顧客要求查閱、更正、刪除個人資料：收銀台點處理先至合規
一、DPP6 講咩：顧客有邊幾項權利
《個人資料（私隱）條例》（第 486 章）附表 1 保障資料原則第 6 原則（DPP6），賦予資料當事人多項權利：確定資料使用者是否持有其個人資料；要求在合理時間內查閱，費用如有屬於不過高，方式合理，形式可理解；要求被拒絕時獲告知理由；對拒絕提出反對；要求更正個人資料；更正要求被拒絕時獲告知理由；對拒絕提出反對。以下條號引述以 e-Legislation 現行版本為準，數字來源會喺相關段落註明。
資料使用者，指控制個人資料的收集、持有、處理或使用的實體。收銀台常見的個人資料類別，包括會員姓名同電話、送貨地址、發票抬頭、訂單聯絡資料、退款記錄，以及 WhatsApp 訂單訊息內的個人資料。顧客喺收銀台提出要求，店員第一個動作並非即場判斷對錯，而係認清呢個要求屬於查閱、更正定刪除，因為三種要求的條文程序完全不同。
查閱同更正有條文程序跟；刪除就屬另一回事：香港沒有條文賦予個人按其意願要求資料使用者刪除其個人資料的權利，呢一點來自社區法網 CLIC 的整理，以及私隱專員公署個案 2017E01 的意見，詳情見第七節。收銀台處理呢類要求，重點在於分流同記錄，再轉交指定負責人跟進。
二、查閱要求：邊個可以提出，點樣先算有效
查閱要求來自第 18 條：第 18(1)(a) 條確定資料使用者是否持有提出人的個人資料，第 18(1)(b) 條提供個人資料副本。提出人可以係資料當事人本人，或者代其行事的有關人士。根據第 2(1) 條同第 17A 條，有關人士包括未成年人的負有父母責任的人、無能力處理自己事務的人由法院委任管理其事務的人、《精神健康條例》（第 136 章）下的監護人，以及獲書面授權代行的人。
形式方面，根據第 20(3)(e) 條，查閱要求可以要求以專員指明的表格提出，即 OPS003 查閱要求表格，並以中文或英文書面提出。提出人宜具體指明要求的資料，例如資料種類、收集日期、相關事件或交易的資料，呢個做法來自私隱專員公署查閱權利常見問題 Q4。Q4 同時指出，如沒有獲提供合理需要以尋找資料的資訊，資料使用者可以根據第 20(3)(b) 條拒絕遵從。
行政上訴委員會個案記錄 2001A08 亦指出，資料當事人負責指明要求的資料，資料使用者沒有責任為提出人編製完整或綜合清單供其挑選。所以「全部個人資料」呢類概括描述，收銀台收到之後應該請提出人具體指明範圍，再記錄轉交，避免即場猜測對方想要咩。
三、40 日時限：收到要求之後要做咩
第 19(1) 條訂明時限：收到要求後 40 日內遵從，40 日按曆日計算。持有資料的，以書面告知持有並提供副本；沒有持有的，以書面告知沒有持有。40 日並非工作日，而係曆日，呢一點收銀台記錄收到日期嗰陣就要寫清楚。
未能在 40 日內遵從，第 19(2) 條訂明以書面告知未能遵從及原因，在同一 40 日內按能夠遵從的範圍遵從，其後在切實可行範圍內盡快完全遵從。換句話說，40 日屆滿並非等於可以不了了之，而係要有書面交代同跟進。
收銀端點的實務分流好清晰：口頭要求到來時，收銀台的角色係記錄收到日期、提出人身份資料、要求範圍，轉交指定負責人跟進。收銀台即場交出另一名顧客的資料、即場刪除交易記錄、即場修改會員資料的做法，與下文的身份核實、第三方資料刪去、保留要求、記錄冊安排存在張力，應該避免。
四、可以拒絕查閱的情況：身份不明、第三方資料
第 20(1) 條列出拒絕遵從查閱要求的情況：沒有獲提供足夠資料以確認提出人身份；要求涉及另一名個人的個人資料，而遵從便會披露另一名個人的個人資料，另一名個人已同意披露，或者可以刪去識別詳情而遵從的情況除外。
