2015年12月30日，东区裁判法院就一宗未经他人同意而将其个人资料提供予第三方用于直接促销的案件（ESS 24178-9/2015）裁定被告人罪名成立，成为首宗定罪案例。

案件背景

本案的两名被告人分别是地产代理梁先生及保险经纪谭小姐。梁先生在一次社交活动中获一名大学校友（「投诉人」）提供其姓名及手机号码（「个人资料」），当时梁先生没有告诉投诉人会将其个人资料提供予第三方（谭小姐）用于直接促销，亦没有就此取得投诉人的同意。

两个月后，谭小姐两度致电投诉人。第一次致电时，谭小姐介绍自己是一间保险公司的经纪，并表示她是从梁先生处获得投诉人的个人资料。第二次致电时，谭小姐再次尝试向投诉人推销财务计划及保险产品的资讯，投诉人立即表明对该等资讯无兴趣，并随即挂断电话。

基于该两次来电，投诉人于2014年4月向个人资料私隐专员公署提出投诉。

怎样才算是取得了直接促销的有效同意？

根据《个人资料（私隐）条例》（香港法例第486章）（《私隐条例》）第35C条，资料使用者如有意在直接促销中使用他人（资料当事人）的个人资料，必须采取以下指明行动：

1.          告诉资料当事人，资料使用者拟使用其个人资料；

2.          向资料当事人提供关于其个人资料的拟作用途的资讯；

3.          向资料当事人提供途径，让资料当事人可就上述拟作用途传达同意。

根据《私隐条例》第35J条，资料使用者如有意将资料当事人的个人资料提供予第三方用于直接促销，必须采取以下指明行动：

1.          以书面告知资料当事人，资料使用者拟提供其个人资料给第三方，而资料使用者必须获得资料当事人书面同意，方可提供有关资料给第三方； 

2.          向资料当事人提供以下书面资讯：(i) 是否为得益而提供其个人资料；(ii) 拟提供的个人资料的种类；(iii) 拟向甚么类别人士提供其个人资料；及 (iv) 资料当事人获提供途径，让资料当事人可就资料使用拟向第三方提供其个人资料一事以书面传达同意。

《私隐条例》规定，资料使用者（个人或机构）须先取得资料当事人的有效同意，才可将资料当事人的个人资料用于直接促销，或将该等个人资料转交给第三方用于直接促销。

《私隐条例》规定的有效同意，是指资料使用者必须告诉资料当事人：

1.          拟使用的个人资料种类；

2.          拟促销的产品或服务类别；及

3.          有甚么回应途径，让资料当事人作出或撤回同意。

此外，资料使用者将资料当事人的个人资料转交给第三方用于直接促销时，必须告知资料当事人：

1.          拟向甚么类别人士转交其个人资料；及

2.          是否为得益而转交其个人资料。

裁决

东区裁判法院裁定梁先生「未经采取指明行动而提供个人资料作直接促销」罪名成立，触犯了《私隐条例》第35J条。

根据《私隐条例》第35J条，未经采取指明行动并取得同意而将他人的个人资料提供予第三方，即属犯罪。裁判官指，如果梁先生从犯罪行为中获取了利益，最高刑罚为监禁5年及罚款港币1,000,000元。但是，如果梁先生没有从中获取利益，最高刑罚则为监禁3年及罚款港币500,000元。由于梁先生并没有从犯罪行为中获取利益，裁判官在考虑梁先生案情的所有因素后判处罚款港币5,000元。

另一方面，法院在考虑谭小姐案情的事实后，裁定她罪名不成立。根据《私隐条例》第35C条，未经采取指明行动而在直接促销中使用个人资料，即属犯罪。然而，由于投诉人打断了谭小姐的介绍并随即挂断电话，法院不排除她本来可能会尝试在介绍时先采取指明行动才进行促销。

总结

本案是首宗因直接促销而触犯《私隐条例》第35C及35J条的案例，由此可见，在社交场合向第三方透露他人的个人资料，无疑会面临更大的法律风险。不单商业资料使用者（例如保险公司、财务中介人或服务行业）应了解《私隐条例》提供的保护，涉及收集、保存、处理或转移个人资料的人士亦须注意保护个人资料的规定。商业资料使用者应在收集个人资料的材料中附上私隐政策声明及个人资料收集声明，以供资料当事人参考。