公司遵守个人资料私隐条例
《个人资料（私隐）条例》（Personal Data (Privacy) Ordinance，简称 PDPO，第486章）是香港规管个人资料收集、持有、处理与使用的主要法例，由个人资料私隐专员公署（PCPD）负责执法。自 1996 年生效以来，条例已多次修订，并在 2021 年通过修订加强「起底」行为的刑事规管。对在港设立及运营公司的内地企业主而言，PDPO 不仅是法律义务，更是建立客户信任、规避诉讼与监管风险的重要基础。
不少内地企业主误以为香港沿用内地的《个人信息保护法》框架，但两者在同意机制、跨境传输、监管路径上有显著差异。理解 PDPO 的核心逻辑，是搭建合规体系的第一步。
重要提示：条例的具体条文与执行细节以香港个人资料私隐专员公署官方最新公布为准；下文涉及个案细节，请以专业法律意见为准。
一、条例的适用范围：何时受 PDPO 约束？
PDPO 采用属地原则为主、属人原则为辅的混合管辖。判断一家公司是否需要遵守条例，主要看以下两点：
1. 是否在香港境内收集资料
- 公司在香港设有办公场所、店铺、客服中心，并通过电话、表格、网站、社交媒体等方式收集个人资料，无论资料当事人是香港居民还是游客，均受 PDPO 约束。
- 通过香港网站或 App 收集的资料，即使服务器在境外，仍受 PDPO 规管。
2. 是否对香港居民的「可识别身份」资料进行控制
- 持有香港客户的身份证号、地址、电话、银行账户、医疗记录、人脸图像等资料，无论公司注册地是否在香港，都可能触发 PDPO 的管辖。
- 纯匿名化、无法再识别身份的数据，不属于条例所定义的「个人资料」，但若存在「重识别」的技术可能，仍应谨慎处理。
常见误区
- ❌「公司没在香港开业，不需要遵守」——若资料收集行为在香港发生，即使没有实体店铺，也受规管。
- ❌「资料放在内地服务器就不受约束」——资料存放地点与条例适用无关，关键在于「收集行为」是否在香港发生。
- ❌「只要客户同意就可以随意使用」——同意必须属自愿且明确，并受六项保障原则约束。
二、六项保障原则：合规的骨架
PDPO 的核心是六项保障原则（Protection Principles），构成合规体系的骨架。任何涉及个人资料的处理活动，都应逐项检视。
1. 收集原则：合法、不过度、目的明确
- 收集个人资料必须有合法目的，且方式合法。
- 所收集的资料类型必须与目的相称（不过度收集）。
- 收集时应告知当事人：收集目的、资料的接收人类别、当事人是否必须提供资料（如不提供的后果）。
- 实务建议：网站与 App 的「收集个人资料声明」（PICS）应清楚列明上述信息。
2. 准确与保留原则：保持准确、不过久
- 公司须采取一切合理步骤，确保所持有资料的准确性。
- 资料保留期限不得超过实现目的所需的时间；目的达成后须销毁或匿名化。
- 实务建议：为不同类型的资料设定明确的「保留期限表」，并落实到期删除机制。
3. 使用原则：除非同意或例外，否则不得改变用途
- 资料只可用于当初收集的目的（或直接相关目的），除非获得当事人的「明确、自愿、可撤回」同意，或属于法定例外。
- 例如：原本为「送货」收集的地址，不得未经同意用于「直销推广」。
- 实务建议：在客户注册或合同签署流程中，明确区分「必需用途」与「自选用途」，并以勾选框取得独立同意。
4. 保安原则：采取合理保安措施
- 公司须采取一切合理步骤，确保资料受保护，免受未经授权或意外查阅、处理、删除、遗失或使用。
- 措施可包括：加密传输、访问权限分级、防火墙、双重认证、定期漏洞扫描、员工培训、物理资料柜上锁等。
- 实务建议：参考公署发布的《资料保护自评检查表》进行年度自查。
5. 透明度原则：公开私隐政策
- 公司须以易读、适时方式公开其私隐政策，内容包括：持有资料种类、处理目的、查阅与改正权利、联络方式。
