立法会十六题：信贷资料服务机构的监管
＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊
问题：
环联资讯有限公司（环联）是本港唯一一间信贷资料服务机构，持有超过500万名市民的个人资料和信贷纪录。环联于二○一八年被揭发辖下查阅个人信贷报告网站有严重的资讯保安漏洞。随后，香港银行公会（银行公会）要求环联暂停服务，以及全面调查事件和提升其资讯保安水平。环联已于今年七月全面恢复服务。就此，政府可否告知本会：
（一）鉴于个人资料私隐专员公署（公署）于二○一三年一月最后一次修订《个人信贷资料实务守则》（《守则》），是否知悉公署有否（i）因应上述事件检讨《守则》，以及（ii）定期评估信贷资料服务机构的资讯保安水平是否达到最新的国际标准；若有，详情为何；若否，原因为何；
（二）香港金融管理局（金管局）和银行公会就引入多于一间信贷资料服务机构而进行的工作进展为何，以及何时落实；及
（三）鉴于信贷资料服务与金融服务业息息相关，政府会否修订法例，把提供该类服务的机构纳入金管局或其他法定机构的监管范围；若会，立法时间表为何；若否，原因为何？
答覆：
主席：
经谘询政制及内地事务局及香港金融管理局（金管局）后，我们就问题各部分的回覆如下：
（一）《个人信贷资料实务守则》（《信贷实务守则》）是个人资料私隐专员公署（公署）按《个人资料（私隐）条例》（《私隐条例》）第12条所发出，旨在为香港的信贷资料服务机构及信贷提供者就如何处理个人信贷资料提供实务指引。《信贷实务守则》涵盖资料的收集、准确性、使用、保安，以及查阅及改正资料要求等方面，以协助香港的信贷资料服务机构及信贷提供者遵从《私隐条例》的各项规定，包括保障资料的原则和要求。
《信贷实务守则》列明，作为良好的行事方法，信贷资料机构须聘用独立循规审核人，定期就信贷资料机构提供个人信贷资料服务的方法进行循规审核，包括审核其资料库内的个人信贷资料的保安安排，以符合私隐专员指定的相关标准。公署会因应国际发展不时检讨适用的标准。
就问题涉及的相关个案，公署已根据《私隐条例》作出跟进，并向相关机构提出改善建议，包括要求其设立有利于保障私隐的预设设定、让个人选择转移资料的种类、管理收取个人资料的对象，以及定期检讨网上认证程序等。公署亦已向该机构送达执行通知，指令其纠正违反《私隐条例》的事项及防止类似事件再发生。该机构其后已依从执行通知的规定作出改善，日后亦会继续根据《信贷实务守则》的要求，向私隐专员定期呈交有关作业方式的审核报告。
（二）金管局一直与香港银行公会、香港存款公司公会和香港持牌放债人公会（统称行业公会）商讨关于引入多于一家个人信贷资料服务机构的建议，并积极落实相关安排，希望藉此提升个人信贷资料服务机构的服务水平，改善现时因市场只有一家商业营运的服务提供者而衍生的营运风险，特别是单点失误的风险。
金管局和行业公会对于建议下的新运作模式已达成共识，在引入多于一家个人信贷资料服务机构的同时，为避免多点对接所衍生的问题，计划构建一个中介平台，为各家信贷提供者（包括银行和放债人）与各家个人信贷资料服务机构提供介面连接。行业公会正积极进行各项筹备工作，包括制定《行业实务守则》，为信贷资料服务机构在企业管治、内部监控、客户个人资料的使用和安全等方面订立标准；以及成立一个管治小组，负责执行《行业实务守则》，进一步加强保障个人信贷资料及消费者。金管局将会认可该《行业实务守则》，并修订《监管政策手册》内有关「透过信贷资料服务机构共用个人信贷资料」的指引，落实银行在新安排开通后须透过中介平台与个人信贷资料服务机构连接及遵守《行业实务守则》的规管要求。
鉴于项目较为复杂，行业公会及其委聘的第三方顾问公司正与金管局厘清细节，并征询公署、消费者委员会、业界及相关持份者的意见。当准备就绪，行业公会将会就提供个人信贷资料服务进行招标，其后中介平台和个人信贷资料服务机构将会进行系统开发和保安测试，预期新系统将会于二○二二年底投入服务。
（三）在现行的法律框架下，个人资料受到《私隐条例》所保障。个人信贷资料服务机构须遵守该条例的规定，公署发出的《信贷实务守则》亦规管个人信贷资料的处理。《信贷实务守则》涵盖个人信贷资料的收集、准确性、使用、保安，以及查阅及改正资料要求，亦规定个人信贷资料机构在日常运作中须采取适当的措施，以防止所持有的个人信贷资料受到不当查阅或不当处理，包括须定期及经常监察及检讨资料库的使用情况，藉以侦察及调查任何不寻常或不合常规的查阅或使用模式。虽然当局没有计划就信贷资料服务机构制订特定的法律框架，但金管局和行业公会将透过《信贷实务守则》再配合《行业实务守则》，进一步加强个人信贷资料安全及保障消费者权益。
完
2020年12月2日（星期三）
香港时间12时48分
香港时间12时48分