香港直销推广同意要求与私隐公署处罚案例
在香港经营电销、短信营销、WhatsApp 群发、App 推送、邮件 EDM，”对方是否同意过”比”对方是不是你的客户”更重要。一条未经同意发出的促销短信，可能让一家公司被个人资料私隐专员公署（PCPD，俗称”私隐公署”）公开点名、罚款并要求公开道歉。本文梳理香港《个人资料（私隐）条例》（PDPO）第 35A–35J 条的核心规则、常见踩坑点与近年真实处罚案例，帮内地赴港创业者、合规负责人、营销团队快速建立完整认知框架。
本文所述条款编号、罚款金额、案例细节均以官方最新公布为准。
一、什么是”直销推广”？
PDPO 对 “direct marketing” 的定义相当宽泛：任何人代表自身或他人，通过特定方式向特定人士发出资料，以推广、销售、宣传商品、服务、地产、求职机会、捐款等，都属于”直销推广”。
实务中常见的触发场景包括：
- 电话外呼推销（包括 AI 语音外呼）
- SMS / MMS 短信营销（含短讯链接）
- WhatsApp / WeChat / Signal 群发
- 电子邮件 EDM 推广
- App push 推送通知
- 社交媒体私讯推广（即使客户主动发过一条消息）
- 实体邮寄宣传品、直邮信件
- 实体对话营销（面对面、店内面对面使用客户资料）
关键点：即便你已经合法持有客户资料（用于订单交付、售后服务），只要用于”营销”用途，仍须取得额外的 “opt-in” 同意。客户关系不等于营销同意。
二、同意机制：你必须知道的六条红线
1. 必须”明示同意”（opt-in），不允许”默示同意”
PDPO 第 35A 条要求资料使用者主动取得数据当事人就”使用其个人资料作直销推广”以及”将其个人资料提供予他作用作直销推广”的明确自愿同意。
| 情形 | 是否构成有效同意 |
|---|---|
| 客户在注册账号时勾选”我同意接收贵公司的营销信息” | 有效（单独勾选项） |
| 在《服务条款》里”打包”勾选同意所有条款即代表同意营销 | 无效（捆绑同意不合规） |
| 客户是现有客户，被默认为同意接收营销信息 | 无效（现有客户不构成默示同意） |
| 用户曾经咨询过产品被记入 CRM，三个月后被营销 | 无效 |
| 用户在抽奖活动中填写手机号后被加入营销名单 | 无效（目的不同） |
2. “敏感数据”绝对禁止用于直销推广
PDPO 第 35A(5) 条直接列明，以下资料不得用作直销推广：
- 种族
- 政治立场
- 宗教信仰
- 工会会员身份
- 健康状况
- 性生活、性取向
- 遗传数据、生物特征数据
- 刑事定罪记录
营销人员不得根据医院名单、宗教团体成员名单、政治倾向问卷数据筛选目标用户。
3. 第一次营销必须附带”拒收机制”
根据第 35C 条，每一条直销推广信息都必须免费提供”拒收渠道”。具体要求包括：
- 清楚显示该信息是直销推广
- 提供身份披露（发送方是谁、代表谁）
- 告知数据来源（若不是从当事人直接收集）
- 免费拒收方式：回复”T”、回邮”Opt-Out”、点击”取消订阅”链接，或致电热线
- 拒收方式不能隐藏在小字里或需要付费才能操作
4. 公众人士名单、传阅名单限制
通过公开来源或陌生名单”挖”来的数据，再用于直销推广——同样需要当事人同意。第 35D–35G 条对此设有专门披露义务。
5. 内部”白名单”必须可审计
公司应能证明：
- 何时取得同意（timestamp）
- 通过何种渠道（网站勾选、纸质表格、口头需录音）
- 同意的具体内容（营销方式、是否包含”提供予第三方”）
- 用户撤销同意时，须 10 个工作日内停止使用并从名单中删除
6. 跨境数据传输同样受约束
若数据用于香港以外的营销活动（含云端发送、跨境 EDM 平台），仍受 PDPO 规管。内地 SaaS 工具直接对接香港客户数据库做营销，必须在隐私政策中说明跨境传输规则。
三、四种营销渠道名单的特殊要求
| 渠道 | 是否需要事先 opt-in | 拒收方式 | 其他注意 |
|---|---|---|---|
| 电话外呼 | 是 | 通话中口头告知”你可随时要求停止” | 需登记于”拒接来电登记册”（Do-not-call Register）查询后再拨打 |
| SMS / 即时通讯 | 是 | 回复”T”或指定关键词退订 | 短讯开头必须显示发送方身份 |
| Email EDM | 是 | 邮件底部”取消订阅”链接 | 须遵守 CAN-SPAM 式格式规范 |
| App push | 是 | App 内设置中心可单独关闭 | 须取得推送权限不等于营销同意 |
| 实体邮寄 | 是 | 回邮”拒收”表格 | 信封需清楚标识发送方 |
特别提醒：
- 香港设有”电话推销电话登记册”（Do-not-call Register），市民可自愿登记拒绝接听促销电话。私隐公署明确表示，企业应避免向登记册中号码拨打促销电话。
- 即使对方”曾经买过”，发送促销信息仍须独立同意。
四、私隐公署近年处罚案例
以下案例均为公署官方公开资料整理（具体当事人以官方公布为准）：
案例 1：地产代理未取得同意发推广短信
某地产代理公司向数千名业主发送促销短信推广楼盘，但客户资料来源为公开登记册，未取得任何营销同意。公署认定违反第 35A 条，发出 执行通知，要求公司：
- 立即停止使用相关资料
- 删除资料库
- 制定合规手册
- 因未设拒收触发，违反第 35C 条
案例 2：保险公司未经同意使用客户资料
