香港香港大全HK GUIDE

香港个人资料私隐条例合规

《个人资料(私隐)条例》(Personal Data (Privacy) Ordinance,Cap. 486)是香港规管个人资料收集、持有、处理及使用的核心法例,自1996年生效,经过多次修订,是内地企业主在港设立与运营公司时必须正视的合规议题。无论企业规模大小,只要在香港境内收集或处理自然人的个人资料,均受条例约束。违反条例可被个人资料私隐专员公署(Privacy Commissioner for Personal Data,PCPD)调查、罚款甚至检控,部分违规行为已纳入《2021年个人资料(私隐)(修订)条例》后的新罚则体系。

一、条例适用对象与核心定义

1. 谁受条例约束?

条例采用属地原则,适用于在香港境内控制个人资料的收集、持有、处理或使用的”资料使用者”(data user),无论其是否在香港注册成立。换言之:

只要处理行为与香港有足够联系,均受条例管辖。

2. 什么是”个人资料”?

条例定义的”个人资料”是指任何可直接或间接识别在世个人身份的资料,包括但不限于:

资料类别 典型示例
身份识别资料 姓名、身份证号、护照号、员工编号
联系资料 地址、电话、电邮、社交媒体账号
财务资料 银行账号、信用卡号、交易记录、信贷记录
生物特征资料 指纹、面部识别数据、声纹(2021年修订后受更严格规管)
位置资料 GPS 坐标、IP 地址、WiFi 接入记录
雇佣与人事资料 履历表、考勤记录、绩效评估、医疗报告

匿名化或去识别化处理后的资料若无法再识别个人身份,则通常不属条例所规管的”个人资料”范畴。

二、六项保障原则:合规的核心骨架

条例第1章载明六项保障原则(Protection Principles),是合规体系的根本依据。所有资料使用者均须在处理个人资料的整个生命周期内遵守。

原则1:收集目的与方式

个人资料的收集必须有直接目的,且须以合法、公平的方式进行。收集时须明确告知资料当事人:

原则2:准确性

资料使用者须采取一切合理步骤,确保所持个人资料在使用目的所需的时间内准确无误。

原则3:使用限制

除下列情况外,个人资料只可用于当初收集时所述的目的,或直接相关的新目的:

原则4:保安

资料使用者须采取一切合理步骤,保护所持个人资料免受未经授权或意外查阅、处理、删除、丢失或使用。

原则5:透明度

资料使用者须公开其处理个人资料的政策与实务,包括收集目的、资料类别、保存期等。公署鼓励私隐政策(Privacy Policy)以中英文双语发布于网站。

原则6:资料当事人的查阅与改正

资料当事人有权:

资料使用者须在40日内响应查阅请求,可收取不超过条例规定的费用,以官方最新公布为准。

三、企业合规的关键操作清单

内地企业主在港设立公司后,建议立即建立以下合规体系:

1. 内部私隐政策

2. 直接促销(Direct Marketing)的特别要求

条例对使用个人资料作直接促销设有特别严格的规定:

3. 数据安全措施

风险场景 建议措施
资料存储 加密静态数据(AES-256或以上)、分区分级管理
资料传输 TLS 1.2 或以上加密协议
员工查阅 最小权限原则、操作日志审计
第三方处理 签署书面数据处理协议(DPA)、尽职调查
资料销毁 到期资料以不可还原方式销毁(数字粉碎、物理销毁)

4. 资料外泄通报

2021年修订后,香港引入强制性的资料外泄通报制度:

5. 跨境资料转移

条例本身未明文禁止个人资料跨境转移,但资料使用者仍须遵守六项原则。若将香港客户资料传回内地总公司处理:

6. 员工培训与指定负责人

四、内地企业主常见的合规误区

误区一:”我们在内地,不适用”

事实:只要处理香港居民的资料、或在香港设有办公室,均受条例管辖。部分内地企业在港仅设商务联络处,却通过香港网站收集客户资料,同样适用。

误区二:”员工资料不需要遵守”

事实:员工也是”资料当事人”,其人事档案、考勤记录、薪酬资料、医疗报告(产假、工伤申报等)同样受条例保护。

误区三:”取得同意一次即可”

