香港香港大全HK GUIDE

香港雇员资料外泄通报私隐专员流程

员工资料外泄是任何在香港经营企业都可能面临的棘手问题。一旦 HR 系统、电邮服务器、薪酬平台或第三方云端服务被入侵，雇主有可能在《个人资料（私隐）条例》框架下承担通报义务。

香港个人资料私隐专员公署（PCPD）自2023年起，透过《2021年个人资料（私隐）（修订）条例》引入”资料外泄事故通报及调查程序”，明确了企业（包括在港经营的内地公司）在外泄事件发生后的法定责任与建议流程。本文以实用视角整理整个通报机制，便于负责 HR、IT、合法的内地读者快速掌握要领。

所有具体数字、表格费用、罚则上限，请以官方最新公布为准。

一、何为”资料外泄”？谁要通报？

资料外泄（Data Breach）在条例下指：个人资料在未经授权下被查阅、收集、抄录、披露或删除，且有合理理由相信事件可能对当事人造成实际损害。

须通报的主体：在香港境内以”资料使用者”身份控制个人资料收集与使用的实体，包括：

简言之：只要阁下公司在香港雇用了员工，并掌握其身份证号、地址、银行账户、强积金资料等，便落入条例适用范围。

二、强制通报 vs 自愿通报：何时必须通报？

条例将通报分为强制与自愿两类，企业需要先判断事件的严重性。

强制通报的门槛（须同时满足）

条件 说明
1. 真实外泄 个人资料确实在未经授权下被查阅、披露等
2. 涉及雇员资料 该资料是雇主在港雇员／求职者／前雇员的个人资料
3. 严重影响 合理预期会对当事人造成实际损害（财务损失、身份盗用、歧视等）
4. 本港资料 该资料是在香港收集、或虽在外地收集但由本港机构处理

自愿通报

若未达”严重影响”门槛，但雇主仍希望通报以展示企业责任，亦可按自愿机制向私隐专员公署报告。自愿通报不构成认罪，亦不影响监管机构后续独立调查。

实务判断：HR 系统被入侵且员工身份证号、银行账户同时泄漏，多数情况下已符合”严重影响”门槛，应启动强制通报。

三、通报时限与流程

条例要求资料使用者在切实可行情况下尽快向私隐专员公署通报，并在发现事件起 72 小时内发出初步通报，再于其后 60 日内提交完整报告。

通报六步流程

  1. 内部评估（0–24 小时） IT、法务、HR 共同评估受影响资料范围、人数、潜在损害。如涉及勒索软件或第三方平台，应同时通知该服务商。

  2. 启动初步通报（24–72 小时） 透过 PCPD 网上表格或专用通报电邮提交：
    • 公司名称及联络人
    • 事件性质与发现时间
    • 受影响雇员人数（可后补确切数字）
    • 已采取或拟采取的缓解措施

  3. 通知受影响雇员（建议同步） 公署建议在通报同时或短时间内以书面形式通知每名受影响员工，告知资料类别、潜在后果、建议自保措施（如更改密码、监控银行账户）。

  4. 保存证据（72 小时起） 服务器日志、入侵痕迹、通讯记录、内部会议纪要须完整保留，以备公署或警方调查。

  5. 提交完整报告（30–60 日内） 内容包括：事故根因分析、受影响资料清单、通知范围、补救计划、未来预防措施。

  6. 配合公署调查 公署有权要求资料使用者提交进一步资料、进入处所检查，企业应预留对接窗口。

四、通报内容清单

为减少补件延误，建议在初步通报阶段便准备以下资料：

五、不通报的后果

如属强制通报事件但资料使用者未在时限内通报：

公署强调，主动通报并不等于免责，但可作为减轻情节。

六、与内地《个人信息保护法》的差异

对同时受内地法例规管的内地企业，通报程序存在以下差异：

维度 香港《私隐条例》 内地《个人信息保护法》
主管机关 个人资料私隐专员公署 国家网信办及行业主管部门
强制通报门槛 须达”严重影响”门槛 须”立即”采取补救+通知
通报对象 私隐专员+受影响个人 监管部门+个人（涉及1000人以上须报）
时限 初步 72 小时，完整 60 日 立即（无具体小时数）
罚则上限 以官方最新公布为准 违法所得最高50倍或1000万元

