个人信息在香港保护得好不好？这个问题很难回答。因为一方面，香港有亚洲唯一的个人信息保护机构——香港私隐专员公署，也有专门的《个人资料（私隐）条例》，生活其中的人们有理由相信自己的个人信息是安全的；另一方面，香港社会却也经常爆出诸如“艳照门”、“八达通买卖用户个人资料”的轰动性事件，给人们带来种种不安。
独立的专门机构：香港个人资料私隐专员公署
在香港住了稍微长一点时间才发现一个“奇怪”的现象：很要好的香港朋友会跟你探讨学习课程，会跟你一起八卦明星绯闻，但是很少会跟你讲他的家庭，分享他的感情；他们会跟你在外边吃饭，但是从来不像内地好朋友那样“亲密无间”，很少见他们邀请你去家里做客；学习和工作之后的生活，他们会觉得是自己私人的事情，没必要与别人分享。香港普通市民大多具有很强的保护自己个人信息的意识，这与个人资料私隐专员公署的积极努力分不开。
成立于1996年8月1日的香港个人资料私隐专员公署非常特殊，并非仅仅因为它是亚洲唯一一家公营的个人信息监管机构，更是缘于它的完全独立性，不受香港任何机构的管治，也不需要向最高行政长官负责和报告，这一点确实比声名远扬的香港廉政公署还“牛”。因此，很多人因为津津乐道于香港廉政公署雷厉风行的执法，进而猜测香港个人资料私隐专员公署也应该是一个“厉害角色”。但事实上，它的职责只是监察香港法例第486章《个人资料（私隐）条例》的施行，其重要目标也只是确保个人和公司（其他机构）认识自己在个人信息保护领域的权利和义务。
香港个人资料私隐专员公署平日里最多的工作不是凭借强力手段打击对个人信息的侵犯，而是通过教育、宣传和推广，培养香港公众尊重个人信息的文化。普通公民可以在公署官方网站上预订每个月2-3次的隐私权保护讲座，公署也经常会派员到香港的酒店和医院宣传推广“如何保护个人资料”，还会在电视节目上提醒公民要善于保护自己的个人信息。
孩子是文化养成的向上生长力量，公署为了培养香港青少年的个人信息保护意识，煞费苦心。在他们的官方网站上有专门为青少年设计的栏目。公署工作人员也充分考虑到青少年对法律知识的接受方式，用不同种游戏代替说教来普及个人信息相关的法律知识。譬如说公署会联合香港青年协会合办“隐私新节‘拍’广告短片创作比赛”，参赛者制作一段一分钟以“尊重隐私”为题的电视宣传短片，获奖者不但可以获得现金和电脑产品等物质奖励，而且他们的获奖作品更有机会在电视上播放，供全香港观众欣赏。这样的荣誉感可能比物质奖励更能给孩子带来成就感。而正是在这样的参与体验和成就感培养当中，让青少年潜移默化地认识和了解了基本的个人信息保护法律知识。
温柔公正的法律防线：《个人资料（私隐）条例》
公署虽不是一个执法机构，但是对侵犯个人信息的行为，它会责无旁贷地认真处理投诉，也会积极主动地出击调查和发出改正通知。根据《个人资料（私隐）条例》，如果香港居民感觉自己的个人信息被非法泄露或者不当商业使用，受害者可以向个人私隐专员投诉滥用资料者。
但是公署并不会对每一个投诉都做出调查，按照《个人资料（私隐）条例》规定，如果他们认为投诉所涉及的行为是微不足道的，这种行为只对投诉人造成轻微的损害或不便；或者投诉是无理取闹或不是真诚做出的；投诉是因为私人恩怨或其他和个人信息无关的因素引起的等等，这些投诉都不会被受理。比如，2010年末，黄先生为儿子数月前遭杂志跟踪偷拍一事，去信个人资料私隐专员公署求助，公署就没有受理，报纸报道黄先生因此怒斥“这个政府是不是空的啊？那么会推卸责任”。其实他不明白，隐私专员公署跟政府无关，政府也不能命令隐私专员公署受理或者不受理某个投诉。
更普遍的情况是，在接到投诉并核实投诉人的身份后，私隐专员公署会辨别证据真伪，再展开调解，或正式调查。如果经过初步查询后，公署发现投诉对象没有违反条例任何规定的表面证据，他们也可以终止调查。假如举报属实，私隐专员发出执行通知，要求违规者改进。如果公署觉得违规者有可能重犯，也会出一个执行通知，此人必须遵守执行通知。2006年初，一所学校为了记录出勤情况和提供午膳及图书馆服务而收集职员及学生的指纹。有学生向个人私隐专员公署投诉，公署调查后认为这一做法违反《个人资料（私隐）条例》，发出执行通知校方立即停止这一做法，并销毁已经收集的指纹。
不管是教育、宣传，还是调查、执行通知，其实都是以很温和的方式开展。即使《个人资料（私隐）条例》祭出的“最高处罚”也显得 “温柔”，在其第九部分第六十四条，有十条规定了可被认定为犯罪的侵犯个人信息的行为，其中就有如果不遵守个人私隐专员的执行通知，当事人可能被处五万元罚款和两年的监禁。事实上，香港个人资料私隐专员公署建立多年以来，并没有很多人或者机构因为侵犯个人信息而被科以“最高处罚”（两年监禁和罚款五万元）。这个“最高处罚”在香港的法律里其实只是“小儿科”，也被极其谨慎地适用，原因正如前专员吴斌接受媒体采访时所言：“我自己觉得这个条例是比较温和有柔性的，条例最终是希望培养一个个人信息受到尊重和保护的社会。所以我们更重视教育和调查。”