事实:同意须具体、知情、自愿、可撤销。笼统的”我同意贵公司处理我的资料”条款在条例下可能不被认可。

误区四:”数据加密就一定合规”

事实:加密是保安措施之一,但不取代其他原则。仍须告知收集目的、保障查阅权、确保准确性等。

误区五:”小型公司受豁免”

事实:条例没有按公司规模给予豁免,小型公司同样受全面规管。

五、违规后果与执法趋势

1. 现行罚则(2021年修订后)

违规类型 最高罚款
违反保障原则 港币 50,000 元 + 每日 1,000 元(持续违规)
直接促销违规 港币 500,000 元 + 监禁 3 年
强制资料外泄通报违规 港币 50,000 元 + 监禁 2 年
未回应 DAR/DCR 港币 10,000 元 + 每日 200 元

2. 公署执法趋势

近年公署执法力度明显加强,常见执法领域包括:

公署亦会发出执行通知(Enforcement Notice),要求企业限期整改,违者可被进一步检控。

六、持续合规的建议路径

内地企业主可按以下步骤推进合规建设:

  1. 盘点:全面梳理公司在港业务涉及的个人资料种类、处理环节、储存地点、跨境流动路径
  2. 补漏:对照六项原则逐项检视,优先修补高风险环节(如直接促销、数据外泄通报)
  3. 成文:起草并发布符合条例要求的私隐政策、Cookie 政策、收集个人资料声明(PCSS)
  4. 建制:指定 DPO、建立内部审批流程、制定资料外泄应急计划
  5. 培训:对前线员工、合规人员、IT 部门定期培训
  6. 审计:每 1-2 年进行一次内部或外部私隐合规审计

合规不是一次性项目,而是持续经营的底线工程。香港《个人资料(私隐)条例》经过近三十年演变,执法标准日趋严格,而公众与监管机构对私隐的关注只会持续上升。内地企业主若能在港设立公司之初便打好私隐合规基础,既可避免后续高额罚款与商誉损失,也能以国际认可的私隐标准赢得香港客户与合作伙伴的信任。

重要提示:本文所述罚则、例外规定与程序细节以官方最新公布为准,具体个案建议咨询合资格的法律顾问或私隐合规专业人士。

如需了解香港公司注册流程、强积金安排、税务申报等更多在港设立与运营公司的实务指南,请持续关注 香港大全(内地人赴港全方位指南)。

常见问答

内地公司在港没有办公室,只通过香港网站收集客户资料,是否仍受条例约束?

受约束。条例采用属地原则,只要在香港境内控制个人资料的收集、持有、处理或使用,或与香港有足够联系,即属条例所规管的”资料使用者”,无论企业是否在港注册成立。通过香港网站、电邮或电话向香港居民收集个人资料的境外机构,同样适用条例规定。

资料当事人查阅个人资料(DAR)需要多久回应?可以收取费用吗?

资料使用者须在 40 日内响应资料查阅请求。如需延长,应在原期限内书面通知当事人并说明理由。公署允许收取不超过条例规定上限的费用,具体金额以官方最新公布为准。资料改正请求(DCR)同样须在规定期限内处理。

强制性资料外泄通报的时限是多久?什么程度的外泄才需要通报?

若数据外泄事件可能对当事人造成严重实际损害,资料使用者须在 5 个工作日内通知个人资料私隐专员公署,并同时尽快通知受影响的资料当事人。是否构成”严重实际损害”须按个案具体评估,公署发布的指引列出了常见的考量因素。

将香港客户的资料转回内地总公司处理,需要事先获得客户同意吗?

条例本身未明文禁止个人资料跨境转移,但资料使用者仍须遵守六项保障原则。一般而言,跨境转移前应告知当事人并取得其明确同意,或基于合约必要性;同时须确保内地接收方提供的资料保护水平不低于香港标准,并建议签署标准合同条款(SCCs)或具法律约束力的企业内规。

内地企业在港子公司需要指定资料保护主任(DPO)吗?有什么具体要求?

条例并未强制所有企业必须任命 DPO,但指定一名资料保护主任或资料保护协调人是良好实务。建议至少指定专人负责私隐合规事务,统筹私隐政策发布、资料外泄应对、员工培训及与公署联络等工作,具体人选与职责配置可视公司规模与业务复杂度而定。

延伸阅读