两地均要求通报，建议同时处理以避免跨境合规风险。

七、实务建议：HR 与 IT 部门应做好的 5 项准备

  1. 制定外泄应变手册：明确 IT、法务、HR、传讯部门在事件中的分工与联络顺序。
  2. 建立通讯模板：预先草拟向私隐专员、受影响员工、公众的通报版本，避免临时仓促。
  3. 保留所有数据处理记录：条例将”资料保留政策”与外泄应对挂钩，保留期过长或过短均可能成为问题。
  4. 审视第三方供应商合约：若云端 HR、薪酬代发、考勤系统的供应商在外泄事件中有责任，应在合约中写明通报义务。
  5. 定期进行桌面演练：建议每年最少一次，让 HR 与 IT 团队熟悉通报流程与 72 小时时限。

八、常见疑问

Q1：只有 1 名员工资料外泄，也需要通报吗？ 若符合”严重影响”门槛（如该员工的身份证号与银行账户一同外泄），仍须通报。门槛是损害可能性，而非人数。

Q2：通报会否导致企业被公开点名？ 公署会视乎事件性质决定是否公布，企业主动通报一般被视为负责任行为，但涉及公众利益的事件仍可能被公开。

Q3：内地总部可以直接向公署通报吗？ 可以，但须由香港实体或代表提出，并清楚说明香港联系人为谁。

Q4：员工若已被公司内部纪律处分，是否仍可向公署投诉？ 可以。内部纪律与外泄事件是两套独立机制，互不影响。

Q5：通报之后还要否通知警方？ 若涉及黑客入侵、勒索软件、诈骗，应同步报警。私隐专员公署本身不会代替警方调查刑事成分。

雇员资料外泄不只是 IT 事件，更是 HR、合规与公共关系的多重考验。在香港，主动通报 + 迅速补救 + 透明沟通是被公署与公众认可的最佳应对方式。建议企业在事故发生前便准备好通报流程与文件模板，将损害降至最低。

如阁下正在筹划在港成立公司、招聘首批员工或选聘 HR 外包商，欢迎到 香港大全 浏览更多香港公司注册、雇佣法规、强积金及资料合规相关指南。

常见问答

资料外泄多少人数才达到香港强制通报门槛？

人数并非唯一判断标准。条例要求同时满足「真实外泄、涉及雇员资料、合理预期造成实际损害、本港资料」四项条件。即使只有 1 名雇员的身份证号与银行账户一同外泄，仍可能因符合「严重影响」门槛而须强制通报；反之，若人数众多但仅涉及低敏感度资料且无实际损害风险，则未必触发强制通报义务。建议按损害可能性而非人数判断，必要时寻求法律意见。

内地企业没有在香港注册公司，是否仍受《个人资料（私隐）条例》约束？

判断重点在于是否在港「控制个人资料收集与使用」。在港设有营业地点、为香港雇员提供薪酬或招聘服务、透过本地 HR 外包商处理员工资料等情形，均可能落入「资料使用者」定义。内地总部若直接处理在港雇员资料，亦有合规风险，建议在架构层面明确香港实体的通报角色与联络窗口。

初步通报时还未掌握确切受影响人数，可以先报后补吗？

可以。PCPD 网上表格及专用电邮允许先提交合理估算或暂定数字，并在其后 60 日内提交的完整报告中补充确切资料。建议在初步通报时同步说明仍在调查的事实，避免因资料不齐而延误 72 小时时限。

通报私隐专员公署后，企业会被公开点名或处罚吗？

公署会按事件性质决定是否对外公布，主动通报一般被视为负责任行为，可作为减轻情节。但若涉及公众利益、情节严重或违反强制执行通知，公署仍可能公开事件或展开检控，具体罚则上限以官方最新公布为准。建议同步检视民事索偿及雇员向劳工处投诉的风险。

HR 外包商或云端 SaaS 平台外泄，是否仍由雇主承担通报责任？

视乎合约与谁「控制」资料而定。若雇主将员工资料交由第三方处理而失去控制权，外包商可能成为资料使用者并承担主通报义务；但若雇主仍保留资料控制权，则不能免除自身责任。建议在合约中预先写明外泄通报义务、分工界面与赔偿安排，并在事件发生时共同评估责任归属。

延伸阅读