簡介

在2019年6月至2021年4月期間，政府及個人資料私隱專員公署（「私隱專員」）收到超過5,700宗與起底有關的投訴。為打擊侵犯個人資料私隱的起底行為，政制及內地事務局於2021年5月11日建議修訂《個人資料（私隱）條例》（香港法例第486章）（《私隱條例》）。修訂條例草案於2021年9月29日獲通過，而《2021年個人資料（私隱）（修訂）條例草案》（「修訂條例」）已於2021年10月8日生效。為配合修訂條例的實施，私隱專員於2021年10月發出了指引（「該指引」），說明起底罪行的範圍以及私隱專員在修訂條例下就起底行為的執法權力。

起底罪行的範圍

起底一般是指從不同來源收集個人資料，然後在網上惡意透露該等個人資料的行為。在原有的《私隱條例》下，任何人如未獲資料使用者同意而披露資料當事人的個人資料並導致資料當事人蒙受傷害，即屬犯罪。

修訂條例第64條新增了兩級制的罪行，將未獲資料當事人同意而故意或罔顧後果地披露其個人資料的行為列為刑事罪行。假如起底行為對資料當事人或其家人造成實際的「指明傷害」，即觸犯第二級罪行，最高可處罰款港幣100萬元及監禁5年。至於未能證實造成「指明傷害」的情況，則屬第一級罪行，最高可處第6級罰款（即港幣10萬元）及監禁2年。如不遵守或不配合私隱專員的刑事調查及其發出的停止披露通知，亦會觸犯其他附帶罪行。

修訂條例就「指明傷害」訂下廣泛的定義，包括四個類別：(i) 對該人的滋擾、騷擾、纏擾、威脅或恐嚇；(ii) 對該人的身體傷害或心理傷害； (iii) 導致該人合理地擔心其安全或福祉的傷害；及 (iv) 該人的財產受損。該指引就上述每類「指明傷害」提供了例子，包括滋擾電話及短訊、濫用個人資料申請貸款、在學校欺凌投訴人的子女及擾亂婚禮。

私隱專員的權力

刑事調查和檢控權力

在原有的《私隱條例》下，私隱專員須將案件轉介警方及律政司以提出檢控。條例修訂後，私隱專員具有新的調查及執法權力，包括：

1. 強制提供資料、出席會面及提供其他協助的權力（修訂條例第66D條）；
2. 取得手令後，進入及搜查處所，並檢取、移走及扣留該處所內的任何材料的權力（修訂條例第66G(2) 條）；
   
3. 取得裁判官手令後（或在緊急情況下無須取得手令），接達、檢取及扣留電子器材，並解密、搜尋及複製該器材儲存的任何材料（修訂條例第66G(3) 及 (8) 條）；
   
4. 截停、搜查和拘捕任何被合理懷疑已觸犯若干《私隱條例》罪行（包括起底）的人的權力（修訂條例第66H條）；及
   
5. 以私隱專員本身的名義檢控第一級起底罪行及其他可循簡易程序審訊的罪行，並將所有循公訴程序定罪的罪行轉介警方跟進及由律政司提出檢控（修訂條例第64C條）。
   

要求停止起底內容的權力

私隱專員亦獲賦予一項新的權力，就是發出停止披露通知，強制移除以被合理相信為構成起底罪行的方式披露的內容。上述通知可向起底內容的披露者、電子平台營運商、互聯網服務供應商或網頁寄存服務提供商發出。若有關訊息屬電子訊息，私隱專員可向非香港服務供應商發出停止披露通知，指示該供應商停止披露有關資料。不遵守停止披露通知亦屬刑事罪行，可被處罰款及監禁。為鼓勵守法，修訂條例第66P條提供了豁免條文，任何人不得僅因遵從停止披露通知而招致對另一人的任何民事法律責任。

根據修訂條例第66N條，任何受停止披露通知影響的人，可以在有關通知送達日期後的14日內向行政上訴委員會提出上訴，但在等候上訴期間仍必須遵守停止披露通知列明的規定。

影響

在修訂條例下，對於在香港提供服務的海外科技供應商，例如社交媒體平台營運商、網上搜尋引擎營運商及互聯網服務供應商，如私隱專員合理相信他們能夠採取停止披露通知所要求的步驟，他們則須遵守停止披露通知。若這類國際企業在香港設有分支辧事處，能接收停止披露通知，則可能發生上述情況。

在收到停止披露通知後，本地員工將面臨困難的選擇，因為他們往往無法控制在其海外運營或管理的社交媒體平台上進行的起底行為，因此無法移除該社交媒體平台上被指起底的內容。無論如何，若香港僱員未能移除有關內容，則可能須根據修訂條例承擔刑事責任。儘管第66P條鼓勵人們遵守停止披露通知，但預計仍然會因為修訂條例的治外法權而產生遵守停止披露通知的問題。

要點

《私隱條例》的修訂實施後，市民在網上檢索、整理、綜合、報告及重新發布資料時，最好加倍審慎。不論個人或企業都應繼續注意最新的立法情況。

全球及本地科技供應商亦應注意在修訂條例下的責任，並制定內部規則、程序及培訓計劃，以確保位於香港的僱員具備所需知識，處理私隱專員發出的停止披露通知或提供文件、搜查及扣留材料等要求。

此外，必須注意的是，遵守停止披露通知是非常重要的，因為根據香港法例第221章《刑事程序條例》第101E條，若犯罪者為公司，而罪行是得到公司董事或高級人員同意或縱容而觸犯的，則有關董事或高級人員亦屬觸犯相同罪行。因此，倘公司管理層未能確保公司或其員工遵守停止披露通知，有可能須承擔個人責任。