公司私隐政策撰写指南
在香港设立或运营公司，无论实体规模大小，凡是会收集、持有、处理或使用任何自然人个人资料的，几乎都需要一份私隐政策声明（Privacy Policy Statement）。这不仅是《个人资料（私隐）条例》（香港法例第486章，下称”私隐条例”）的核心合规要求，也是客户、合作方、平台与监管机构评估一家公司是否值得信赖的第一道窗口。
对许多内地企业主而言，”私隐政策”常被误解为一份可复制的英文模板。事实上，香港个人资料私隐专员公署（PCPD，下称”私隐专员公署”）多次明确指出：私隐政策必须能反映公司真实的资料处理做法，照抄样板不仅无法通过审查，反而会带来合规风险。本文围绕”为什么要写、写什么、怎么写”三个问题展开。
一、为什么公司必须备有私隐政策？
1. 法律层面的硬性要求
私隐条例附表 1 的”保障原则”（Data Protection Principles，简称 DPPs）共有 6 项，其中 保障原则 5（透明度） 直接要求：资料使用者须在收集个人资料之前或之时，以明示方式告知被收集者其个人资料将被用于什么目的、会不会转交给谁、查询与改正的渠道等。私隐政策正是履行这项”透明度”义务的核心工具。
没有私隐政策或政策内容空泛，等同于直接违反透明度原则，一旦发生投诉或主动调查，企业可能面临：
- 私隐专员公署发出的执行通知（Enforcement Notice）；
- 违反规定即属犯罪，可被检控（部分情况适用，具体罚则以官方最新公布为准）；
- 民事赔偿诉讼的风险。
2. 商业层面的信任价值
私隐政策是公司与外界沟通”我如何对待你的数据”的最直接文件。在以下场景中，缺失或含糊的政策都会直接影响业务推进：
- 电商与 SaaS 平台入驻：Shopify、AWS、Google、Meta、TikTok 等合作渠道需要审核私隐政策；
- 企业与银行开户：香港主要银行在尽职调查（CDD/KYC）阶段会关注客户资料处理流程；
- 跨境数据传输：若公司涉及将港人或内地客户的资料传回内地或境外，私隐政策是合规链条的一环；
- 应聘者与员工关系：香港《雇佣条例》及相关判例要求雇主对员工资料处理保持透明。
二、私隐政策的核心结构
一份合规且清晰的私隐政策，建议覆盖以下板块：
1. 公司身份与联络方式
明确写出：
- 公司法定名称、商业名称、香港主要办事处地址；
- 负责处理私隐事宜的联络人或”私隐主任”（Privacy Officer）的姓名（或职位）、电邮、电话、邮寄地址。
私隐条例要求资料使用者提供便捷的查询与投诉渠道，这是政策中不能省略的部分。
2. 收集范围与收集方式
清晰列出会收集的资料类别。常见的包括：
| 资料类别 | 举例 |
|---|---|
| 身份资料 | 姓名、身份证/护照号码、出生日期 |
| 联络资料 | 电话、电邮、地址 |
| 交易与账单资料 | 信用卡/银行账号、订单记录 |
| 技术资料 | IP 地址、浏览器 Cookie、设备识别码 |
| 雇佣相关资料 | 履历、推荐人、入职文件（仅适用 HR） |
同时说明收集方式：是用户主动提供（如填写表单）、自动收集（如 Cookie、像素标签），还是来自第三方（如商业伙伴、公开数据库）。
3. 收集目的（Purpose Statement）
私隐条例要求”收集目的须明确且具体”，泛泛而谈”用于业务运营”是不够的。建议逐条列出主要目的，例如：
- 处理订单、收款、提供售后服务
- 履行法定义务（如反洗钱、税务申报）
- 进行市场推广（需说明是否包括直邮、电邮、短信等渠道）
- 改善网站功能与用户体验
- 招聘与人力资源管理
- 履行合约义务
如果公司会将资料用于新目的（secondary purpose），必须事先取得当事人的明示同意（express consent）。
4. 资料的保存与保护
说明：
- 资料的保留时间（按业务需要或法例规定，例如财务记录保留至少 7 年，以官方最新公布为准）；
- 公司采取的技术手段（SSL 加密、访问权限控制、防火墙等）；
- 实体保安措施（文件保管、办公室出入管控）；
- 员工培训与保密义务。
5. 资料的披露与转交
需要清晰说明以下三类对象：
- 集团内部公司：是否与母公司、关联公司共享；
- 服务提供商：IT 外包、物流、支付通道、营销代理等；
- 执法与监管机构：依法例要求披露时如何处理。
特别需要关注的是跨境传输。如果资料会被传送至香港以外（包括内地），私隐条例并无绝对禁止（以官方最新公布为准），但公司必须：
- 在政策中明确披露接收地类别；
- 采取合理措施确保境外接收方按不低于香港标准的原则处理资料；
- 在部分敏感资料传输前取得当事人同意。
6. Cookie 与同类技术专项说明
如网站使用 Cookie，建议另设一段或附件说明 Cookie 类别（必要 Cookie、性能 Cookie、功能 Cookie、推广 Cookie），并说明用户如何管理浏览器偏好。
7. 当事人权利
私隐条例赋予当事人多项权利，公司政策中需明确告知行使方式与流程：
| 权利 | 含义 | 公司可设时限 |
|---|---|---|
