“我们曾公开谴责一家美容业公司，因其推销电话扰民且不配合调查……”
1月5日，大湾区首届“数据互联互通与安全发展”高峰论坛暨“数据治理和网络安全研究联盟”2020年度论坛在广东珠海举行，澳门个人资料保护办公室主任杨崇蔚发表主题演讲。
杨崇蔚介绍了澳门的个人数据保护立法及实践案例，同时分享对数据跨境的看法。在他看来，数据跨境最核心的问题在于，保证数据处理的合法性和数据安全性。
不堪推销电话骚扰？澳门个资办罚了一家美容机构
官网信息显示，澳门个人资料保护办公室（以下简称个资办）成立于2007年，负责监察、协调对《个人资料保护法》的遵守和执行，并对相关的行政违法行为作出调查及处罚等。
澳门个人资料保护办公室主任杨崇蔚发表演讲。主办方供图。
“2019年，我们大概发出了20多张罚单，罚款总数约为95万澳门币。” 杨崇蔚在演讲中提到，现在行政违法行为罚得相对较重。如果涉及刑事犯罪案件，则会转交警察局或检察院。
除了处罚之外，澳门个资办还有附加处罚的权力，包括禁止处理或要求删除资料等。据杨崇蔚介绍，此前个资办在一起美容业公司保护个人资料不力的案件中，就行使了公开谴责的附加处罚。
2019年8月，个资办发布通报，一家美肌中心因反复向消费者进行电话推销而遭到投诉。获悉消息后，个资办曾介入要求将投诉人的电话加入拒绝接受宣传推销名单，但未果。
根据澳门2005年出台的《个人资料保护法》第12条规定，对于企业以直接促销等目的的个人资料处理活动，资料当事人享有反对权。一经行使，企业就不得再对该等数据进行处理。
由于存在上述违法行为，且不积极配合调查，个资办对这家美容公司处以澳门币3.5万罚款，同时对其处以公开谴责的附加处罚。
不止骚扰电话，南都记者查阅个资办2019年公布的案例发现，类似网络曝光个人信息、借他人资料缴纳社保及申报职业税等行为，也在个资办调查及处罚的范围内。
比如2019年8月27日，有用户投诉，在未征得同意的情况下，自己的照片被人以留言的方式上传于网络帖文中。个资办最终对上传者处以澳门币8000元罚款。
“这些线索通常来自举报，也有的是在媒体报道后，个资办主动介入的。”杨崇蔚告诉南都记者。
杨崇蔚表示，澳门的《个人资料保护法》对个人资料的性质作出了界定，比如合法处理、只能用于特定目的、资料需准确且有一定存储期限。而个人的查阅权、反对权、更正权等权利都是受到保护的。
数据跨境流动应重视数据处理合法性和安全问题
大数据时代，数据是重要的生产要素。在强调个人隐私保护的同时，也需明确数据流通的规则，尤其涉及到数据跨境流动，更是备受关注。
杨崇蔚认为，基于数据的可复制性和难以删除性，如果缺乏适当的规管很容易发生问题。“万一资料在外国发生泄露，我们根本没有办法对当事人进行保护。如何对跨境资料进行保护，这是我们关心的问题。”他说。
会上，杨崇蔚提到个资办曾处理的几起涉及数据跨境案，其中包括谷歌被罚的案例。个资办2012年通报，谷歌未经许可在澳门进行街景拍摄，并将行人、车牌号等影像数据转移至澳门以外，被罚澳门币3万元。
在什么情况下数据才可自由地跨境流动？杨崇蔚指出，根据《个人资料保护法》规定，当事人明确同意转移，或者转移是为了执行与资料控制者的合约，基于公共利益、司法诉讼等目的所必需。
“在一些例外的情况，我们也可以许可资料跨境流动。当然前提是有关合约具有适当的保护程度，才会发出牌照。”杨崇蔚说。
他举例，澳门个资办曾给北京一家发出许可，允许其在澳门收集街景资料，并合法地将资料从澳门转移至内地。为了合规，这家公司在澳门当地的报纸发了公告，告知市民什么时段在何地会通过专车采集街景信息。如果市民不愿意被收集信息，可在当天错峰出行。
2018年9月，澳门个资办还就澳门电讯有限公司将数据中心业务扩展至香港一事出具意见书，对涉及到的个人资料跨境转移及信息保护等问题进行了详细解释，并对相关合约条款提出了明确要求。
“通过这样的方式既保护了营商的利益，也保护了当事人的利益。这是我们的尝试和做法。”杨崇蔚表示。
企业该如何做到数据跨境合规？杨崇蔚建议，应着重关注数据处理的合法性和数据安全问题。如果满足了上述要求，数据跨境并不难。在澳门，企业还可以向个资办申请许可。当然一些实际困难仍需应对，尤其是跨国公司如何处理当地安全机构向他们索取资料的请求，值得关注。
采写：南都记者李玲 发自珠海
编辑：蒋琳
