2015年12月30日，東區裁判法院就一宗未經他人同意而將其個人資料提供予第三方用於直接促銷的案件（ESS 24178-9/2015）裁定被告人罪名成立，成為首宗定罪案例。

案件背景

本案的兩名被告人分別是地產代理梁先生及保險經紀譚小姐。梁先生在一次社交活動中獲一名大學校友（「投訴人」）提供其姓名及手機號碼（「個人資料」），當時梁先生沒有告訴投訴人會將其個人資料提供予第三方（譚小姐）用於直接促銷，亦沒有就此取得投訴人的同意。

兩個月後，譚小姐兩度致電投訴人。第一次致電時，譚小姐介紹自己是一間保險公司的經紀，並表示她是從梁先生處獲得投訴人的個人資料。第二次致電時，譚小姐再次嘗試向投訴人推銷財務計劃及保險產品的資訊，投訴人立即表明對該等資訊無興趣，並隨即掛斷電話。

基於該兩次來電，投訴人於2014年4月向個人資料私隱專員公署提出投訴。

怎樣才算是取得了直接促銷的有效同意？

根據《個人資料（私隱）條例》（香港法例第486章）（《私隱條例》）第35C條，資料使用者如有意在直接促銷中使用他人（資料當事人）的個人資料，必須採取以下指明行動：

1.          告訴資料當事人，資料使用者擬使用其個人資料；

2.          向資料當事人提供關於其個人資料的擬作用途的資訊；

3.          向資料當事人提供途徑，讓資料當事人可就上述擬作用途傳達同意。

根據《私隱條例》第35J條，資料使用者如有意將資料當事人的個人資料提供予第三方用於直接促銷，必須採取以下指明行動：

1.          以書面告知資料當事人，資料使用者擬提供其個人資料給第三方，而資料使用者必須獲得資料當事人書面同意，方可提供有關資料給第三方；

2.          向資料當事人提供以下書面資訊：(i) 是否為得益而提供其個人資料；(ii) 擬提供的個人資料的種類；(iii) 擬向甚麼類別人士提供其個人資料；及 (iv) 資料當事人獲提供途徑，讓資料當事人可就資料使用擬向第三方提供其個人資料一事以書面傳達同意。

《私隱條例》規定，資料使用者（個人或機構）須先取得資料當事人的有效同意，才可將資料當事人的個人資料用於直接促銷，或將該等個人資料轉交給第三方用於直接促銷。

《私隱條例》規定的有效同意，是指資料使用者必須告訴資料當事人：

1.          擬使用的個人資料種類；

2.          擬促銷的產品或服務類別；及

3.          有甚麼回應途徑，讓資料當事人作出或撤回同意。

此外，資料使用者將資料當事人的個人資料轉交給第三方用於直接促銷時，必須告知資料當事人：

1.          擬向甚麼類別人士轉交其個人資料；及

2.          是否為得益而轉交其個人資料。

裁決

東區裁判法院裁定梁先生「未經採取指明行動而提供個人資料作直接促銷」罪名成立，觸犯了《私隱條例》第35J條。

根據《私隱條例》第35J條，未經採取指明行動並取得同意而將他人的個人資料提供予第三方，即屬犯罪。裁判官指，如果梁先生從犯罪行為中獲取了利益，最高刑罰為監禁5年及罰款港幣1,000,000元。但是，如果梁先生沒有從中獲取利益，最高刑罰則為監禁3年及罰款港幣500,000元。由於梁先生並沒有從犯罪行為中獲取利益，裁判官在考慮梁先生案情的所有因素後判處罰款港幣5,000元。

另一方面，法院在考慮譚小姐案情的事實後，裁定她罪名不成立。根據《私隱條例》第35C條，未經採取指明行動而在直接促銷中使用個人資料，即屬犯罪。然而，由於投訴人打斷了譚小姐的介紹並隨即掛斷電話，法院不排除她本來可能會嘗試在介紹時先採取指明行動才進行促銷。

總結

本案是首宗因直接促銷而觸犯《私隱條例》第35C及35J條的案例，由此可見，在社交場合向第三方透露他人的個人資料，無疑會面臨更大的法律風險。不單商業資料使用者（例如保險公司、財務中介人或服務行業）應了解《私隱條例》提供的保護，涉及收集、保存、處理或轉移個人資料的人士亦須注意保護個人資料的規定。商業資料使用者應在收集個人資料的材料中附上私隱政策聲明及個人資料收集聲明，以供資料當事人參考。