香港员工个人资料私隐保护

在香港，雇主与雇员之间存在着大量个人资料的流动——身份证号码、住址、家庭成员、银行账户、考勤记录、医疗报告、甚至 WhatsApp 聊天截图。香港法例第 486 章《个人资料（私隐）条例》（Personal Data (Privacy) Ordinance，简称 PDPO）是规管这些资料处理行为的核心法例，自 1996 年生效至今已逾四分之一个世纪，但真正走进大众视野，是近年来劳工处、个人资料私隐专员公署（PCPD）一系列判例与执法行动之后。

对雇主而言，这套法例既是合规清单，也是用工风险地图；对雇员而言，它是查阅、更正、投诉自身资料的法律依据。本文从制度框架出发，逐项拆解雇主义务与雇员权利，并整理出可落地的实务清单。

一、法例的适用边界

PDPO 适用于在香港「收集、持有、处理或使用」个人资料的任何人士，包括公司、独资经营者、合伙业务、非政府机构与政府部门。换言之，几乎所有在香港经营的雇主，无论规模大小、是否上市，均受其约束。

需要特别注意三个常见误区：

法例没有设定「雇员人数门槛」。即便只聘请一名兼职员工，只要处理其个人资料，就要受 PDPO 规管。
「雇员」的定义宽泛。除全职员工外，临时工、合约工、外判承判商员工、自由职业顾问、实习生、试用期员工均纳入保护范围。
「个人资料」定义极广：姓名、身份证号、护照号、相片、指纹、考勤记录、薪酬、出勤位置（GPS）、电邮与即时通讯内容、绩效评核、纪律聆讯记录、医疗与体检报告、基因资料、生物辨识资料等，皆属其列。匿名化处理后的资料则不在规管范围之内。

但 PDPO 并非万能。它不涵盖家庭活动中纯粹个人性质的个人资料，亦不直接规管「人权」议题（如歧视）——后者由《性别歧视条例》、《残疾歧视条例》等专项法例处理。

二、六项保障原则：雇主义务的支柱

PDPO 列出六项保障原则（Data Protection Principles，简称 DPP），是判断雇主处理行为是否合法的实质标准。

编号	原则名称	雇主核心义务
DPP1	收集目的与方式	必须以合法且在收集时明确告知用途的方式收集资料
DPP2	准确性及保留期	资料须准确更新，超出保留需要须删除
DPP3	使用限制	资料只可用于当初收集时声明的目的（或直接相关目的）
DPP4	资料保安	须采取合理措施防止资料被未授权查阅、处理、删除或作其他用途
DPP5	透明度	须公开其处理个人资料的政策与实务（Privacy Policy）
DPP6	资料当事人查阅与更正	雇员有权查阅及更正其个人资料

下面分别说明雇主在雇佣关系各阶段的实际落地动作。

DPP1：收集阶段——「必要」与「告知」

雇主只能收集「为达至收集目的而属必要的」个人资料。换句话说，与招聘或雇佣管理无关的私人资讯原则上不得收集。例如，要求求职者填写星座、血型、是否参与工会等，通常被视为过度收集。

告知义务方面，雇主须在收集时（或之前）告知员工：

资料将用于什么目的（招聘评估、薪酬计算、强积金供款、税务申报、人事管理等）；
该资料是否属强制性提供（强积金身份证副本、税务申报用的 IR56 表资料属强制；血型、身高则否）；
资料可能会转移给谁（强积金受托人、税务局、入境处、银行等）。

实务上，最常见的告知载体是《私隐政策声明》与申请表上的「收集个人资料声明」一栏。

DPP2：准确与保留

雇主须采取一切合理步骤，确保所持有的个人资料准确无误。员工有权要求更正错误资料，雇主不得无理拒绝。

保留方面，雇主应在资料不再需要用于收集目的时切实可行地删除。香港法例另有规定某些文件须保存特定年期，例如：

薪酬及雇佣记录：根据《税务条例》，一般须保存 至少 7 年；
强积金纪录：按强积金法例规定保存；
工伤、职业病个案：根据相关法例规定年限；
招聘未获录用者的资料：通常不应超过 2 年，逾期应销毁。

