个人资料私隐条例合规要求
在港设立与运营公司，无论规模大小，凡涉及收集、持有、处理或使用员工、客户、求职者、供应商甚至网站访客的个人资料，都受到《个人资料（私隐）条例》（Personal Data (Privacy) Ordinance, 简称 PDPO，Cap. 486）的规管。条例自1996年生效以来，是香港个人资料保护的核心法例。对于习惯内地《个人信息保护法》框架的内地企业主而言，PDPO 既有不少相通之处，也有其本地化的逻辑——本文按合规实操顺序展开。
条例由个人资料私隐专员公署（PCPD, Privacy Commissioner for Personal Data Office）负责执法。专员公署虽无刑事调查权，但具备调查、调解、发出执行通知及提起诉讼的多重权力。
一、条例适用对象与基本概念
谁受条例约束？
条例适用于在香港控制个人资料 collection、持有、处理或使用的任何人士，包括：
- 在港注册的公司、分公司、代表处
- 在港开展业务的境外公司
- 独资经营者、合伙企业、非政府机构
无论公司性质（有限公司、无限公司、社团），只要在港运营并涉及个人资料，即受规管。
何谓”个人资料”？
条例定义相当宽泛，指任何可以直接或间接识别在世个人身份的资料，包括但不限于：
| 类别 | 常见举例 |
|---|---|
| 身份资料 | 姓名、身份证号、护照号、员工编号 |
| 联系资料 | 地址、电邮、电话、即时通讯 ID |
| 财务资料 | 银行账号、信用卡号、薪金、报税资料 |
| 履历资料 | 学历、工作经历、推荐人、考勤记录 |
| 生物识别 | 指纹、面部识别、人脸照片 |
| 网上行为 | IP 地址、Cookie、设备识别码 |
何谓”敏感”个人资料？
条例正文未单列“敏感个人资料”类别（这一点与内地《个人信息保护法》或欧盟 GDPR 不同），但 PCPD 在指引中强调，身份证副本、人脸图像、健康资料、性取向等应适用更高的保障标准。行业领域如医疗、教育、金融、雇主-员工关系等，本身即隐含高敏感度处理。
二、六项保障原则（核心义务）
条例第 1–6 条规定六项原则，是合规体系的骨架。每一项都对应实操要求。
原则 1：收集目的与方式（Collection Purpose & Means）
- 收集个人资料须有直接与原定目的；不得超目的收集。
- 收集方式须合法、公平，不具误导性。
- 须在收集前或收集时告知当事人：收集目的、可能受让对象、当事人查阅与更正的权利。
实务动作：网站、App、表单须设置《收集个人资料声明》（PICS, Personal Information Collection Statement），清晰列明以上要素。
原则 2：准确性（Accuracy）
- 采取合理步骤，确保资料的准确性、及时性、完整性。
- 资料保存期超出原定目的的合理所需时，须删除、销毁或匿名化。
实务动作：HR 系统定期核对员工资料更新；客户数据库设置年度复核机制。
原则 3：使用限制（Use Limitation）
- 除非取得当事人明确同意或法律授权，不得用于原定目的以外的用途。
- “直接促销”（Direct Marketing）有专门规则（见下文）。
原则 4：保安（Security）
- 必须采取一切合理可行的措施，防止资料被未授权查阅、删除、丢失或滥用。
- 资料保留期届满后须销毁。
实务动作：加密存储、权限分级、密钥管理、员工保密协议、数据销毁记录。
原则 5：透明度（Transparency）
- 须公开发布《私隐政策》（Privacy Policy），列明处理资料的政策、实务及所持资料种类。
- 应指定专人或部门处理查询与投诉。
原则 6：当事人查阅与更正（Data Access & Correction）
