公司收集及使用顧客資料有什麼限制？

公司收集及使用顧客個人資料，主要受《個人資料（私隱）條例》下的目的限制。收集資料必須為合法目的，而該目的須直接關乎公司的職能或活動；收集的資料亦必須是該目的所必要，或與該目的有直接關係。公司其後不得把資料用於收集時所述目的以外的新目的，除非符合條例規定，例如取得顧客的訂明同意。因此，公司不能只因資料「可能日後有用」便任意收集或轉作其他用途。

甚麼是顧客個人資料？

問題通常不在於公司是否可以持有任何資料，而在於資料是否屬於可識別個人的資料，以及公司收集和使用資料的目的及範圍。例如，顧客的姓名、聯絡資料或其他可連繫至特定人士的資料，均可能涉及個人資料私隱規管。具體判斷須視乎資料內容和使用方式。

公司亦可能委託服務供應商處理資料。X v. MELISSA MOWBRAY-D'ARBELA AND ANOTHER DCCJ3793/2016所載定義指出，資料處理者是代表另一人處理個人資料，且不是為自己的目的處理資料的人。這反映公司即使把資料交由外判商處理，仍須清楚區分誰是資料使用者，以及資料是為甚麼目的而處理。

收集資料的主要限制

THE HONG KONG JOURNALISTS ASSOCIATION v. THE COMMISSIONER FOR TRANSPORT HCAL559/2024涉及的原則是：個人資料不得收集，除非收集目的合法，直接關乎資料使用者的職能或活動，而且收集對該目的屬必要或直接相關。

因此，公司應先問：

收集資料的具體業務目的是否合法？
該目的是否直接關乎公司的職能或活動？
每項資料是否真的必要，或至少與目的直接相關？
公司是否已向顧客說明收集目的及資料可能移轉予哪些類別的人？

例如，網上商店為送貨而收集收貨地址，通常可按送貨目的作具體分析；但若同時要求顧客提供與送貨沒有直接關係的額外資料，公司便可能需要解釋其必要性。這只是一般例子，實際結果取決於資料種類、業務目的及使用方式。

使用及轉用資料的限制

公司收集資料後，應按照收集時告知的目的，或與該目的直接相關的目的使用資料。若公司想把送貨資料轉作另一項並非直接相關的用途，例如向顧客作針對性推廣，不能單靠顧客曾經提供資料便假定可以轉用；通常須考慮是否已取得條例所要求的訂明同意，以及公司是否已履行其他適用的私隱責任。

公司亦應避免使用含糊的「日後作任何用途」作為唯一理由，而應把收集和可能使用的目的說得具體，並限制資料範圍。顧客則可要求公司說明為何需要某項資料、資料會作何用途，以及資料會否交予外判商或其他人士。資料交予外判服務商時，亦應確認服務商是否只是代表公司處理資料，而非為自己的目的使用資料。

以上是一般原則；個別案件還可能涉及資料通知、直接促銷、披露、保留及保安等其他私隱問題。這篇文章並非法律意見；如涉及投訴、商業安排或潛在爭議，應就具體情況諮詢合資格律師。

常見問題

公司可以收集越多資料越好嗎？

不可以。收集必須對合法而直接相關的目的屬必要，或至少與該目的直接相關，並應符合其他適用的資料收集要求。

公司可以把顧客提供的資料用於任何日後用途嗎？

不可以概括地這樣說。公司一般應限於收集時所述目的或與該目的直接相關的用途；如屬新目的，可能須取得條例所要求的訂明同意。

外判商處理資料後，是否就不再是公司的責任？

不能單憑外判便作此結論。應先分辨公司是否為資料使用者，以及外判商是否只是代表公司、不是為自己的目的處理資料。

顧客是否一定要同意，公司才可以收集資料？

不一定。是否需要同意，須視乎收集及使用的具體目的、法律依據和條例的適用要求；但公司不能以顧客曾提供資料為由，假定可以任意轉作其他用途。