DPP3：使用限制

这是日常用工中最易触雷的条款。员工资料只能用于「当初收集时声明的目的」。例如：

用考勤 GPS 数据评估员工是否兼任竞争对手工作的「间接用途」，可能已超出原声明范围；
将内部纪律聆讯内容在部门公开，可能违反使用限制；
把离职员工资料转给集团另一关联公司作营销用途，几乎肯定违规。

雇主若欲将资料用于新目的，应事先取得雇员的明示同意（prescribed consent）。

DPP4：资料保安

保安要求分「实体」与「电子」两路：

实体保安：文件柜上锁、办公室闲人免进、碎纸机销毁、敏感文件不外带回家。

电子保安：密码复杂且定期更换、双重验证、加密储存、限制读取权限、离职即时关闭账户、便携装置（笔电、U盘）加密。

个人资料私隐专员公署的调查显示，遗失手提电脑或 USB 是最常见的外泄原因。曾有保险经纪把公司笔记簿电脑遗留在巴士上，结果因硬盘未加密而被裁定违反 DPP4 须被罚款。

DPP5：透明度

所有持续持有员工个人资料的雇主，都应备有一份可供查阅的《私隐政策声明》。该文件通常会列明：

持有的资料类别；
主要使用目的；
资料的转移对象类别（如强积金受托人、承保人、政府部门）；
资料保存年期；
雇员行使查阅及更正权利的渠道。

DPP6：查阅与更正权

PDPO 第 18 条赋予资料当事人「查阅资料请求权」（Data Access Request, DAR），第 22 条赋予「更正资料请求权」（Data Correction Request, DCR）。

收到查阅请求后，雇主通常可收取不超过港币 200 元的查阅费用（公营机构可豁免），并须在收到请求后 40 日内提供资料副本。雇主可拒绝请求，但须在期限内书面说明理由。

三、敏感资料与人力资源的特别议题

1. 雇员的「敏感」个人资料

PDPO 自身并未对「敏感资料」作出定义，但私隐专员公署发布的《雇员健康资料指引》、《雇员监察指引》明确指出，医疗记录、基因资料、生物辨识（指纹、面容识别）、工会会籍、政治倾向、性取向等属于高敏感类别，须以更高的保安与告知标准处理。

2. 职场监控

雇主安装 CCTV、GPS 追踪、软件监控、录影访客登记属常见做法，但须遵守「必要、最小化、告知」三原则：

闭路电视：不得安装于更衣室、洗手间等高度私密空间；
屏幕监控：应在事前向员工清楚说明；
监听通话：除非有合理理由并事先告知，否则涉嫌违反《电讯条例》及私隐条例；
收集车队的 GPS 轨迹，超出路线之外的位置资讯应作匿名化处理。

3. 招聘阶段的资料收集

求职阶段最容易踩雷。私隐专员公署明确表示：

不得收集身份证副本作为初筛门槛；
不得要求填写与岗位无关的资料（如婚姻、计划生育、信贷纪录）；
面试前应告知对方将收集何种资料、用途、保留期；
未获录用者的资料，应在合理期限后销毁。

4. 离职与转职的资料转移

员工离职后，雇主应：

立即关闭其电邮、系统、远端连线权限；
厘清资料归属（公司档案、创作成果、知识产权等归属协议须事先书面化）；
依「消除角色原则」（Role-based Access Control）删除或限制资料访问权；
保留纪录按 DPP2 处理。

5. 跨境资料转移

香港并无类似欧盟 GDPR 严格的「充足性」要求，雇主将员工资料转移至内地、外地云端、海外集团总部时，须确保：

仍能遵守 DPP（特别是 DPP3 使用限制、DPP4 保安要求）；
已在私隐政策中向员工说明跨境转移；
合同中设有资料处理协议（Data Processing Agreement）规定受让方义务。

四、违规后果与执法机制

1. 私隐专员公署的角色

个人资料私隐专员公署（PCPD）是执行 PDPO 的独立法定机构，负责：

发出执行通知（Enforcement Notice）；
调查投诉并促成调解；
就违规行为发出警告；
在严重案件中提出检控。

2. 民事与刑事责任

违反 DPP 本身不直接构成刑事罪，但私隐专员可发出执行通知，违反执行通知即属刑事罪；
直接营销、未经同意出售客户资料、跨境资料未告知员工等行为，可被检控并处以 罚款及监禁（以官方最新公布为准）；
因违反私隐而蒙受损失的当事人，可循民事诉讼索偿。