- 当事人有权查阅其被持有的个人资料（DAR, Data Access Request），公司须在 40 日内回应（可申请延期）。
- 当事人可要求更正其资料；公司须作出更正或在不更正时附上书面声明。
关键细节：公司可就查阅申请收取按成本计算的费用，但不得拒绝合理查阅。
三、特别值得内地企业主注意的几项规则
1. 直接促销（Direct Marketing）
条例第 35A–35J 条对直接促销设有专门要求——这是 PDPO 较内地更细致之处：
- 首次使用当事人资料作直接促销前，须告知当事人，并提供免费拒绝机制（Opt-out）。
- 若资料来自第三方，则须在使用前取得当事人明确同意（Opt-in）。
- 当事人随时可要求停止将其资料用于直接促销，公司必须在收到要求后不迟于下一个发送周期停止。
实务动作：电邮、短信营销设置一键退订；首次推送前附隐私声明与拒绝选项。
2. 跨境资料转移
条例没有与内地《个人信息保护法》第 38 条类似的”白名单 / 标准合同 / 安全评估”制度。PCPD 立场是：跨境转移本身不违规，但原始收集方仍须遵守六项原则，特别是使用限制与保安原则。
实操要点：
- 若资料转回内地母公司用于人事、行政、备份等用途，须在 PICS 与私隐政策中列明受让对象类别与目的。
- 母公司应承诺同等保安水平（建议签内部 DPA 或数据处理协议）。
- 若属跨境 B2C 直销（例如内地客服团队呼出香港客户），须格外注意目的外使用与录音合规。
3. 资料外泄（Data Breach）
PDPO 暂未如 GDPR 般规定强制性通报时限，但 PCPD 强烈建议：
- 72 小时内通报公署；
- 同步评估对当事人的影响，必要时主动通知受影响人士；
- 保留事件日志与处置记录，以备调查。
2026 年立法会仍在审议强制性通报机制的具体设计，以官方最新公布为准。
4. 雇佣情境的特殊处理
雇主在港处理员工资料时须注意：
| 场景 | 合规要点 |
|---|---|
| 入职体检 | 仅限与岗位职责相关项目，结果保密 |
| 考勤监控（摄像头、GPS） | 须告知员工、限制监控范围、不得用于纪律处分以外的额外目的 |
| 内部处分调查 | 收集的资料仅限调查所需，不得公开 |
| 离职后资料保留 | 须按目的所需期限保留，超期销毁 |
| 工作签证资料 | 须按入境处要求提供，并告知员工资料受让对象包括政府部门 |
四、违规后果与执法实践
罚则框架
- 违反执行通知（Enforcement Notice）：构成刑事罪，最高罚款 港币 50,000 元 + 监禁 2 年（首次定罪）；再犯可加倍。
- 直接营销违规：第 1A 级罚款 港币 500,000 元，监禁 3 年。
- 违反保安原则致资料外泄：循民事或公诉程序处理。
虽然与 GDPR 的天价罚款相比，PDPO 罚款上限较低，但民事赔偿、声誉损害、监管调查的实际成本往往更高。
PCPD 近年执法重点
- 物业管理行业的访客登记资料处理
- 美容、医疗、健康产品的直销电话
- 金融机构的 KYC 与客户资料保护
- 网上平台 Cookie 与追踪技术披露
跨境调查的延伸
PCPD 与内地监管机构并无正式执法互助协议，但在港公司须独立承担条例义务，不能以”母公司未批准”为由推卸责任。
五、合规落地清单（Quick Checklist）
以下清单可作为年度合规自评起点：
一、文件与政策
- 已发布对外《私隐政策》，并附《收集个人资料声明》
- 已制定内部《资料处理程序》《资料保留与销毁政策》
- 已签署《资料处理协议》（DPA）覆盖所有外包服务、云服务、营销供应商
二、组织与人员
- 已指定资料保护负责人（可由法务、IT、合规兼任）
- 已对所有接触个人资料的员工进行入职与年度培训
- 已签订员工保密协议
三、技术与保安
- 资料加密（传输 TLS、存储 AES-256 或以上）
- 权限分级、最小授权