| 资料查阅请求 | 查阅公司持有的个人资料副本 | 一般 40 日内回应（以官方最新公布为准） |
| 资料改正请求 | 要求更正错误或过时的资料 | 合理时间内处理 |
| 撤回同意 | 撤回此前给予的特定同意 | 撤回前已发生的行为不受影响 |
| 拒绝直邮 | 选择不再接收促销信息 | 通常 10 个工作日内停止发送 |
8. 政策的更新与版本管理
建议写明”本公司保留随时修订本政策的权利，并会在网页显著位置发布更新版本”。同时保留版本日期，便于审计与外部查阅。
三、撰写步骤：七步落地
以下流程适合从零开始撰写或重写公司私隐政策的团队：
Step 1：盘点资料流 绘制公司日常业务流程图，标记每一处”个人资料”产生、储存、传输、销毁的节点。
Step 2：核对法律依据
- 主依据：私隐条例及其 6 项保障原则；
- 辅助法例：反洗钱条例、税务条例、雇佣条例等；
- 跨境：若涉及欧盟、英国等数据主体的资料，需关注 GDPR/UK GDPR 的额外要求。
Step 3：草拟初稿 按照上文”核心结构”分节填充，确保每一节都有实质内容而非”占位符”。
Step 4：内部审阅
- 法务/合规团队：核对条款与现行法例一致；
- 业务部门：核对描述与实际操作相符（避免政策”说一套做一套”）；
- IT 部门：核对 Cookie 与追踪技术描述准确。
Step 5：翻译与本地化 如同时服务繁体中文、英文使用者，建议提供双语版本。翻译时不得漏译或语义走样。
Step 6：上线后告知用户
- 在网站页脚、注册流程、收集表单旁显著链接；
- 对现有客户可发送邮件或站内通知，说明政策已更新。
Step 7：建立定期复审机制 建议至少每年复审一次，或在业务模式、新系统上线、跨境传输安排变更时即时更新。
四、常见误区与避坑提示
| 误区 | 风险 | 正确做法 |
|---|---|---|
| 照搬国外或同业模板 | 与公司真实做法不符，违反透明度原则 | 在模板基础上贴合本公司实际 |
| 用「我们非常重视您的私隐」一句话代替具体说明 | 不构成实质披露 | 提供具体、可验证的描述 |
| 收集资料时不再次告知 | 用户并不知情 | 在每次新的收集动作前显示摘要 |
| 把营销同意默认勾选 | 违反”明示同意”要求 | 须用户主动勾选，且勾选框不可预选 |
| 跨境传输但不披露接收地 | 违反透明度与合理责任原则 | 在政策中列出主要接收地区类别 |
五、参考与延伸阅读
撰写过程中，建议持续参考以下官方资源（以官方最新公布为准）：
- 香港个人资料私隐专员公署（PCPD）官网发布的《保障原则》解读；
- PCPD 发布的《私隐政策声明》模板指引；
- PCPD 关于 Cookie、直接营销、跨境传输等专题指引；
- 香港金融管理局（金管局）针对金融机构的客户资料保护指引（如适用）。
如果公司业务涉及医疗、教育、金融、人力资源等敏感领域，建议同步咨询专业法律意见，因为这些领域往往有额外法规叠加适用。
一份合规的私隐政策，从来不只是”贴一个链接应付合规检查”。它实质上是企业对”我如何对待你的数据”作出的公开承诺——写得越真实、越具体，外部信任与内部合规效率就越高。在港运营的内地企业，把它当作一项长期资产而非一次性任务来对待，往往能在合规、客户关系、品牌声誉上同时受益。
如需了解更多香港公司运营、市场推广与人才政策相关内容，欢迎持续关注 香港大全。
常见问答
香港公司没有网站，只是做线下生意，还要写私隐政策吗？
需要。私隐条例适用于所有在香港收集、持有、处理或使用个人资料的实体，并不以”是否有网站”为前提。只要公司会记录客户姓名、电话、地址、付款资料或员工资料，就属于”资料使用者”，原则上应备有私隐政策声明以履行透明度义务。
内地企业的香港子公司，要把内地客户的资料回传内地总部，私隐政策要写什么？
政策中应明确披露：资料会被传输至香港以外的接收地（含内地）、接收方类别（母公司或关联公司）、传输目的，以及公司为确保境外接收方按不低于香港标准处理资料所采取的合理措施。建议在涉及敏感资料传输前另行取得当事人的明示同意。
公司想在网站用 Cookie 做推广分析，私隐政策里要单独写一段吗？
建议单设 Cookie 专项说明。内容通常包括 Cookie 类别（必要、性能、功能、推广）、各自用途、是否涉及第三方（如 Meta 像素、Google Analytics），以及用户如何通过浏览器偏好设置进行管理。仅在私隐政策正文里笼统提及”我们使用 Cookie”通常不足以满足透明度原则。
员工入职时收集的资料，能不能跟客户资料写在同一份私隐政策里？
可以放在同一份政策中分段处理，但员工/招聘资料部分应单独列明收集范围（如履历、身份证号、推荐人、入职文件）、收集目的（招聘评估、雇佣管理、法定义务履行）以及保存期限。文案应区别于客户资料，避免照搬客户条款。
私隐政策发布之后，多久需要更新一次？
文中建议至少每年复审一次；此外，当公司业务模式出现调整、新系统上线、跨境传输安排变更、或相关法例更新时，应即时修订并在网页显著位置发布新版本，同时保留版本日期以便审计与外部查阅。