不过，现实中可能存在被投诉的个人和企业会被“冤枉”的情况，为此，《个人资料（私隐）条例》尽量做到了公正，给被投诉的个人和企业提供充分救济的路径，尽量向亚里士多德所言的“中道的权衡”那样的良法靠近。按照条例规定，如果被投诉的个人或企业不服私隐专员公署的调查和裁决，可以向私隐专员公署行政上诉委员会申诉，如果被驳回，可以向香港高等法院提出司法复核。
2008年，私隐专员就吃到了一个败诉，他们收到国泰航空员工投诉“国泰航空要求长期因病请假的员工提供过去12个月的医疗记录”之后，展开调查并认为国泰航空违反条例的有关条款，遂向国泰航空提出执行通知，要求国泰航空停止有关做法。国泰航空不服，向私隐专员公署行政上诉委员会申诉，被驳回之后又向香港高等法院提出司法复核，最后高等法院判决国泰航空司法复核胜诉。这个败诉并没有损害私隐专员公署的声誉，反而增加了人们对其在积极保护居民个人信息方面的信心。可见，由《个人资料（私隐）条例》构建的个人信息保护防线温柔又公正。
香港居民若遇到个人信息侵权事件，除了可以向私隐专员公署提出投诉之外，也可以向法院提出起诉，其实，香港普通法中并没有明确隐私权是一项独立的权利。即使这样，对个人信息的侵权行为还是可以向法院提出起诉，只不过当事人无法获得直接的法律救济，而必须诉诸其他民事侵权的诉讼因由，通过间接的方式寻求保护。根据普通法制度，这些因由主要包括“侵犯他人土地”、“妨害个人安宁”、“违背信任”、“侵犯版权”、“违约”、“有意施加精神压力导致身体伤害”、“侵犯他人人身”、“诽谤”、“恶意谎言”等。
其实有很多居民认为《个人资料（私隐）条例》太过温和，缺少保护的力度，所以面对个人信息侵权事件，他们选择了法院而不是选择香港个人资料私隐专员公署去救济自己的权利。在“艳照门”事件中，有关当事人均未主动向个人资料私隐专员提出投诉，而是采纳了代表律师的意见，首先承认自己拥有有关照片的版权，方才遏制了其进一步传播。
信息时代的个人信息保护
专门的机构、温柔又公正的法律防线、隐藏但坚固的普通法盾牌，看似完美的保护个人信息的组合在信息时代的今天，事实上正在经历一次又一次考验。
2008年，先是医院陆续发现病人资料遗失，后有汇丰银行近16万名客户的资料失窃，之后泄密事件再次升级，香港入境处的秘密文件竟然出现在网上；2009年，一名浸会大学职员处理招生申请时，不慎将附有190名申请人个人详细数据的计算机档案外传；2010年，八达通公司在听证会上承认“自2006年起向信诺等两家保险公司出售近200万名客户的个人资料，非法获利4400万港元”，之后媒体又爆出香港有六家银行在过去五年里，将总计60多万名客户的资料透露给第三方。
这些考验自然引起了多方质疑，这些质疑有的来自普通居民，有的来自法律学者，有的来自政府，而他们大多是冲着香港个人资料私隐专员公署和《个人资料（私隐）条例》而去，很少质疑普通法对个人信息保护的不力。其实，香港个人资料私隐专员公署自身每年也都会对自己的工作和条例做认真的检讨，仅仅2010年检讨《个人资料（私隐）条例》的公众咨询报告就有186页，涉及“直接促销”、“资料保安”、“当事人的权利”等议题，其中最引人注目的是对“个人资料私隐专员的法定权力和职能”、“罪行和制裁”这两个方面的检讨。
无独有偶，在“八达通出售用户资料”事件前后，前任个人资料私隐专员吴斌称，“长远而言，建议将出售个人资料刑事化”，而现任专员蒋任宏也期待“港府能修例加强私隐专员的执法能力，及加重违反私隐的罚则”。身为专员，他们这样建议也是因为深知《个人资料（私隐）条例》和个人资料隐私专员公署的不足，主要在于：一方面，个人资料私隐调查报告不具有约束力。另一方面，个人资料隐私专员监管权力有限。面对有企业违反个人资料私隐条例，私隐专员只能要求机构改善，劝告无效后才会提出检控。在面对有可能要提出检控的违规事件时，专员就要将案件的调查交给警方处理，他也没有代表市民向违规者申索的法定权力。
究竟要不要赋予私隐专员刑事检控违例机构和个人的权力？要不要硬化法律防线，对个人信息侵权者苛责严重的刑罚？对这些问题的争论，其实从信息成为一种商品，互联网繁荣以来，都没有停止过。只要合意自由、信息自由的商业精神和个人安宁安全隐私人权保护的冲突在既定的社会发展中没有得到很好的平衡，以上两个问题都不会很容易得出确定的答案，总之，变数在两组价值的冲突与协调中长久存在。
但是，无论《个人资料（私隐）条例》和个人资料私隐专员公署对个人信息保护的力度和范围变与不变，或者抛却两者的贡献完全不谈，个人信息受到侵犯的居民仍旧可以通过法院，借由其他民事侵权的诉讼因由，间接但是有力地保护自己的权益。不能忽略的是，其实《个人资料（私隐）条例》第六十六条已经规定：“任何人可以向违反规定的资料使用者提出民事索偿”，也就是说不管“个人资料私隐专员的法定权力和职能”、“罪行和制裁”这两个方面是不是朝着强硬化发展，个人信息受到侵犯的居民都可以通过两种民事诉讼救济自己的权益。■
（作者系香港城市大学法学硕士）
