香港公司数据隐私合规 PDPO：内地企业必须读懂的基础课
在香港注册公司、开设银行账户、雇佣员工、运营小程序、网站或电商平台的第一天,你的企业就进入了香港《个人资料(私隐)条例》(Personal Data (Privacy) Ordinance,英文简称 PDPO,中文常称”私隐条例”)的管辖范围。
PDPO 是香港个人资料保护的核心法例,1996 年生效,适用于所有在香港收集、持有、处理或使用个人资料的机构——不论你的公司是否本地注册、是否在港有实体办公室,只要数据行为与香港有关,就在条例之内。违规可能导致罚款、民事赔偿,以及个人资料私隐专员公署(PCPD)的公开点名。
对从内地赴港的企业而言,PDPO 的逻辑与内地《个人信息保护法》(PIPL)、欧盟 GDPR 有相通之处,但六大数据原则、跨境传输规则、雇员监控限制三个层面差异明显。下面按内地企业最常踩坑的顺序逐项拆解。
一、PDPO 的六大资料原则——合规的”宪法”
PDPO 第 1 至 6 原则构成合规核心,所有处理个人资料的流程都必须能在条文里找到依据。
| 原则 | 名称 | 内地企业的常见误区 |
|---|---|---|
| 第 1 原则 | 收集目的与方式须合法且必要 | 默认收集所有可用字段,没在《收集个人资料声明》(PICS) 里说清用途 |
| 第 2 原则 | 资料准确性 | 客户地址、身份证号多年未更新,营销失败无人溯源 |
| 第 3 原则 | 资料使用限于原本目的 | 把销售数据交给贷款部门做风控,未取得同意 |
| 第 4 原则 | 资料安全 | 客户资料存在公共网盘、共享文档未加密 |
| 第 5 原则 | 公开政策 | 网站没有私隐政策,或政策只覆盖内地法域 |
| 第 6 原则 | 资料当事人查阅与改正 | 没有”数据访问请求”(DSAR) 模板,业务部门互相推诿 |
PICS(收集个人资料声明) 是 PDPO 特有的强制要求:首次收集资料时(网站表单、APP 注册、纸质表格)必须向当事人提供,载明收集目的、可能转移对象、查阅改正权利。漏发或措辞模糊,属于程序性违规。
二、跨境传输:数据出境到内地/海外的边界
PDPO 没有为跨境传输设立”白名单”或”安全评估”机制,而是通过第 1 与第 3 原则间接规管。即:传输本身不违法,但接收方必须能继续遵守 PDPO 的资料原则,否则原始收集者要承担责任。
内地企业最常遇到的三个场景:
-
香港客户资料传回内地集团总部 CRM 须在 PICS 与私隐政策中明示跨境用途;签订集团内部数据处理合同(DPA),写明接收方义务与销毁机制;对敏感资料(身份证号、银行账户)考虑脱敏或加密后再传。
-
内地供应商处理香港员工资料(薪酬、考勤) 供应商属于”资料处理者”(Data Processor),必须以书面合约方式约定保密义务与销毁期限。建议明确”分包须经书面同意、违约可即时终止”。
-
使用国际云服务(如 AWS、阿里云海外节点、Azure) 云服务商的数据中心位置即构成”资料转移目的地”,必须在私隐政策中披露,并评估当地法律是否能为资料提供”合理程度”的保护。
实务建议:对涉及大量个人资料的业务(如电商、跨境支付),单独制定《跨境资料传输指引》,由 DPO 审批后再上线。
三、雇员监控:比内地更严格的边界
PDPO 对雇主监控员工设定了较高的合规门槛,这是内地企业最容易低估的部分。雇主监控员工电邮、上网记录、办公场所 CCTV、键盘记录器等行为,均属于”收集雇员个人资料”,须按 PDPO 原则行事。
合法监控的合规要点:
- 目的正当:确有合理业务需要(如防止机密外泄、调查违规),而非泛化”提高效率”
- 告知明确:在雇佣合约、员工手册、电脑使用政策中列明监控范围、方式与目的;监控政策须显著可见(单独签署优于夹在员工手册里)
- 比例适当:能通过访问日志发现的问题,就不必启用键盘记录;能在楼层入口装的摄像头,就不必装工位正上方
- 保留期限:超过目的所需即销毁;业绩监控数据不应永久累积
PCPD 公开案例中,曾有雇主因未告知员工就启用 GPS 工卡、在洗手间安装 CCTV 被裁定违反第 1 原则,涉事公司被公开谴责。内地企业常见”老板说装就装”的做法,放在香港极易踩雷。
四、违规后果:民事、刑事、公开点名
PDPO 的执法工具呈”金字塔”结构,从轻到重为:
- 执行通知(Enforcement Notice):PCPD 要求限期整改,无罚款但有约束力
- 公开谴责:在 PCPD 网站点名,媒体会引用,对商誉影响较大
- 民事赔偿:资料当事人可循民事诉讼索偿,集体诉讼风险存在
- 刑事检控:直接营销违规、未经授权披露资料可入罪,罚款与监禁以官方最新公布为准
近年 PCPD 执法节奏明显加快,对直接营销、资料外泄通报、AI 决策透明度三个方向的关注度持续提升。内地企业若把”香港不严”作为侥幸理由,代价通常是商誉损失远超合规投入。
五、应急响应:资料外泄后 72 小时的正确动作
PDPO 没有 GDPR 式的”72 小时强制通报”条款,但 PCPD 强烈建议资料外泄后尽快通报并通知受影响人士。具体动作清单:
- 立刻隔离:切断被入侵系统、保留证据、停止相关流程
- 内部评估:外泄资料类型(是否含身份证、银行卡)、受影响人数、可造成的损害