- 日志审计、异常访问告警
- 备份、灾备与销毁机制
四、流程与响应
- 已设定当事人查阅 / 更正 / 拒绝直接促销的响应流程（40 日时限）
- 已制定资料外泄响应预案
- 已建立投诉处理与公署沟通机制
五、特定场景
- 跨境转移已在 PICS 中列明
- 直接营销已取得首次同意并提供 Opt-out
- 雇佣情境下的监控、调查、体检已具备告知与限制机制
六、常见误区与提醒
- 误以为”公司小就免规管”——条例无规模豁免，即便一人公司，只要处理个人资料即受规管。
- 误以为”已发 PICS 就万事大吉”——PICS 内容必须真实、清晰、可触达；放在需要点击 5 层才看到的页面，已构成违规风险。
- 误以为”员工资料随便用”——员工与雇主处于权力不对等地位，条例对其适用标准更高。
- 误以为”取得同意一次即可”——同意须特定、知情、可撤回；长期使用须配合定期通知。
- 误以为”云端在境外就没事”——资料控制方仍在港，保安与使用限制义务不会因托管地而转移。
七、后续行动建议
- 对照六项原则逐项检查现有流程，找出差距；
- 优先处理高频风险点：直接营销、员工监控、跨境转移、第三方供应商；
- 建立资料资产清单（RoPA）：记录所有资料种类、来源、用途、受让对象、保存期；
- 每两年进行一次内部审计，或聘请外部顾问独立评估；
- 关注 PCPD 发布的新指引与修法动态，特别是强制性通报立法进度。
合规并非一次性工程，而是嵌入运营的持续机制。把私隐保护做扎实，既能规避监管风险，也是内地企业在港建立品牌信任的关键一步。
更多香港公司运营、劳动法、跨境税务与签证政策解读，可在 hkguide.org 查阅我们的系列指南。
常见问答
PDPO 与内地《个人信息保护法》相比，最主要的差别是什么？
PDPO 没有单独界定”敏感个人资料”类别，而是交由 PCPD 在指引中按场景适用更高保障标准；同时也不设跨境转移的”白名单、标准合同、安全评估”三选一机制，跨境转移本身不违规，但原始收集方仍须遵守六项保障原则。直接促销、查阅资料时限（40 日）等条款则比内地法更为具体。
在港一人公司或刚成立的小公司，是否也需要遵守 PDPO？
需要。条例无规模豁免，只要在港控制个人资料的收集、持有、处理或使用，无论公司规模或雇员人数，均受规管。PICS、私隐政策、保安措施、查阅回应等义务同样适用。
公司网站收集访客 Cookie 或 IP 地址，需要走什么合规动作？
Cookie、IP 地址、设备识别码均属条例下的”个人资料”。网站应通过《收集个人资料声明》告知访客收集目的、受让对象与拒绝机制；私隐政策中也须列明追踪技术的使用方式。首次使用前应取得访客知情同意，并提供可操作的选择退出途径。
跨境把员工资料传回内地母公司，需要签什么文件？
条例未强制要求标准合同或安全评估，但须在 PICS 与私隐政策中列明受让对象类别与目的。建议与内地母公司签署《资料处理协议》或内部 DPA，明确同等保安水平、用途限制、销毁义务，并保存签署记录以备 PCPD 调查。
收到当事人查阅个人资料的书面请求，公司要在多少天内回复？
须在 40 日内回应，可附理由申请延期。公司可按成本收取合理费用，但不得拒绝合理查阅。若资料不准确，当事人可要求更正；公司应予更正，或在不更正时附上书面声明说明原因。
发生资料外泄，目前是否必须通报？
PDPO 暂未如 GDPR 般规定强制性通报时限，但 PCPD 强烈建议在 72 小时内通报公署，并同步评估对当事人的影响，必要时主动通知受影响人士。强制性通报机制的最终设计与时限，以官方最新公布为准。
内地企业主最常踩的几个坑是什么？
常见误区包括：以为公司小就可免规管、以为发了 PICS 即合规、以为员工资料可任意使用、以为一次同意即可长期使用、以为云端在境外就不受规管。条例对每一项均有明确义务，建议对照六项原则逐项自评差距。