香港网站Cookies私隐政策模板与合规要点
内地企业出海香港，第一道隐形门槛往往不是公司注册或银行开户，而是网站角落那份不起眼的 Cookies 政策（Cookies Policy） 与 私隐政策（Privacy Policy）。在香港，根据《个人资料（私隐）条例》（第486章，简称 PDPO）及个人资料私隐专员公署（PCPD）的执法实践，所有收集香港用户个人资料的网站均须履行透明告知义务。
一缺失或含糊的 Cookies 政策，轻则被公署发出 执行通知（Enforcement Notice），重则面临民事诉讼与声誉损失。本文将梳理香港网站私隐政策的法律基础、可直接套用的模板框架，并列出六个最常踩雷的合规要点。
一、为什么香港网站必须重视 Cookies 与私隐政策？
香港并未像欧盟 GDPR 那样制定单一的”Cookies 指令”，但 PDPO 第 1 至 6 项保障原则（收集原则、告知原则、使用原则、保留原则、安全原则、公开透明原则）已构成实质约束：
- 资料收集原则：只收集”足够但不过量”的资料，且须以合法公平方式收集；
- 告知原则：收集前须告知收集目的、资料类别、承让人等；
- 公开透明原则：资料使用者须公开其私隐政策。
PCPD 在 2024 年发布的《人工智能（AI）个人资料隐私保障框架》、《物业智能门禁系统私隐保障指引》等文件中多次强调：Cookies 作为自动收集用户行为数据的工具，属于 PDPO 所规管的”个人资料”范畴，必须向用户透明披露。
港府个人资料私隐专员公署对违规个案可发出执行通知，最高罚款 港币 5 万元及监禁 2 年；民事索偿金额另计（以官方最新公布为准）。
二、合规私隐政策必备的八个模块
一份符合香港规范的私隐政策，通常应包含以下模块。内地企业可据此逐项起草，无需逐字照搬欧盟 GDPR 模板：
| 序号 | 模块名称 | 核心内容 | 香港特殊要求 |
|---|---|---|---|
| 1 | 定义与适用范围 | 何谓”个人资料”、”Cookies”；适用于网站哪些服务 | 须明确香港法律适用（PDPO） |
| 2 | 资料收集类别 | 身份资料、联络方式、浏览器指纹、IP、Cookies 数据 | 须区分必要 Cookies 与非必要 Cookies |
| 3 | 收集目的与使用方式 | 订单处理、营销、统计、改善服务等 | 须遵循”使用目的与收集目的一致”原则 |
| 4 | Cookies 与类似技术说明 | 列出使用的 Cookies 种类、功能、存续期 | 须说明如何管理或关闭 Cookies |
| 5 | 资料承让人与第三方 | 是否分享予支付网关、物流、云服务、广告平台 | 须披露第三方类别及所在地 |
| 6 | 资料保留期限 | 不同类别资料的保存时长 | 须说明删除或匿名化机制 |
| 7 | 用户权利与查询渠道 | 查阅、更正、删除、拒绝直接促销的权利 | 必须提供香港联络人、电邮、电话 |
| 8 | 政策更新与生效日期 | 修订方式、生效日期 | 重大变更须主动通知用户 |
三、Cookies 政策模板（可直接套用）
以下为简化版中英对照框架，企业上线前应由香港律师按业务实际审阅：
【公司名称】Cookies 政策
本网站使用 Cookies 及类似追踪技术，以提供、保护及改善我们的服务。
1. 什么是 Cookies？ Cookies 是您浏览网站时，浏览器存储于设备上的小型文本文件。我们同时可能使用 Web Beacons、像素标签（Pixel Tags）、本地存储（Local Storage）等类似技术。
2. 我们使用的 Cookies 类型
类别 用途 是否必要 存续期 严格必要 Cookies 用户登录、购物车、订单提交 必要 会话期 性能 Cookies 流量统计、页面访问量（如 Google Analytics） 非必要 13 个月 功能 Cookies 记忆语言、地区偏好 非必要 12 个月 营销 Cookies 广告投放、再行销（Remarketing） 非必要 90 天 3. 第三方 Cookies 部分 Cookies 由第三方设置，包括 [支付平台]、[云服务商]、[广告平台]。这些第三方可能依据其自有的私隐政策处理您的资料。
