连续写了两篇关于在英港人信徒面对新环境的挑战，身为教会的信托人及资讯科技从业员，希望将我们如何使用资讯科技的经验与大家分享，谨供香港和英国的教会参考。
不少英国及香港的教会资源匮乏，为求压缩资讯科技方面的支出，或许有人会开设十数个免费的Gmail电邮户口、Dropbox、Discord什至FB、IG等，然后分发给事奉人员以作圣工之用，这或许是可行，但恐怕未必是适当的。不论英国或香港，教会皆有法定责任保障个人资料，英国方面处理个人资料受Data Protection Act 2018（《资料保护法 2018》）规管，明示了大多数个人资料处理与保护方式均应遵循欧盟之General Data Protection Regulation（GDPR，《通用数据保障条例》）；而香港方面则设有《个人资料（私隐）条例》规管个人资料之使用。两者标准及罚则有所不同，但大体而言，教会收集、使用及保存个人资料均受法例规管，某些情况下违反法律更属刑事範畴，教会必须小心谨慎。
如何推行使用资讯科技时履行尽职责任（due diligence），以确保个人资料得到保护？首先，须釐定负责人身份，或更准确地说，谁是「法人」。英格兰及威尔斯的慈善团体都受慈善委员会（charity commission）监管，慈善团体可以有四种方式存在，不同组织类型有不同的法律责任，暂不在本文深究。就以本教会而言，我们是以「慈善法团」方式注册，具有慈善委员会（charity commission）的注册编号。「慈善法团」作为法人，须负责保护个人资料的责任及遵守相关的法规。
在推行资讯科技系统之前，「慈善法团」须制定保护个人资料政策并向会众公布。主要原则为：
- 公布收集个人资料的目的及用途
- 不会收集多于需要的个人资料
- 存取个人资料只限于获授权人士
- 资讯系统设有不同存取级别，不同级别有不同存取範围，存取资料範围只限于其确实需要，不会存取多于需要的範围
- 验证身份需具足够的保安程度
- 资料当事人有权索阅、更新及要求删除存放在教会的个人资料
如何在符合上述原则下，寻得价格相宜什至免费的资讯科技工具？坊间有不少工具，笔者具体提议如下：
- 教会首先可申请网域名称 （domain name），网域名是网上身份的认证工具之一，对于教会而言，以org作为top level domain最为适当。网上有不少代购网域的供应商，价钱十分便宜。
- 向Google注册Google for non-profit的服务，此项服务是免费，更可以配合教会网域使用，进一步确认教会网上的身份，服务包括Gmail, Drive, Form非常好用，但前提是须向Google提交文件证明慈善团体地位及教会的网域名称。
- 成功取得Google for non-profit的服务后，可以在Google设立户口分发给事奉者，建议实行双重认证，提升户口的保安能力。
- 在Google设立不同shared drive，以供不同的行政用途，亦设立不同的存取权限。遇有人事更替，可以通过增删户口妥善控制教会资料的存取权限。
- 建议预设用户不能向公众分享及不能下载shared drive里的文件，以减低资料外泄的可能。
- 基于Google的登入认证上，可逐一推行其他系统，例如人事系统、点名系统等，亦应执行单一登入（SSO），以确保认证的保安能力。
- 教会亦可购买密码管理软件，以保密方式设定及分发不同服务户口（service account）的密码。
资讯科技工具日新月异，笔者提议旨在属抛磗引玉，欢迎大家回应。保护个人资料不但是法例上的要求，这也是教会体现充份尊重个人、建立信任的精神价值。
作者为英国肯特郡华人基督教会执事
