被認為是全球最嚴厲的私隱法例。

相比之下,香港自我規管做法的缺點日漸顯現。2018年,國泰航空捲入大量數據洩露醜聞,引起本地媒體關注。兩年過去了,除了英國私隱監管機構對國泰的違規行為處以巨額罰款外,這宗醜聞並沒有改變人們對自我規管的看法。許多公司繼續採取模糊的數據使用政策。互聯網用戶被高度個人化的內容淹沒,即使他們並不願意。在搜尋網站上隨便點擊一下產品,就會有大量類似商品的廣告彈出。

儘管公眾覺醒了,但香港的數據私隱制度在廣度和深度上都是有限的。作為數據私隱方面的主要機關,個人資料私隱專員經常被詬病為「無牙老虎」,缺乏監管數據收集活動的執法權。

與要求72小時內強制報告違規的歐盟法例不同,香港沒有要求數據收集者在發生數據洩露時通知當局或受影響的數據主體,沒有統一的方法處理違規行為。有些公司可能擔心聲譽受損和規管處分而選擇不作為。國泰航空在2014年發生數據洩露事件,但近四年後才作出報告。沒有統一的處理方法,我們均可能受數據收集者潛在濫用數據的影響。

長期以來,反對私隱法例者辯稱,額外的法規可能會阻礙創新。但若失去信任,創新也會受到影響。若消費者憂慮其數據會如何被處理,就很難有新產品產生。蓬勃的營商環境必須以消費者對商品和服務的信任為基礎。事實上,國泰航空已為沒有保障消費者數據付出沉重代價。使用數據的企業應該把數據保護視為首要工作。

作為普通法司法管轄區,香港很少向內地尋求立法指引。但在數據隱私方面,我們不妨參考中國的相關做法。兩地的經濟高度一體化,為了減少法律碎片化,香港有需要與新的私隱法例作出協調。與普遍的看法相反,隨著新法例即將通過,中國制度不再是反對數據保護的借口。

數據經濟激增加劇了數據收集與私隱保障之間的拉鋸。若以合乎道德的方式加以利用,信息的自由流動可以為公司提供改善公民生活的知識,以及更有效的政府來回應社會需求。但若置之不管,政府和企業傾向利用互聯網的知識流通,毫無顧忌地濫用權力。

香港現在必須在消除公眾恐懼和推動科技創新之間取得平衡。在香港公司在中國內地爭奪競爭優勢的同時,我們對數據私隱的看法不能一成不變,不能在監管暫停的狀態下運作。

我們無需全盤採納新的中國法例或歐盟的法例,但大可以它們作為模板,而非依賴無效的法例東拼西湊,或者完全忽略數據保護問題。新的法律制度將有助於創造商業環境,讓使用者可以安全地決定在何處與誰分享信息。未來已經到臨,我們必須訂立法例,別要臨陣磨槍,應該開始計劃。

聯合醫務集團有限公司法務總監及個人資料保護專員