私隱專員向僱主僱員提供指引 解答個人資料Q&A

新冠肺炎疫情持續，有僱主關注有關是否可收集僱員的健康數據，以幫助監察和預防在工作場所及社區傳播病毒。另外，亦有很多僱主和僱員在家工作並在線進行商務會議，而個人資料私隱外洩的可能性也需要高度關注。個人資料私隱專員黃繼兒指，僱員個人資料的收集及處理應該只與公共衞生相關並用於該目的，且應根據特定情況的需要在收集時間和範圍上有所限制。私隱專員亦就大流行疫情向僱主和僱員提供指引。

問：僱主可以收集僱員的體溫測量或其他健康數據嗎？
答：為了保障僱員及訪客的健康，僱主收集他們的體溫測量數據或屬2019冠狀病毒病醫學症狀的有限資訊，一般而言屬合理的做法。

問：僱主可收集哪類個人資料，及如何正確地收集？
答：僱主收集的資料應該是必要、適當及與達到的目的相稱，並應先以匿名或刪除可識別資料的方式處理相關資料，以侵犯最少私隱的措施為首選。一般而言，自我申報機制較無差別地收集健康數據的全面強制機制更為可取。 

問：僱主可要求僱員提供外遊資料嗎？
答：僱主向從海外（特別是高風險地區）回港的僱員收集外遊資料屬合理。一如健康數據，外遊資料的收集應針對特定的目的，並應收集最少的資料。

問：可以把收集的個人資料向其他人披露、或用作其他目的嗎？
答：除非得到相關人士自願給予的明示同意，或《私隱條例》下的豁免適用，否則僱主不得將為對抗新冠病毒而收集的個人資料披露或使用作其他無關的目的。如僱員不幸感染新冠病毒，僱主可在不透露感染者的個人身份信息下通知其他員工、訪客及物業管理處。

問：收集的個人資料可以被保留多長時間？
答：經過一段合理時間亦沒有證據說明僱員感染新冠病毒，或與感染者有密切接觸，僱主應永久銷毀收集的個人資料。

問：在僱員的醫療及健康數據方面，僱主應注意甚麼資料保安問題？
答：僱主應採取所有可行的步驟，以保障所收集的個人資料免遭未經授權或意外的存取、處理、刪除、遺失或使用，例如把資料存放於上鎖的櫃中、對資料進行加密並僅允許獲授權人士存取資料。

問：於大流行疫情期間大多數僱員都會在家工作，僱主應為在家工作採取甚麼樣的安全措施？
答：僱主及僱員在遠離有專業管理的工作環境下處理轉移或使用文件和數據時要格外小心，以免發生如網絡攻擊或遺失便攜式裝置等事故。此外，在家工作並使用自己的裝置的僱員，要小心留意有關網絡保安以防資料外洩。