香港香港大全HK GUIDE

香港公司收到客户查阅个人资料要求：回复期限与收费处理

在香港经营业务，不少内地创业者都会遇到一种情形：客户忽然发来一封正式函件，要求查阅公司持有的个人资料副本。这类「查阅资料要求」（Data Access Request，简称 DAR）并非普通投诉，而是受《个人资料（私隐）条例》（香港法例第486章，下称「私隐条例」）规管的法定权利。作为资料使用者（Data User）的香港公司，必须在法定时限内依规处理；处理不当，公司可能面临个人资料私隐专员公署调查或投诉。本文从内地经营者视角，系统说明回复期限、可收取费用、实务流程与常见误区。

一、什么是「查阅资料要求」？

根据私隐条例第18条，任何资料当事人（即个人资料所涉及的自然人）均有权向资料使用者（即持有其个人资料的机构，包括公司）提出查阅要求，要求获告知公司是否持有其个人资料，并索取该等资料的副本。

常见触发场景

需要注意，查阅要求只适用於「个人资料」，即与在世自然人有关、能识别该身份的资料。纯公司资料（例如商业登记号码、企业账户交易流水）、匿名化资料均不在此列。

二、回复期限：原则上 40 日

私隐条例第19(1)条明确规定，资料使用者必须在收到查阅要求后的 40 个历日（calendar days） 内，依以下任一方式作出回应：

  1. 提供该等个人资料的副本；或
  2. 以书面形式告知：公司并无持有该资料当事人的任何个人资料。

可以延长的情况

若公司在 40 日内未能合理完成（例如需向第三方核实身份、需时检索历史备份），可依据第19(2)条，将期限再延长 不多於 40 日。但公司必须在原 40 日期限届满前，以书面形式通知资料当事人：

未能在 40 日（连同获准延期部分）内回覆，即构成违反私隐条例。资料当事人可据此向个人资料私隐专员公署投诉，专员可发出执行通知，违者可被检控。

实务建议：即使内部处理需时较长，公司亦应在 40 日内发出阶段性回覆，避免因沉默而被视为违规。

三、是否可以收费？——法定上限详解

私隐条例第28条明文允许资料使用者就处理查阅要求收取「合理费用」，但设有明确上限：

处理方式 可收取费用上限
处理要求本身的行政成本 港币 100 元（固定金额）
复印或转录资料副本 按实际成本收取（无固定上限，须合理）

费用结构拆解

  1. 港币 100 元的「要求处理费」 用以涵盖公司处理要求所涉的行政工作，包括身份核实、检索、判断资料是否存在、拟备回覆等。任何情况下，此项收费不得超过 100 元。

  2. 副本制作成本 公司可按实际工本费收取，例如复印费、A4 纸张成本、特快专递费、影碟或 USB 储存成本。若以人手誊录资料，亦可收取抄写费，但金额必须合理。

禁止收取的项目

收费时机

公司可要求资料当事人先缴付费用，然后再提供副本；但不得在未收齐费用前，无限期搁置回复。实务中，公司一般以书面函件告知收费金额，给予当事人合理缴费期（例如 14 日或 30 日），并於收妥费用后再寄出资料副本。

四、完整处理流程（公司侧）

以下为合规处理查阅要求的建议步骤：

步骤 1：确认收到要求

查阅要求可以书面、口头或电邮方式提出，但私隐条例第18条要求资料使用者「在切实可行范围内」以书面方式回应。建议公司收到任何形式的查阅请求，立即在内部系统登记日期，以便计算 40 日期限。

步骤 2：核实身份

私隐条例第20条要求公司采取「所有合理步骤」核实要求者身份，避免个人资料外泄予冒认者。常用方法：

若身份无法核实，公司有权拒绝处理；但拒绝前应书面解释原因。

步骤 3：内部检索

通知相关部门（客服、销售、人力资源、IT 等）检索系统、邮件、纸质档案，整理涉及该资料当事人的所有个人资料。

步骤 4：剔除第三方资料

私隐条例第19(3)条允许公司在以下情况下拒绝披露资料中涉及的其他人士的个人资料：

例如客户要求查阅其消费记录，当中若包含店铺职员姓名、电话、内部备注中对其他客户的描述，应予以遮盖。

步骤 5：通知收费（如适用）

如选择收取费用，向资料当事人发出书面通知，列明：

步骤 6：发出回覆

准备以下文件：

  1. 个人资料副本：以纸张、电子档或可携式储存装置形式提供皆可
  2. 回覆函：说明公司持有资料的范围、收费安排（如有）、第三方资料剔除的原因（如适用）、当事人进一步权利