某保险公司将保单客户资料用于推广新保险产品，因内部合规培训不足。公署命令公司：
- 销毁相关资料库
- 在 30 天内提交合规整改报告
- 向受影响的客户书面致歉
- 因系统性违规被公开点名
案例 3：科技公司从 WhatsApp 群组”抄名单”营销
某科技公司从公开 WhatsApp 群组抓取号码发送 App 推广。公署认定违反 opt-in 要求，违反第 35A 条，且违反第 35C 条拒收机制要求。
案例 4：医疗机构误用病人名单
某医疗集团被员工误将病人资料用于推广健康产品。公署指出这同时触发”敏感数据”红线（第 35A(5)），属于严重违规。最终除罚款外，公司董事会成员被要求参加私隐公署合规培训。
案例 5：电商平台在「打包条款」藏营销同意
某跨境电商在用户注册协议中加入”持续接收推广信息”条款作为默认勾选。公署认定违反第 35A 条，要求：
- 重新取得独立同意
- 修改注册流程
- 公开道歉
五、被处罚后会发生什么？
私隐公署的执法路径大致如下：
- 接获投诉或主动调查 → 展开审查
- 发出调查通知 → 公司须配合提供资料
- 发出执行通知（Enforcement Notice） → 要求限期整改
- 公开点名 → 违反执行通知可被公开披露
- 刑事检控 → 一经定罪，最高罚款 港币 50 万元 及监禁 3 年（违反执行通知）；违反第 64(2) 条相关刑事条文另有罚款层级
- 民事索偿 → 数据当事人可循民事途径索偿
公开点名对于赴港企业而言往往比罚款更致命——合作方审查、客户信任度、上市合规都会受影响。
六、合规清单：内地赴港企业 30 天行动地图
第一周：审计现状
- 列出所有客户/潜在客户资料库及其来源
- 标记哪些资料有”营销同意”记录
- 盘点所有现行营销渠道（电话、短信、邮件、push）
第二周：补同意
- 对历史名单启动 “再同意”流程（re-consent campaign）
- 改版注册流程：营销同意必须独立勾选
- 准备「拒收」统一模板（中文 + 英文 + 繁体）
第三周：系统改造
- CRM 增加”同意时间戳”、”同意来源”、”同意范围”字段
- 营销平台接入同意校验接口，无同意则自动拦截发送
- 部署 Do-not-call Register 查询机制
持续运营
- 每季度审查营销活动是否仍在同意范围内
- 员工培训（尤其是销售、客服团队）
- 退订请求 10 个工作日内响应
- 隐私政策每年更新，列明所有营销渠道及同意机制
七、常见误区澄清
| 误区 | 真相 |
|---|---|
| “用户主动留了电话就可以打” | 仅用于原定目的；营销需另外同意 |
| “用户没回退订就视为同意” | 必须主动明示，不存在默示同意 |
| “群发只要加退订链接就 OK” | 同意在前，退订机制在后 |
| “客户在内地就归内地法律管” | 数据在香港收集处理即受 PDPO 规管 |
| “公司规模小公署不管” | 公署已多次对小微企业执法 |
| “用加密消息就查不到” | 公署有调查权，企业必须配合 |
八、写在最后
香港的个人资料保护法律体系源自 GDPR 思路，对营销同意的严格程度高于内地《个人信息保护法》的一般行业实践。赴港经营的内地企业、跨境电商品牌、地产代理、金融机构、医疗集团，往往在第一年就被合规问题绊倒——核心原因不是技术复杂，而是没把”营销同意”作为独立流程设计。
记住三件事：
- 先有同意，后有营销
- 敏感数据绝不营销
- 每一条信息都要可拒收
把这三条当作业务上线前的硬性 checklist，远比事后被公署点名整改成本更低。
更多香港营商、税务、签证、合规指南，请持续关注 香港大全。
常见问答
没有专门签过同意书的”老客户”，可以给他们发促销短信吗？
不可以。文章明确指出，”客户关系不等于营销同意”，客户在注册账号或下单时留下的资料，仅可用于原定目的（如订单交付、售后服务），若用于直销推广，必须额外取得明示同意（opt-in）。公司现有的客户名单若没有独立的营销同意记录，建议启动”再同意”流程补齐授权。
注册时把营销同意放进《服务条款》一起勾选，算不算有效同意？
不算。文章列举的反面案例显示，将营销同意”打包”进用户协议或默认勾选，属于捆绑同意，公署认定无效。注册流程必须将营销同意设为单独、可独立勾选的选项，且默认应为未勾选状态。
内地《个人信息保护法》已经要求过授权了，是不是就不用再按香港规则做？
不是。文章在常见误区中明确说明，”客户在内地就归内地法律管”是错误认知。只要数据是在香港收集或处理的，就受 PDPO 规管，跨境营销活动同样不能豁免。若使用内地 SaaS 工具直接对接香港客户数据库做营销，隐私政策中也须说明跨境传输规则。
退订链接放在邮件最底部的小字里，可以吗？
不可以。文章强调，拒收方式不能隐藏在小字中或需要付费才能操作，每一条直销推广信息都必须清楚显示拒收渠道（如回复指定关键词、点击”取消订阅”链接、致电热线等），且须免费、便捷。公司收到退订请求后，应在 10 个工作日内停止使用并将资料从名单中删除。
公司只有几个人、没有专门法务，也会被私隐公署调查吗？
会。文章将”公司规模小公署不管”列为常见误区之一，并指出公署已多次对小微企业执法。无论公司规模，违反第 35A 条（未经同意营销）、第 35C 条（未提供拒收机制）或违反执行通知，一经定罪均可被罚款及监禁，具体金额以官方最新公布为准。公开点名对赴港企业的合作方审查与客户信任影响，往往比罚款本身更为严重。