3. 实际案例启示

近年 PCPD 处理的多宗雇佣相关投诉，揭示了以下高发违规行为：

雇主在未告知情况下公布员工纪律处分细节；
离职后仍保留员工医疗报告并用于他用；
招聘时过度收集家庭背景与宗教信仰；
公司笔记簿电脑遗失未加密。

五、雇主合规清单（实务速查）

阶段	必备动作
招聘前	备有书面《私隐政策声明》；申请表附「收集个人资料声明」
面试时	仅询问与岗位直接相关的问题；告知资料用途与保留期
入职时	收集身份证副本须符合必要性；签署资料使用同意书；告知 CCTV 等监控存在
在职期间	设立分级取阅权限；定期检视资料保安；执行员工培训
离职时	关闭账户、移交设备、厘清资料归属、销毁或封存资料
周年/年度	检视私隐政策；审视资料保留年期；完成资料保护影响评估（DPIA）

六、雇员如何主张权利

如果认为雇主违反 PDPO，雇员可循以下步骤处理：

先行内部沟通：向公司 HR、私隐合规主任反映，要求查阅或更正资料。
向私隐专员公署投诉：可透过公署网站或热线递交投诉表（公署不会向投诉人收取费用）。
提出查阅/更正请求：以书面形式递交，保留副本作记录。
民事索偿：如因资料外泄或不当处理导致损失，可向区域法院或小额钱债审裁处提出诉讼。
同步向劳工处投诉：如同时涉及雇佣权益问题（如不当解雇、欠薪），可一并向劳工处求助。

结语

《个人资料（私隐）条例》并非只针对大型科技公司或公营机构——它同样适用于香港街头每一家聘请员工的小店。在跨境数据流动日益频繁、雇主监控手段越发精细的今天，对个人资料保护的重视早已不是「锦上添花」，而是「合规底线」。

香港大全持续更新香港法律、税务、签证、雇佣等实用指南，欢迎读者按主题分类查阅，获取更多赴港工作与生活的全方位资讯。

常见问答

香港《个人资料（私隐）条例》是否同时适用于小型公司和只聘请兼职员工的雇主？

适用。PDPO 适用于在香港「收集、持有、处理或使用」个人资料的任何人士，且法例没有设定雇员人数门槛。即便只聘请一名兼职员工的微型公司，只要处理其个人资料，便受该条例规管。雇主类型涵盖公司、独资经营者、合伙业务、非政府机构及政府部门，规模大小与是否上市并非豁免条件。

雇主在招聘阶段要求求职者填写身份证号码、家庭背景、宗教信仰等信息是否合法？

通常不合法。根据私隐专员公署的指引，雇主不得将身份证副本列为初筛门槛，也不得要求填写与岗位无关的资料，例如婚姻状况、计划生育意向、宗教信仰、信贷纪录等。雇主在收集前应明确告知资料用途与保留期，未获录用者的资料亦应在合理期限（一般不超过两年）后销毁。

员工向雇主提出查阅个人资料请求，雇主能否拒绝？需要多久回应？

雇主并非不可拒绝，但须在法定期限内书面说明理由。根据 PDPO 第 18 条及第 22 条，雇主可收取不超过港币 200 元的查阅费用（公营机构可豁免），并须在收到请求后 40 日内提供资料副本。若公司无理拒绝或拖延，员工可进一步向私隐专员公署投诉。

雇主在办公室安装闭路电视、监控员工电邮或 GPS 定位是否需要事先告知？

需要。私隐专员公署要求职场监控遵守「必要、最小化、告知」三原则：闭路电视不得安装于更衣室、洗手间等高度私密空间；屏幕监控与 GPS 轨迹收集应在事前向员工清楚说明；监听通话若无合理理由并事先告知，可能同时违反《电讯条例》及私隐条例。雇主通常会在《私隐政策声明》或入职文件中列明相关监控安排。

员工发现雇主违规处理其个人资料，应循什么途径投诉？

员工可循以下步骤处理：先向公司 HR 或私隐合规主任反映并要求查阅或更正资料；如内部沟通无果，可向个人资料私隐专员公署递交投诉，公署不会向投诉人收取费用；若涉及雇佣权益争议（如不当解雇、欠薪），可同步向劳工处求助；如因资料外泄或不当处理导致实际损失，亦可向区域法院或小额钱债审裁处提出民事诉讼。各项罚款及刑责的具体标准，以官方最新公布为准。