步骤 7：存档

保留以下记录不少於 2 年（与《税务条例》保存期一致）：

五、可以拒绝披露的情形

私隐条例第19(1) 条列出多项豁免，以下情况公司可拒绝或限制披露：

第六项常被公司误用。除非有合理理由相信披露将导致严重伤害，否则不可单方面拒绝。

六、违反规定的后果

若公司未能在 40 日内回覆，或收取超额费用，或无合理理由拒绝披露，资料当事人可：

  1. 向个人资料私隐专员公署投诉 公署可展开调查，要求公司解释。调查期间，公司须配合提交资料。

  2. 公署发出执行通知 若专员信纳公司违反条例规定，可发出执行通知，指令公司在指定时间内纠正违规行为。

  3. 刑事检控 违反执行通知属刑事罪行，一经定罪可被处罚款。个别人士更可能面临个人刑责。

  4. 民事索偿 资料当事人可循民事途径向公司索取赔偿，包括因资料外泄导致的损失。

七、内地经营者常见误区

误区 1：以为「香港公司资料不外传内地即可」

部分内地背景经营者误以为只要不跨境传输就毋须理会。实际上私隐条例的「资料使用者」定义极广，任何在香港境内「控制」个人资料的实体均受规管，无论股东、集团总部在何地。

误区 2：以为口头要求毋须理会

私隐条例第18条只要求资料使用者「在切实可行范围内」以书面回应，并未强制要求以书面方式提出。当客户口头或电邮提出要求时，公司一样要履行义务。

误区 3：以为要求一次就够

资料当事人可在合理范围内多次提出查阅要求。但若公司在过去 12 个月内 已就相同要求作出回应，且当事人未能说明「合理理由」再次要求，公司可拒绝处理。条文保留在公司一侧的弹性，以免被滥用。

误区 4：以为可以「永远」拖延

不少公司在收到要求后长期不处理，以为沉默即解决。实则 40 日期限届满即开始计算违规责任。

误区 5：以为集团内可「互相转移」个人资料

香港对於集团内部资料共享同样适用私隐条例，除非获得当事人同意或另有法定依据，否则不可任意转移。

八、实用清单：公司收到查阅要求后 7 步速查

结语

对於在香港经营业务的公司而言，「查阅资料要求」既是客户的一项法定权利，也是公司展示合规水平的一面镜子。只要把握「40 日期限 + 100 元处理费上限 + 实际工本费」三个关键数字，按部就班核实身份、检索资料、剔除第三方资讯，就能既保障客户权利，又维护公司合法权益。

重要提示：本文所述金额（港币 100 元要求处理费）、时限（40 日）均根据私隐条例现有条文整理，如条例日后修订，以香港个人资料私隐专员公署公布的最新版本为准。建议公司定期查阅公署网站（pcpd.org.hk）了解最新指引。

如需了解更多香港公司合规、人力、税务等实操指南，欢迎浏览 香港大全 查阅更多专题文章。

常见问答

香港公司收到客户的查阅个人资料要求后，40 天回复期是怎么计算的？能否延长？

根据私隐条例第19(1)条，公司须在收到查阅要求后的 40 个历日内作出回复，回复方式为提供资料副本，或以书面告知并未持有该资料。若公司在 40 日内无法合理完成（例如需向第三方核实身份、检索历史备份），可依第19(2)条延长不多於 40 日，但必须在原期限届满前以书面通知当事人延长原因及预计回覆日期。建议公司在 40 日内先发出阶段性回覆，以免因沉默被视为违规。

处理客户的查阅资料要求，香港公司最多能收取多少费用？

依私隐条例第28条，公司可就处理要求收取合理费用，但有明确上限：处理要求本身的行政成本上限为港币 100 元（固定金额），用以涵盖身份核实、检索、拟备回覆等行政工作；复印或转录资料副本则可按实际成本收取，例如复印费、A4 纸张、特快专递、影碟或 USB 储存成本，但不得额外收取搜寻费、核对费或利润附加费。具体收费金额以私隐专员公署最新公布为准。

客户口头或电邮提出的查阅要求，公司是否可以不理会？

不可以。私隐条例第18条只要求资料使用者「在切实可行范围内」以书面方式作出回应，并未要求查阅要求本身须以书面提出。因此客户以口头、电邮甚至电话方式提出查阅要求时，公司同样须履行 40 日回复义务。建议公司在内部系统立即登记收到日期，以便准确计算期限。

公司怀疑要求者身份并非本人，可以拒绝处理吗？

可以。私隐条例第20条要求公司采取「所有合理步骤」核实要求者身份，常用做法包括比对客户档案中的姓名、身份证号、地址、电邮、电话，或要求出示身份证、护照副本及填写身份确认表格。若身份无法核实，公司有权拒绝处理，但拒绝前应以书面解释原因，避免被指违反条例。

客户在过去一年已经提出过相同的查阅要求，公司可以拒绝吗？

可以。私隐条例容许公司在以下情况下拒绝处理：若公司在过去 12 个月内已就相同要求作出回应，且当事人未能说明「合理理由」再次要求，公司可拒绝处理。此条文是为防止查阅权被滥用而设的公司侧弹性空间，但公司仍应以书面回复并说明拒绝依据。

延伸阅读