4. 如何管理 Cookies 您可通过浏览器设置关闭 Cookies，或在我们的 [Cookies 偏好中心] 调整选择。关闭必要 Cookies 可能导致网站部分功能无法使用。
5. 联系我们 如对 Cookies 使用有疑问，可联系我们的私隐主任： 电邮：[privacy@example.com.hk] 电话：[+852-XXXX-XXXX] 地址：[香港九龙/香港岛地址]
最后更新：2026 年 X 月 X 日
四、合规要点逐条拆解
1. 区分”必要”与”非必要” Cookies
PDPO 与 PCPD 指引均未硬性要求”事先同意（Prior Consent）”，但强烈建议采用 分层同意（Granular Consent） 设计：用户首次进入网站时，弹出 Cookies Banner，让用户分别勾选性能、功能、营销类别。默认不勾选营销 Cookies 是稳妥做法。
注意：香港并非欧盟，理论上允许”默示同意（Implied Consent）”，但 PCPD 在 2023 年针对某大型电商的执法中明确指出：网站不可默认开启所有 Cookies 并要求用户主动关闭——这构成”不公平收集”。
2. 数据跨境传输须明确披露
香港企业若将用户资料传输至内地母公司、外包客服或海外云服务器（如 AWS 美国节点、Google Cloud），须在私隐政策中明确披露 承让人类别、所在地及传输目的。这是内地企业最常忽视的一环。
3. 保留期限须写明
PDPO 第 2(3) 项保障原则要求”个人资料的保存时间不得超过达致原来目的的实际所需”。建议在政策中列明：
- 订单资料：交易完成后 7 年（符合香港税务条例存档要求）；
- 营销订阅：用户取消订阅后 30 日内 删除；
- Cookies 数据：不超过 24 个月。
4. 必须提供香港本地联络渠道
不少内地企业的私隐政策只留深圳或上海总部的联系方式，违反 PCPD 强调的”公开透明”原则。建议在香港设立私隐主任（Privacy Officer）或指定本地代理，并提供香港电话、电邮及实体地址。
5. 直接促销须提供”拒收选项（Opt-out）”
PDPO 第 35A 条规定：使用个人资料作直接促销前，须告知当事人其”拒绝接收”的权利，并提供免费机制。任何邮件营销、短信营销、WhatsApp 推广均须预留退订链接。
6. 政策更新须有迹可循
每次修订私隐政策，建议：
- 在页面顶部标注”最后更新日期”；
- 重大变更（如新增第三方追踪、资料用途扩展）须通过电邮或网站弹窗主动通知；
- 保留过往版本以备查询（可在政策底部增设”版本历史”链接）。
五、内地企业最常见的五个误区
- 直接复制欧盟 GDPR 模板：使用”lawful basis for processing”、”data subject rights”等术语，未做本地化处理，易给香港用户造成混淆。
- 完全照搬内地《个人信息保护法》表述：未提及 PDPO，也未提供香港联络人。
- Cookies Banner 形同虚设：仅一行小字”继续浏览即同意”，未提供分类勾选。
- 第三方追踪无清单：使用 Google Analytics、Meta Pixel、TikTok Pixel 等多类追踪却未在政策中列名。
- 缺乏中英双语版本：香港官方语言为中英双语，重要政策建议至少提供中文（繁/简）与英文两个版本。
六、落地清单：从零到合规的 5 个步骤
| 步骤 | 行动 | 时间预估 |
|---|---|---|
| 1 | 盘点网站使用的全部 Cookies 与第三方脚本（建议用 Cookiebot、OneTrust 等扫描工具） | 1–2 日 |