第 20(3) 條列出可以拒絕遵從的情況：(a) 要求不是以中文或英文書面提出；(b) 沒有獲提供合理需要的資料以尋找有關個人資料；(c) 要求跟隨 2 宗或以上類似要求，而且在所有情況下遵從屬於不合理；(d) 另一資料使用者控制資料的使用，令收到要求的資料使用者不能遵從，受第 20(4) 條限制；(e) 要求不是以專員指明的表格（OPS003 查閱要求表格）提出；(ea) 根據條例或其他條例有權不遵從；(f) 其他情況下根據條例，包括第 VIII 部豁免，可以暫時拒絕遵從。
第 21(1) 條訂明拒絕通知：拒絕要在切實可行範圍內盡快，而且在任何情況下在收到要求後 40 日內，以書面通知提出人拒絕、拒絕理由，以及在第 20(3)(d) 條適用的情況下另一資料使用者的姓名及地址。口頭拒絕並不足夠，書面通知同理由先至係條文要求。
五、更正要求：第 22 條之後的程序
更正要求來自第 22 條：資料使用者在遵從查閱要求而提供個人資料副本之後，資料當事人或者代其行事的有關人士認為資料不準確，可以要求資料使用者作出需要的更正。第 22(3) 條補充，收到更正要求之後、遵從或拒絕之前，如向第三方披露有關個人資料，資料使用者需要採取所有切實可行的步驟，告知第三方該等資料屬於尚待考慮的更正要求所涉資料。
時限方面，私隱專員公署《實務守則》第 11.19 段指出，除第 24 條下的有效拒絕理由外，資料使用者需要在收到更正要求後 40 個曆日內作出需要的更正，並向提出人提供經更正資料的副本。第 11.20 段指出，未能在 40 日內遵從，根據第 23(2) 條通知提出人，並在切實可行範圍內盡快遵從。
意見表達資料的更正，有一個值得參考的《實務守則》第 11.17 至 11.18 段個案：政府部門在同一檔案加入備註，清楚指出資料不準確之處，並向投訴人提供備註副本，同時在有關檔案加上標記，提示讀者參閱備註。專員認為該做法屬於更正或補充有關資料，屬於對第 23(1) 條的足夠遵從，而且比直接刪除資料更合適，因為可以保留第三方在會面中實際說過的內容的真實記錄。
六、可以拒絕更正的情況同收費分野
第 24(3) 條列出可以拒絕遵從更正要求的情況：(a) 要求不是以中文或英文書面提出；(b) 資料使用者不信納有關個人資料不準確；(c) 沒有獲提供合理需要的資料，以確定有關個人資料在哪方面不準確；(d) 資料使用者不信納要求更正的內容準確；(e) 另一資料使用者控制有關個人資料的處理，令收到要求的資料使用者不能遵從。
收費方面，查閱同更正要分開睇。第 28 條訂明，資料使用者可以就遵從第 18(1)(a) 或 (b) 條下的查閱要求收費，費用屬於不過高。私隱專員公署常見問題 Q6 指出，一般而言，費用為與遵從查閱要求直接有關及需要的成本，成本隨要求範圍及複雜程度而異。根據第 28(5) 條，在費用繳付之前或直至費用繳付，可以拒絕遵從查閱要求。費用針對遵從要求，屬於申請本身收費，呢個定性來自 Pinsent Masons 的整理。更正要求的收費，條文沒有同樣的收費規定，查閱要求的收費安排不適用於更正要求。
拒絕記錄方面，第 27 條訂明，資料使用者需要把拒絕查閱或更正要求的詳情記入記錄冊，詳情在拒絕通知送達之前或送達時記入，專員可以在任何合理時間查閱及複印記錄冊，資料使用者免費提供專員合理需要的設施及協助。專員《實務守則》第 10.91 段指出，記錄冊沒有定義，電子形式記錄可以構成記錄冊，前提係遵從第 27(1) 條的程序，而且專員行使第 27(4) 條查閱及複印權力時不受妨礙。第 10.92 段指出，專員認為，在出現任何拒絕之前，資料使用者沒有需要預先備有一本空白記錄冊，只要拒絕已按第 27 條妥為記錄。
