連續寫了兩篇關於在英港人信徒面對新環境的挑戰，身為教會的信託人及資訊科技從業員，希望將我們如何使用資訊科技的經驗與大家分享，謹供香港和英國的教會參考。
不少英國及香港的教會資源匱乏，為求壓縮資訊科技方面的支出，或許有人會開設十數個免費的Gmail電郵戶口、Dropbox、Discord甚至FB、IG等，然後分發給事奉人員以作聖工之用，這或許是可行，但恐怕未必是適當的。不論英國或香港，教會皆有法定責任保障個人資料，英國方面處理個人資料受Data Protection Act 2018（《資料保護法 2018》）規管，明示了大多數個人資料處理與保護方式均應遵循歐盟之General Data Protection Regulation（GDPR，《通用數據保障條例》）；而香港方面則設有《個人資料（私隱）條例》規管個人資料之使用。兩者標準及罰則有所不同，但大體而言，教會收集、使用及保存個人資料均受法例規管，某些情況下違反法律更屬刑事範疇，教會必須小心謹慎。
如何推行使用資訊科技時履行盡職責任（due diligence），以確保個人資料得到保護？首先，須釐定負責人身份，或更準確地說，誰是「法人」。英格蘭及威爾斯的慈善團體都受慈善委員會（charity commission）監管，慈善團體可以有四種方式存在，不同組織類型有不同的法律責任，暫不在本文深究。就以本教會而言，我們是以「慈善法團」方式註冊，具有慈善委員會（charity commission）的註冊編號。「慈善法團」作為法人，須負責保護個人資料的責任及遵守相關的法規。
在推行資訊科技系統之前，「慈善法團」須制定保護個人資料政策並向會眾公佈。主要原則為：
- 公佈收集個人資料的目的及用途
- 不會收集多於需要的個人資料
- 存取個人資料只限於獲授權人士
- 資訊系統設有不同存取級別，不同級別有不同存取範圍，存取資料範圍只限於其確實需要，不會存取多於需要的範圍
- 驗證身份需具足夠的保安程度
- 資料當事人有權索閱、更新及要求刪除存放在教會的個人資料
如何在符合上述原則下，尋得價格相宜甚至免費的資訊科技工具？坊間有不少工具，筆者具體提議如下：
- 教會首先可申請網域名稱 （domain name），網域名是網上身份的認證工具之一，對於教會而言，以org作為top level domain最為適當。網上有不少代購網域的供應商，價錢十分便宜。
- 向Google註冊Google for non-profit的服務，此項服務是免費，更可以配合教會網域使用，進一步確認教會網上的身份，服務包括Gmail, Drive, Form非常好用，但前提是須向Google提交文件證明慈善團體地位及教會的網域名稱。
- 成功取得Google for non-profit的服務後，可以在Google設立戶口分發給事奉者，建議實行雙重認證，提升戶口的保安能力。
- 在Google設立不同shared drive，以供不同的行政用途，亦設立不同的存取權限。遇有人事更替，可以通過增刪戶口妥善控制教會資料的存取權限。
- 建議預設用戶不能向公眾分享及不能下載shared drive裡的文件，以減低資料外泄的可能。
- 基於Google的登入認證上，可逐一推行其他系統，例如人事系統、點名系統等，亦應執行單一登入（SSO），以確保認證的保安能力。
- 教會亦可購買密碼管理軟件，以保密方式設定及分發不同服務戶口（service account）的密碼。
資訊科技工具日新月異，筆者提議旨在屬拋磗引玉，歡迎大家回應。保護個人資料不但是法例上的要求，這也是教會體現充份尊重個人、建立信任的精神價值。
作者為英國肯特郡華人基督教會執事