- 实务建议：在网站首页底部、App 设置页、合同附件中均提供私隐政策链接。
6. 数据当事人权利保障：查阅与改正
- 当事人有权向公司提出查阅资料要求（Data Access Request, DAR），并可在合理时间内（条例规定40 天内）获得其个人资料的复本。
- 当事人亦有权要求改正其资料。
- 公司可收取与处理成本相称的费用，但不得借机刁难或拖延。
- 实务建议：设立专门的私隐主任或指定联络人，处理 DAR 与改正要求。
三、「起底」刑事化：2021 年修订要点
2021 年修订将「起底」行为（即未经同意披露他人个人资料以造成恐吓、骚扰、损害）列为刑事罪行，并赋予私隐专员多项调查与执法权力。修订要点包括：
| 修订内容 | 说明 |
|---|---|
| 罪行化 | 任何人未经同意披露他人资料，且意图或罔顾后果造成当事人或其家人受到骚扰、恐吓、伤害，最高可处监禁及罚金（具体刑期以法例最新版本为准）。 |
| 专员调查权 | 私隐专员可发出「停止披露令」、要求披露来源、申请手令搜查。 |
| 强制通知机制 | 若公司是服务提供者，且其服务被用于「起底」，专员可要求采取限制措施。 |
对企业的启示：
- 若平台或社群被举报涉及「起底」，应主动配合专员调查，并在必要时移除相关内容。
- UGC（用户生成内容）平台需建立投诉处理与紧急下架机制。
四、违规后果：民事、行政与刑事三层风险
违反 PDPO 可能同时触发多种法律后果：
| 风险类型 | 触发情形 | 后果概述 |
|---|---|---|
| 民事赔偿 | 当事人因资料滥用、保安不足等受到损害，可向公司索偿。 | 法院可裁定损害赔偿及其他济助。 |
| 执行通知 | 私隐专员在调查后认为公司违反原则，可发出「执行通知」。 | 公司须在指定期限内纠正；若未遵从，可视为刑事罪。 |
| 刑事起诉 | 违反执行通知、直接刑事条文（如未经授权取得资料、出售个人资料）等。 | 罚款及监禁（具体以法例为准）。 |
| 声誉损害 | 投诉、调查、新闻曝光可能严重影响品牌信誉。 | 客户与合作伙伴信任流失。 |
实务提醒：PDPO 设有民事与刑事的双轨机制，公署亦鼓励当事人透过调解解决纠纷，但拒绝履行执行通知将构成刑事罪。
五、跨境资料传输：与内地《个保法》的衔接
许多内地企业主关心：把香港客户的资料传回内地，或将内地资料传输至香港子公司，是否合规？PDPO 第 33 条原拟引入跨境传输限制条款，但该条文尚未生效，因此目前 PDPO 对跨境传输并无强制白名单或安全评估要求。然而，使用原则与保安原则仍然适用：
- 公司须评估境外接收方的资料保护水平；
- 透过合同条款约束境外接收方履行不低于 PDPO 的保护标准；
- 对敏感资料（身份证号、银行资料、医疗记录、人脸数据）建议加密传输与本地备份。
与此同时，内地《个人信息保护法》对出境设有更严格的安全评估、标准合同、认证机制。跨境传输须同时满足两地的法律要求，不可偏废。
六、合规清单：搭建私隐保护制度的关键步骤
以下清单可作为在港公司搭建 PDPO 合规体系的起点：
【治理层】
- 委任「私隐主任」或指定专责人员，作为对外联络窗口。
- 制定并发布《私隐政策》及《收集个人资料声明》。
- 建立资料处理活动清单（Record of Processing Activities, ROPA）。
【运营层】
- 客户注册、合同签署流程中分别取得「必需同意」与「自选同意」。
- 设定资料保留期限表，到期主动删除或匿名化。
- 查阅资料要求（DAR）须在 40 天内回应。
【技术层】
- 资料传输加密（HTTPS、TLS）、储存加密（AES-256）、密码哈希、访问日志。
- 权限分级管理、最小权限原则、定期权限复核。
- 定期漏洞扫描、渗透测试、事故演练。
【人员层】
- 员工入职与年度私隐培训。
