「醫思健康」 旗下28個品牌違例共用客戶資料 私隱署發執行通知要求糾正

私隱專員公署早前接獲2宗有關「醫思健康」旗下品牌共用客戶個人資料的投訴，今（14日）發表調查報告，指該集團收購「匯兒兒科醫務中心」及「紐約醫療集團」後，未經客戶同意，將部分個人資料儲存在系統中，並與集團旗下28個品牌互用客戶資料，涉及約108萬名會員，不同品牌的前線職員可查閱相關資料。私隱專員鍾麗玲表示，「醫思健康」違反《個人資料（私隱）條例》，又對其作為上市公司，卻未有考慮該系統運作對客戶個人資料私隱造成影響，表示遺憾。

公署於2021年6月10日及8月26日分別接獲兩宗市民投訴，個案均與醫思健康旗下的品牌有關。首宗投訴指，投訴人於去年六月曾帶同女兒到「匯兒兒科醫務中心」向一位醫生求診，該名醫生其後加入集團旗下另一品牌「Dr Reborn」，投訴人才發現女兒的個人資料亦被轉移至新公司。另一名投訴人則表示， 在跟進其家人早前光顧「仁和體檢」有關的投訴期間，發現職員查閱了投訴人曾於2016年光顧「紐約醫療」脊醫服務時的資料。

報告發現，「醫思健康」收購「匯兒兒科醫務中心」及「紐約醫療集團」後，將後兩者客戶的個人資料儲存於統一系統內，並與集團旗下28個品牌互用，當中涉及約108萬名會員的資料。公署已就「醫思健康」違反個人資料私隱條例，有關披露或轉移個人資料的規定，發出執行通知，要求糾正及防止同類行為再發生。公署又指，倘情況未有改善將作出檢控，一經定罪最高罰款5萬及監禁2年。惟鍾麗鈴表示，現時罰則阻嚇力不足，正與政府商討加大罰則。

鍾麗鈴續指，「醫思健康」作為上市集團，應有足夠資源及條件制定政策，及在事前進行私隱評估。惟集團收購其他品牌後，不但未有徵求兩位當事人同意下，就披露及轉移其個人資料，更沒有通知當事人他們的個人資料將會被儲存於系統中，對該集團做法表示失望。她建議，機構將客戶的個人資料用作新目的前須先取得客戶同意，並向客戶提供清晰易明的收集個人資料聲明。

指導老師：林穎茵