七、刪除要求：香港沒有按意願刪除的權利，但有保留期限
刪除要求要講清楚一個關鍵分別：香港沒有條文賦予個人按其意願要求資料使用者刪除其個人資料的權利。社區法網 CLIC 整理咗呢個立場；私隱專員公署個案 2017E01 亦有類似意見：申請人向公司提供個人資料訂用服務，公司沒有向其提供服務，申請人要求刪除，專員的意見係公司拒絕該要求，本身沒有違反條例。
同時適用 DPP2(2) 及第 26(1) 條：個人資料的保存時間屬於為履行收集目的，包括直接有關目的，所需要，資料不再為該目的所需要時，資料使用者需要採取所有切實可行的步驟刪除，除非法律禁止刪除，或者基於公眾利益，包括歷史利益，不刪除。換句話說，刪除的觸發點係「不再需要」，而非顧客一句要求。
交易記錄保留方面，部分記錄可能因為其他法例的保留要求而需要保留，例如《稅務條例》（第 112 章）第 51C 條下的業務紀錄保存不少於 7 年。刪除要求到來時，收銀台即場刪除交易記錄的做法，與保留要求可能衝突，屬於需要由負責人按記錄種類判斷的範圍。第 26 條的罰則，以 e-Legislation 現行條文為準，不在此引述二手整理的數字。
八、收銀台即場處理清單同不遵從的後果
綜合以上，收銀台即場處理清單可以歸納為六步：第一，記錄收到日期、提出人身份資料、要求範圍；第二，核實提出人身份，身份資料不足就不要交出資料；第三，分流查閱、更正、刪除三種要求，不要撈埋處理；第四，第三方資料要刪去識別詳情先至可以提供；第五，轉交指定負責人跟進 40 日時限；第六，拒絕要有書面理由同記錄冊記入。
不遵從的後果方面，第 64A 條訂明，沒有合理辯解而不按條例要求遵從查閱要求，屬於罪行，罰款為第 3 級。查閱要求表格註釋及 Mondaq 整理提及，第 3 級罰款現時為 HK$10,000。第 50 條同第 50A 條訂明，專員可以在資料使用者違反或曾經違反條例的情況下送達執行通知，不論違反是否會繼續或重複。按社區法網引述第 50A(1) 條，不遵從執行通知屬於罪行，首次定罪罰款為第 5 級（HK$50,000）及監禁 2 年，持續罪行每日罰款 HK$1,000；第二次或其後定罪罰款為第 6 級（HK$100,000）及監禁 2 年，持續罪行每日罰款 HK$2,000。同樣按社區法網引述，第 50A(3) 條訂明，執行通知已獲遵從之後，故意再次作出相同違反行為，罰款 HK$50,000 及監禁 2 年，持續罪行每日罰款 HK$1,000。
第 66 條訂明，資料當事人因資料使用者違反條例而蒙受損失，可以向法院申索補償；第 66B 條訂明，專員可以向申索補償的受屈個人提供法律協助，兩項均來自社區法網 CLIC 的整理。行政上訴委員會決定書提及，針對專員決定的上訴期為收到拒絕通知後 28 日，屬於該決定書的表述。收銀實務上，POS 只做付款方式記錄、分類對數，收款經八達通機、KPay、YedPay 等獨立渠道。POS 系統＋收銀鏡頭套裝 HK$4,950 買斷免月費，其他價錢需報價。查詢可致電或 WhatsApp +852 2186 8010，地址為新界沙田石門安麗街18號達利廣場1209室，每日 12:00–19:00。
DPP6 賦予顧客查閱同更正權利，查閱同更正的時限同為收到要求後 40 個曆日，拒絕要有書面理由同記錄冊記入；香港沒有條文賦予個人按意願要求刪除的權利，刪除觸發點係資料不再為收集目的所需，同時要兼顧《稅務條例》第 51C 條不少於 7 年的業務紀錄保存；收銀台的角色係記錄、分流、轉交，避免即場交出他人資料、即場刪除交易記錄或者即場修改會員資料。