- 供应商与外包方签署资料处理协议（DPA），明确保密与违约责任。
- 建立资料外洩通报机制：一旦发生事故，须评估是否通知专员与受影响当事人。
七、常见情境与应对建议
| 情境 | 关键问题 | 应对建议 |
|---|---|---|
| 客户登记表索取身份证号 | 是否「不过度收集」？ | 仅在为法律或反洗钱义务所需时索取，否则提供替代方式。 |
| 使用客户资料发送推广短信 | 是否取得明确、自愿同意？ | 设置独立勾选框，事前须让客户主动选择；提供随时取消订阅的途径。 |
| 员工离开后仍持有客户资料 | 是否违反保留原则？ | 建立离职交接清单，确保个人资料移交给指定接管人并及时删除本地副本。 |
| 网站使用 Cookies 与追踪技术 | 是否属于「个人资料」？ | 若可识别身份，应在私隐政策中披露，并提供拒绝选项。 |
| 收到 DAR 要求 | 是否在 40 天内回应？ | 设立内部 SOP，规定接收、验证、准备、回覆各环节时限。 |
结语：合规是长期竞争力
对内地企业主而言，香港的法治环境与隐私保护意识处于全球前列，《个人资料（私隐）条例》不仅是法律约束，更是塑造品牌信誉的关键资产。从一开始就以「设计即合规」（Privacy by Design）的思路规划资料处理流程，远比事后修补更经济高效。
如果你正在筹备香港公司、修订私隐政策，或准备应对 PCPD 的查询，欢迎参考 香港大全 上更多香港公司运营、合规与税务相关指南，从注册流程到资料保护，全方位支持内地企业主在港稳健经营。
常见问答
没有在香港开设实体办公室、只在网上销售，是否也需要遵守《个人资料（私隐）条例》？
需要。条例的适用关键不在于公司是否在港有实体店铺，而在于「收集行为」是否在香港境内发生。若公司通过香港网站、App、电话或社交媒体等渠道收集香港居民的可识别身份资料，即使服务器在境外、办公地点在内地，仍受 PDPO 规管。
客户已经勾选同意，是否就可以任意使用其个人资料？
不可以。「同意」必须属自愿且明确，且资料的二次使用仍须受六项保障原则约束。原本为 A 目的收集的资料，若要用于 B 目的（例如将送货地址用于直销推广），须重新取得当事人独立、自愿、可撤回的同意，并提供拒绝途径。仅凭一次性概括同意，并不足以覆盖所有后续用途。
内地子公司要把客户资料传给香港总公司，或反过来传输，需要做什么手续？
目前 PDPO 第 33 条有关跨境传输的限制条文尚未生效，因此条例层面并无强制白名单或安全评估要求。但公司仍须履行使用原则与保安原则，包括评估境外接收方的保护水平、以合同条款约束对方履行不低于 PDPO 的标准，并对敏感资料加密传输与本地备份。跨境传输须同时满足香港 PDPO 与内地《个人信息保护法》两地的法律要求，具体审批或合同机制以两地主管机关最新公布为准。
收到当事人要求查阅个人资料（DAR），公司必须在多少天内回应？可否拖延或收费？
条例规定公司须在 40 天内回应查阅资料要求，并可向当事人收取与处理成本相称的费用，但不得借机拖延或刁难。公司应设立专门的私隐主任或联络人，制定内部 SOP，覆盖接收、身份验证、资料准备、回覆等环节，确保在法定期限内完成。
公司怀疑平台上有用户「起底」或泄露他人资料，应如何处理？
应主动配合私隐专员的调查，在必要时移除相关内容，并保留相关记录备查。2021 年修订已将未经同意披露他人资料以造成恐吓、骚扰或损害的行为列为刑事罪行，UGC 社群与平台宜建立投诉处理与紧急下架机制，以降低被专员发出「停止披露令」或强制通知的风险。
公司发生资料外洩事件，是否必须通知私隐专员与受影响当事人？
条例鼓励公司在发生资料外洩时进行内部评估，并根据评估结果决定是否通知专员与受影响当事人。建议预先建立资料外洩通报机制，包括内部上报路径、事故调查流程、对外通知模板与时限。是否属于「必须」通知的情形，以个人资料私隐专员公署官方最新公布为准。