「我們曾公開譴責一家美容業公司，因其推銷電話擾民且不配合調查……」

1月5日，大灣區首屆「數據互聯互通與安全發展」高峰論壇暨「數據治理和網絡安全研究聯盟」2020年度論壇在廣東珠海舉行，澳門個人資料保護辦公室主任楊崇蔚發表主題演講。

楊崇蔚介紹了澳門的個人數據保護立法及實踐案例，同時分享對數據跨境的看法。在他看來，數據跨境最核心的問題在於，保證數據處理的合法性和數據安全性。

不堪推銷電話騷擾？澳門個資辦罰了一家美容機構

官網信息顯示，澳門個人資料保護辦公室（以下簡稱個資辦）成立於2007年，負責監察、協調對《個人資料保護法》的遵守和執行，並對相關的行政違法行為作出調查及處罰等。

澳門個人資料保護辦公室主任楊崇蔚發表演講。主辦方供圖。

「2019年，我們大概發出了20多張罰單，罰款總數約為95萬澳門幣。」楊崇蔚在演講中提到，現在行政違法行為罰得相對較重。如果涉及刑事犯罪案件，則會轉交警察局或檢察院。

除了處罰之外，澳門個資辦還有附加處罰的權力，包括禁止處理或要求刪除資料等。據楊崇蔚介紹，此前個資辦在一起美容業公司保護個人資料不力的案件中，就行使了公開譴責的附加處罰。

2019年8月，個資辦發布通報，一家美肌中心因反覆向消費者進行電話推銷而遭到投訴。獲悉消息後，個資辦曾介入要求將投訴人的電話加入拒絕接受宣傳推銷名單，但未果。

根據澳門2005年出台的《個人資料保護法》第12條規定，對於企業以直接促銷等目的的個人資料處理活動，資料當事人享有反對權。一經行使，企業就不得再對該等數據進行處理。

由於存在上述違法行為，且不積極配合調查，個資辦對這家美容公司處以澳門幣3.5萬罰款，同時對其處以公開譴責的附加處罰。

不止騷擾電話，南都記者查閱個資辦2019年公布的案例發現，類似網絡曝光個人信息、借他人資料繳納社保及申報職業稅等行為，也在個資辦調查及處罰的範圍內。

比如2019年8月27日，有用戶投訴，在未徵得同意的情況下，自己的照片被人以留言的方式上傳於網絡帖文中。個資辦最終對上傳者處以澳門幣8000元罰款。

「這些線索通常來自舉報，也有的是在媒體報導後，個資辦主動介入的。」楊崇蔚告訴南都記者。

楊崇蔚表示，澳門的《個人資料保護法》對個人資料的性質作出了界定，比如合法處理、只能用於特定目的、資料需準確且有一定存儲期限。而個人的查閱權、反對權、更正權等權利都是受到保護的。

大數據時代，數據是重要的生產要素。在強調個人隱私保護的同時，也需明確數據流通的規則，尤其涉及到數據跨境流動，更是備受關注。

楊崇蔚認為，基於數據的可複製性和難以刪除性，如果缺乏適當的規管很容易發生問題。「萬一資料在外國發生泄露，我們根本沒有辦法對當事人進行保護。如何對跨境資料進行保護，這是我們關心的問題。」他說。

會上，楊崇蔚提到個資辦曾處理的幾起涉及數據跨境案，其中包括谷歌被罰的案例。個資辦2012年通報，谷歌未經許可在澳門進行街景拍攝，並將行人、車牌號等影像數據轉移至澳門以外，被罰澳門幣3萬元。

在什麼情況下數據才可自由地跨境流動？楊崇蔚指出，根據《個人資料保護法》規定，當事人明確同意轉移，或者轉移是為了執行與資料控制者的合約，基於公共利益、司法訴訟等目的所必需。

「在一些例外的情況，我們也可以許可資料跨境流動。當然前提是有關合約具有適當的保護程度，才會發出牌照。」楊崇蔚說。

他舉例，澳門個資辦曾給北京一家發出許可，允許其在澳門收集街景資料，併合法地將資料從澳門轉移至內地。為了合規，這家公司在澳門當地的報紙發了公告，告知市民什麼時段在何地會通過專車採集街景信息。如果市民不願意被收集信息，可在當天錯峰出行。

2018年9月，澳門個資辦還就澳門電訊有限公司將數據中心業務擴展至香港一事出具意見書，對涉及到的個人資料跨境轉移及信息保護等問題進行了詳細解釋，並對相關合約條款提出了明確要求。

「通過這樣的方式既保護了營商的利益，也保護了當事人的利益。這是我們的嘗試和做法。」楊崇蔚表示。

企業該如何做到數據跨境合規？楊崇蔚建議，應著重關注數據處理的合法性和數據安全問題。如果滿足了上述要求，數據跨境並不難。在澳門，企業還可以向個資辦申請許可。當然一些實際困難仍需應對，尤其是跨國公司如何處理當地安全機構向他們索取資料的請求，值得關注。

采寫：南都記者李玲發自珠海