- 通报 PCPD:提交《资料外泄通报表格》,叙述事件经过与已采取措施
- 通知当事人:若属高风险外泄(如密码、支付资料),须以电邮或短信告知
- 事后整改:在限期内向 PCPD 提交整改方案,关闭根因
不通报本身不构成直接违法,但通报义务可能源自其他法律(例如金融服务业监管要求),且通报通常会减轻后续处罚或民事责任。
六、合规起步清单:90 天从零到基本合规
内地企业赴港后,可按以下优先级安排合规工作:
| 时间 | 动作 | 责任部门 |
|---|---|---|
| 第 1 个月 | 盘点所有收集个人资料的入口(网站、APP、表单、客户系统) | IT + 法务 |
| 第 1 个月 | 起草/审核《收集个人资料声明》、网站私隐政策、Cookie 横幅 | 法务 |
| 第 2 个月 | 制定《雇员私隐政策》、电脑使用监控政策,纳入员工手册 | HR + 法务 |
| 第 2 个月 | 与所有资料处理者(云商、客服外包、HR SaaS)签订 DPA | 法务 |
| 第 3 个月 | 设立 DPO 或私隐专员角色(可兼任,但须能独立报告) | 管理层 |
| 第 3 个月 | 建立 DSAR 处理流程、数据保留与销毁机制 | 法务 + IT |
| 持续 | 每 6 至 12 个月做一次内部私隐影响评估(PIA) | 法务 |
费用方面,中小型企业的基础合规(政策文件、DPA 模板、培训) 通常可控制在五位数港币以内;若涉及复杂跨境场景(金融、医疗、跨境电商),需要专项预算,具体金额以服务方报价为准。
七、与内地《个人信息保护法》的关键差异
| 维度 | 港 PDPO | 内地 PIPL |
|---|---|---|
| 监管机构 | 个人资料私隐专员公署(PCPD) | 国家网信办及各级监管机构 |
| 跨境机制 | 无白名单,以原则间接规管 | 安全评估、标准合同、保护认证三选一 |
| 数据外泄通报 | 强烈建议但非强制 | 须即时向监管机构通报(具体时限以最新法规为准) |
| 自动化决策 | 透明度要求较弱,案例较少 | 单独章节规管,要求决策可解释、可拒绝 |
| 处罚上限 | 罚款 + 监禁(具体金额以官方最新公布为准) | 罚款最高可达 5000 万元人民币或上年度营业额 5% |
两套体系并行时,应同时满足两地的较严要求,而不是各管各的。常见的”满足 PIPL 就够了”想法,在香港属地管辖原则下站不住脚。
PDPO 不是装点门面的合规摆设,而是香港商业环境的底层规则。内地企业赴港后,把它当作与公司注册、税务、银行开户同等优先级的基础工程来处理,长期来看成本远低于事后补救。PCPD 网站提供中英文版本的法律、指引与执法案例,是免费的合规资料来源。
需要把 PDPO 与商业登记、税务申报、强积金(MPF)、雇佣条例放在同一张清单里统筹?香港大全 有更多香港公司设立与运营相关指南,涵盖从首年注册到年度合规的全流程实操。
常见问答
PDPO 适用于没有香港办公室的内地公司吗?
适用。PDPO 的判定标准是数据行为是否与香港有关,而不是公司注册地或办公地点。只要在港收集、持有、处理或使用个人资料(例如面向香港客户的电商订单、香港银行账户的开户信息),就落入条例管辖。是否在港设立实体办公室,并不影响适用性。
内地公司把香港客户的资料传回内地总部,需要单独申请什么吗?
不需要像内地 PIPL 那样走安全评估、标准合同或认证的”三选一”流程。PDPO 没有为跨境传输设立白名单机制,而是通过第 1 与第 3 原则间接规管:只要在 PICS 与私隐政策中明示跨境用途,签订集团内部 DPA 约定接收方义务与销毁机制,接收方能继续遵守 PDPO 原则即可。建议对身份证号、银行账户等敏感资料先脱敏或加密再传输。
PICS 和网站私隐政策是同一份文件吗?
不是同一份,但常常配套使用。PICS(收集个人资料声明)是 PDPO 特有的强制要求,在首次收集资料时(网站表单、APP 注册、纸质表格)必须向当事人提供,载明收集目的、可能转移对象与查阅改正权利。私隐政策则是放在网站上的持续性公开文件,面向已收集或潜在的资料当事人。两者内容有重叠,但 PICS 更强调”收集当时”的告知,私隐政策更强调”持续可查阅”。
香港雇主可以查看员工的微信聊天记录或键盘输入吗?
这类监控属于收集雇员个人资料,须按 PDPO 原则行事,且门槛较高。要点包括:目的正当(确有合理业务需要,而非泛化的”提高效率”)、告知明确(在雇佣合约、员工手册、电脑使用政策中显著可见地列明范围与方式)、比例适当(能通过访问日志发现的问题就不必启用键盘记录)、超过目的所需即销毁。未经告知就启用 GPS 工卡、在洗手间安装 CCTV 等做法,PCPD 公开案例中已有裁定违反第 1 原则的先例。
资料外泄后必须 72 小时内通报 PCPD 吗?
PDPO 本身没有 GDPR 式的”72 小时强制通报”条款,PCPD 是”强烈建议”尽快通报并通知受影响人士。不通报本身不构成直接违法,但通报义务可能源自其他法律(例如金融服务业监管要求),且通报通常会减轻后续处罚或民事责任。具体处理动作可参照文章中的五步清单:立刻隔离、内部评估、通报 PCPD、通知当事人、事后整改。