開發商要複製真實客戶資料做測試，應否批准？

先說明測試目的，再決定用甚麼資料

開發商說「用現有資料最快」，並不足以支持整個資料庫搬到測試環境。以補習社為例，家長電話、學生上課安排和職員備註可能一併被複製，之後又出現在下載檔案或錯誤紀錄內。負責人可先要求對方列明今次修改的功能、要重現的問題及預期結果。委託改程式與批准使用某批客戶資料，是兩項需要分別記錄的決定。

例如補習社要改兄弟姊妹學費優惠，可以自行建立虛構家庭、學生關聯、報名日期及繳費狀態，再加入其中一人退班、兩人報讀不同課程等情況。計算是否正確，通常不需要家長的真實姓名或電話。若開發商指出只有舊紀錄才會出錯，應請他解釋缺少哪種歷史狀態或資料關係，嘗試重建該情況，而不是立即交出全校名單。這是示例，並非實際客戶個案。

清楚界定政府指引的參考用途

政府《資訊科技保安指引》G3 第 10.1 版（2024 年 7 月）第 16.3 節、印刷頁碼第 104 頁，訂明不應使用生產資料作測試，並應避免採用含個人或機密資料的運作中資料庫。無法避免時，須記錄審查並取得資料擁有人批准；使用前須去除個人識別資料，移除機密資料或將其改至無法辨認，測試後立即清除，保護程度亦須配合資料分類。

數字政策辦公室的資料保安頁面分開說明政府部門須遵循的要求，以及供業界按自身情況參考的指引。本文引用的是指定版本，並沒有聲稱它是最新版 G3。以下申請流程是給中小企的編輯建議，不代表所有補習社均受同一套政府內部規則約束，也不能憑填妥表格便宣稱符合《個人資料（私隱）條例》。如仍未釐清某項資料用途是否適當，應先交由負責私隱事宜的人員審視。

先比較替代方案，避免把改名當成匿名

虛構資料需要花時間設計，但日後重測同一功能也能沿用。從正式系統抽取少量紀錄，可能較容易保留罕見錯誤，代價卻包括額外的存取管理與清理工作。只把姓名換成「學生甲」，不等於已匿名；小班上課時間、出席模式或備註，仍可能讓職員認出學生。替代編號可以維持家庭關聯，但若有人保留對照表，便可重新連回本人。抽取後應在受控區域檢查實際檔案，連附件及隱藏欄位也要看過，才決定能否送往測試環境。

• 版面、輸入驗證及已知收費規則：先用自行建立的虛構紀錄。
• 需要大量資料測試效能：產生足夠筆數並註明與真實分布的差異，不必為湊數而複製全校資料。
• 替代資料仍無法重現問題時，才考慮經審查及處理的最小樣本；未能證明保護措施到位，便暫緩該項測試。

讓負責人能作決定的測試資料申請表

可把下表放入今次系統修改的工作單，每批資料各填一份。開發商負責說明技術上最少需要甚麼，補習社則指定有權決定用途及範圍的負責人。若答案只有「所有欄位、整個開發團隊、保留至上線」，仍不足以批准。要寫明樣本版本及筆數上限，避免下次重新匯出時增加內容，卻沿用上次批核。存取及清理安排應在傳送前核實。

傳送前核實限制，測試後逐項結案

資料進入測試環境前，請開發商示範測試電郵與短訊不會發給家長，付款操作也不會扣除真實款項。再核對具名帳戶及錯誤紀錄所收集的內容，避免截圖或支援工作單另存學生資料。即使資料庫分開，若通知及付款連接仍指向正式服務，申請表假設的隔離也未成立。未能示範控制措施，應先修正環境，再考慮匯入。

測試完成後，按已批准的副本清單逐項核對資料庫、匯出檔、開發人員下載的檔案、附件及測試備份。清理證據應記下時間、執行人和確認副本已無法存取的覆核結果，不要為證明刪除而又保存一份客戶紀錄。若備份不能按承諾期限清除，便不能把申請標作全部完成。這類保留限制最好在批核前解決；無法處理時，改用虛構資料較容易控制。

下一次提出改系統要求時，可同時交出這份表格，先請對方提交虛構測試個案，再討論是否真的需要匯出資料。補習社原有的權限及保留要求，可參照下方個人資料指南一併整理。委託開發工作時，把準備測試資料、核實環境限制及交付清理證據寫入工作範圍，負責人便能按具體資料作出批准、要求修改或拒絕的決定。