立法会二题：防范个人资料外泄及金融罪案
＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊＊
问题：
关于防范个人资料外泄及金融罪案，政府可否告知本会：
（一）过去六年，每年个人资料私隐专员公署（公署）接获多少宗由机构通报的资料外泄事故，以及有多少宗事故由公署主动调查发现；该两类事故分别涉及资料处理者的事故数目及受影响的人数为何；
（二）鉴于据悉，公署与政府正研究修订《个人资料（私隐）条例》，包括设立强制性个人资料外泄通报机制、直接规管资料处理者、赋权个人资料私隐专员判处行政罚款等，但政府拟于二○二五年度向本会提交的条例草案名单并没有包括该条例，有关工作的进展及立法时间表为何；及
（三）鉴于政府拟修订《银行业条例》，旨在容许认可机构为防范及侦测金融罪案而交换客户、帐户及交易的信息，而政府在去年十月向本会财经事务委员会提交的文件表示，公署就有关修订提出意见，政府有何策略和措施确保有关修订既符合公署的意见，又能应对急剧上升的骗案数字？
答覆：
主席：
就简慧敏议员的提问，经谘询财经事务及库务局和个人资料私隐专员公署（公署）后，现回覆如下：
（一）在过去数年，公署接获的个人资料外泄事故通报及经主动循规审查而发现的资料外泄事故个案数字相对较为平稳，每年总和约100多宗。而数字至二○二四年则呈现上升趋势，升至217宗。当中，约一成的外泄个案涉及资料处理者的不当而导致，而受影响的人数则视乎个别个案情况而有所不同。详细相关统计数字见附件。
（二）鉴于近年个人资料外泄事故呈上升趋势，政府和公署对此都十分关注。公署方面亦从多方面针对这情况作出应对，一方面更新相关指引并加强宣传教育工作，同时亦加强执法工作及研究修订《个人资料（私隐）条例》（《私隐条例》）以遏止有关情况。
在数据安全的宣传教育方面，公署从以下三方面加强机构保障个人资料的意识，从而减低个人资料外泄的风险：
（1）设立支援业界的「数据安全」工具：包括（i）开设一站式「数据安全」专题网页；（ii）设立「数据安全快测」供机构评核其数据安全措施的安全稳妥性；（iii）设立「数据安全热线」供业界查询；（iv）发表数据安全指引文件包括《资料外泄事故的处理及通报指引》及《资讯及通讯科技的保安措施指引》等；
（2）加强和业界的合作：包括（i）为机构举办培训讲座宣传数据的安全管理，以及为公众、教育及非牟利机构举办数据安全研讨会；（ii）与国家互联网信息办公室、香港警务处、数字政策办公室、香港金融管理局等合办或参与和数据安全及处理资料外泄事故相关的研讨会及活动；（iii）透过举办「私隐之友嘉许奖」表扬机构在保障个人资料私隐的杰出表现；以及
（3）举办各项宣传活动：包括（i）「关注私隐周2024」以「数据安全保私隐」为主题，安排流动展览车「保障私隐号」走入社区；（ii）推出数据安全吉祥物「数据保宝」；（iii）在中英文报章、网媒及专业期刊撰文，向公众及业界讲解数据安全的重要性。
同时，公署亦加强执法工作，如确定有关资料外泄事故涉及违反《私隐条例》下的资料保安原则，私隐专员会按情况向有关资料使用者发出劝喻信、警告信，或送达执行通知，指示机构采取适当措施以纠正违规事项及防止类似情况再次发生。若机构未有按执行通知采取相关措施，则会违反《私隐条例》而构成罪行，最高刑罚为罚款五万元及监禁两年。
在研究修订《私隐条例》方面，公署早前经全面检视条例后，初步建议修订内容包括：（1）设立强制性个人资料外泄通报机制；（2）直接规管资料处理者；（3）要求资料使用者制订个人资料保留时限政策；（4）加重罚则及赋权个人资料私隐专员施加行政罚款；（5）厘清个人资料的定义等。就上述建议，公署去年谘询个人资料（私隐）谘询委员会及科技发展常务委员会，并听取不同界别的意见。其中业界表示对加重罚则深表关注，特别是在目前经济困难的情况下对中小企会造成很大影响和压力。对此，政府亦能理解业界的忧虑。因此，政府正研究考虑适当调整修例建议，例如是否可分阶段实施修订建议，以减少对业界可能造成的影响，以及适当厘定行政罚款的金额，以起阻吓作用的同时亦在可接受的水平。政府会争取尽早完成研究及制定具体的修例建议，并谘询立法会的意见，以期尽早修订《私隐条例》进一步保障巿民的个人私隐。
（三）为打击诈骗和其他金融罪行，香港金融管理局（金管局）于二○二四年一月发出谘询文件，建议修订《银行业条例》，容许银行为防范或侦测罪行而交换客户（包括个人客户）帐户信息。在谘询过程中，金管局共收到18份回覆，包括公署的意见。
政府有意在法例修订中载入具体条文，订明只有在合理怀疑有关个人帐户可能涉及诈骗、洗钱或恐怖分子资金筹集的情况下，银行方可交换个人客户帐户信息。金管局会要求银行确保在所有情况下均符合相关规定，并能证明作出有关决定的合理理据。此外，法例修订中亦会载入条文，要求银行对交换的信息保密及制定适当的制度和管控措施。
在二○二四年十月向立法会财经事务委员会作出简报后，政府正拟订相关法例修订，并将继续谘询公署及其他持份者，确保相关法例修订在打击金融罪行和保障个人资料私隐之间取得合适平衡。
多谢主席。
完
2025年1月22日（星期三）
香港时间15时50分
香港时间15时50分