| 2 | 委托香港律师起草或审阅私隐政策与 Cookies 政策 | 3–7 日 |
| 3 | 上线 Cookies Banner 与偏好中心，确保默认关闭非必要 Cookies | 2–3 日 |
| 4 | 在网站页脚、网站注册页、结账页三个关键触点放置政策链接 | 1 日 |
| 5 | 内部建立《资料保留与删除 SOP》，指定私隐主任 | 持续进行 |
完成上述步骤后，建议每 6 至 12 个月 进行一次内部合规复核，并留存版本记录。
结语
对内地企业而言，香港的私隐合规看似繁复，实质是 GDPR 与个保法的”中间态”——既不像欧盟那样要求事先明示同意，也不像内地那样强调数据本地化。理解 PDPO 的六项保障原则、保持政策透明、确保用户可行使权利，便已覆盖八成以上的合规要求。
若需进一步了解香港公司注册、《个人资料（私隐）条例》原文解读，或 PCPD 历年执法案例汇编，欢迎浏览 hkguide.org，我们持续整理面向内地企业的香港合规与生活全指南。
常见问答
香港网站必须设置 Cookies 政策吗？不设置会怎样？
依据《个人资料（私隐）条例》（PDPO）的告知原则与公开透明原则，向香港用户提供服务并经由 Cookies 收集个人资料的网站，均应通过 Cookies 政策与私隐政策向用户披露收集目的、资料类别及承让人等情况。缺失或含糊的 Cookies 政策可能被个人资料私隐专员公署发出执行通知，并面临民事索偿，罚款与判刑上限以官方最新公布为准。
香港对 Cookies 同意机制有何要求？是否必须采用”事先勾选同意”？
香港并非欧盟，PDPO 并未硬性规定”事先明示同意（Prior Consent）”。但个人资料私隐专员公署在执法实践中不认可”默认全开、由用户主动关闭”的做法，建议采用分层同意（Granular Consent）设计，并在首次进入网站时弹出 Cookies Banner，让用户分别勾选必要、性能、功能、营销等类别，营销类 Cookies 宜默认不勾选。
内地企业的私隐政策只写内地《个人信息保护法》可以吗？
不可以。香港用户适用 PDPO，若政策中未提及 PDPO，也未提供香港本地的联络渠道（如香港电话、电邮、实体地址），可能被视为违反公开透明原则。建议同时涵盖 PDPO 与个保法的相关披露，并在文中明确指定香港私隐主任或本地代理的联络方式。
用户资料传输至内地母公司或海外云服务器，需要在政策中说明吗？
需要。PDPO 第 2(3) 项保障原则要求资料承让人及传输安排须向用户透明披露。若企业将香港用户资料传输至内地母公司、外包客服或 AWS、Google Cloud 等海外节点，应在私隐政策中列明承让人类别、所在地及传输目的，避免因未披露而构成违规。
直接促销邮件、短信或 WhatsApp 推广需要预留什么机制？
根据 PDPO 第 35A 条，使用个人资料作直接促销前须告知用户其”拒绝接收”的权利，并提供免费的拒收机制。因此，任何邮件营销、短信营销或 WhatsApp 推广均应预留清晰的退订链接或回复”TD”等便捷方式，确保用户可随时行使 Opt-out 权利。
Cookies 政策需要多久更新一次？需要保留历史版本吗？
文章建议每 6 至 12 个月进行一次内部合规复核，并在政策页面顶部标注最后更新日期。若涉及新增第三方追踪、扩展资料用途等重大变更，应通过电邮或网站弹窗主动通知用户；同时建议在政策底部增设”版本历史”链接，保留过往版本以备查询。
内地企业可以直接套用欧盟 GDPR 模板吗？有什么风险？
不建议。GDPR 模板中的”lawful basis for processing”、”data subject rights”等术语与香港 PDPO 的表述体系差异较大，直接套用易令香港用户产生混淆，也无法体现 PDPO 第 1 至 6 项保障原则的具体要求。正确做法是以 PDPO 为基础框架，结合企业实际业务起草本地化的中英双语版本，并经香港律师审阅后再上线。