雇佣关系中的个人资料保护：雇主与雇员必读
香港是全球少数将”私隐权”明确立法保障的法域之一。《个人资料（私隐）条例》（第486章，下称”私隐条例”）于1996年生效，是本港保障个人资料的核心法例，规管范围涵盖公私营机构对个人资料的收集、持有、处理或使用行为。雇佣关系正是条例应用最频密的场景——从入职前的背景查核、在职期间的电邮与考勤监控，到离职后的资料保存与销毁，每一步都涉及敏感的”个人资料”。
无论你是雇主 HR、打工族，还是打算赴港工作的内地朋友，了解这套规则都有助你避开法律风险、减少劳资纠纷。
一、私隐条例的基本框架
1. 哪些资料受保障？
条例所指的”个人资料”，是指符合以下条件的任何资料：
- 可以直接或间接识别在世个人的身份
- 以可查阅或可处理的形式记录
常见例子包括姓名、身份证号、联络方式、银行账户、薪酬、病历、考勤记录、表现评核、闭路电视片段、电邮及网络浏览日志等。
2. 六大保障原则（必须熟记）
条例的核心是六项保障原则，适用于整个雇佣生命周期：
| 原则 | 核心要求 |
|---|---|
| 1. 收集目的与方式 | 必须为直接与正当目的收集，且方式合法公平 |
| 2. 准确性与保留期 | 资料须准确，并只在必要期间保留 |
| 3. 资料使用限制 | 仅用于当初收集时声明的目的（或直接相关目的） |
| 4. 资料保安 | 须采取切实步骤保障资料免被未授权查阅 |
| 5. 透明度（公开政策） | 须备有”私隐政策”并向员工清晰说明 |
| 6. 查阅与更正 | 雇员有权查阅及改正其被持有的个人资料 |
违反原则本身不直接构成刑事罪，但个人资料私隐专员公署可发出执行通知；违反执行通知属刑事罪行，可处第3级罚款（以条例最新修订为准）及监禁。
二、招聘阶段：收集什么、如何收集
1. 收集原则的实务体现
雇主收集求职者资料时，必须遵循”只收集足够但不超乎所需“的原则。即：
- 应只收集与评估求职申请直接相关的资料
- 应在收集前向求职者明确说明收集目的及资料可能转交的对象
- 如需进行背景调查或联络前雇主，原则上应先取得求职者的明示同意
2. 常见红线
| 行为 | 是否合规 | 说明 |
|---|---|---|
| 要求填写完整的婚姻、计划生育、宗教信仰 | ⚠️ 风险高 | 除非有真正业务需要（如部分宗教机构），否则属过度收集 |
| 要求提交身份证副本 | ✅ 一般可 | 但应订明用途、销毁时间，并做好保安 |
| 未经同意联络前雇主做背调 | ❌ 违规 | 应取得书面同意 |
| 在招聘网站长期保留落选者简历 | ⚠️ 视情况 | 若未声明保留期与用途，可能违反”保留期”原则 |
| 使用 AI 筛选简历 | ⚠️ 谨慎 | 算法若涉及敏感资料（如年龄推断），可能触犯歧视及私隐条例 |
实务建议：在招聘页面或申请表开头设置一段《收集个人资料声明》（PICS），列明收集目的、可能接收方种类、保留期、查阅权利及联络人。
三、在职阶段：监控与监察的合法边界
这是劳资纠纷最常爆发的环节。雇主有管理权，但并非无限制。
1. 电子监控的红线
| 监控类别 | 雇主可做 | 必须做 |
|---|---|---|
| 公司电邮与设备 | ✅ 监控使用情况 | 事先以书面政策告知员工 |
| 互联网浏览记录 | ✅ 一般可 | 政策须说明收集方式与用途 |
| 公司电话通话 | ✅ 可录音 | 仅记录必要资讯，且通知员工 |
| 公司车辆 GPS | ✅ 可装设 | 应符合《个人资料（私隐）条例》及交通规例 |
| 闭路电视（CCTV） | ✅ 公共范围可 | 须张贴清晰告示；洗手间、更衣室绝对禁设 |
| 社交媒体私人账号 | ❌ 不可监控 | 属私人领域 |
| 员工手提电话（非公司资产） | ❌ 不可监控 | 属员工私产 |
关键原则：监控必须与真正的业务目的相称，且员工须事前知情。私隐专员公署多次指出，“雇主有权管工，不等于有权看光”——侵犯程度必须与目的成比例。
2. 健康与基因资料
条例将”健康资料”列为敏感资料，收集与处理门槛更高：
- 强制体检：仅当工作性质真正有健康要求（如消防、潜水、餐饮）才可要求
- 病假证明：可要求，但只应收集与放病假直接相关的资讯
- 基因检测：一般不可要求员工或求职者提供
3. 表现监控与位置追踪
疫情期间，部分行业（如外勤、家居照护）开始使用 GPS 追踪员工位置。公署指引明确：
- 追踪程度须与工作评估需要相称
- 不应持续追踪非工作时间的位置
- 应让员工了解追踪设备存在、收集何种资料、保存多久
四、人力资源档案的”保留期”原则
私隐条例第2(3)原则要求：个人资料的保存时间不得超过所需时间。换言之，没有”保留越久越安全”这回事。
实务建议保留期（仅供参考，以行业惯例为准）
| 资料类别 | 建议保留期 |
|---|---|
| 考勤、薪酬、税务、强积金 | 离职后 7 年（符合税务与强积金条例要求） |
| 招聘落选者资料 | 通知落选后 6 至 12 个月 |
| 表现评核记录 | 离职后 2 至 3 年 |
| 病假与医疗报告 | 离职后 3 至 5 年 |
| CCTV 片段 | 一般 30 至 60 天（无事故情况下） |
| 工作意外报告 | 视乎《雇员补偿条例》要求，可能需保存 2 至 6 年 |
到期销毁才是合规终点。雇主应制定资料保留政策，并在到期后切实执行销毁或匿名化处理。
五、离职与资料转移
1. 离职时的资料交接
- 离职面谈表格：可收集改进意见，但不应收集与离职原因无关的资料
- 参考资料（Reference Letter）：若雇主选择提供，须基于事实且不带歧视；只可披露与工作表现直接相关的内容
- 薪酬资料披露：前雇主不应主动向前雇主以外的第三方透露前员工薪酬
2. 资料转让给第三方（如收购、合并）
若公司被并购或出售，雇员资料原则上不可未经同意便转让给新公司。处理方式：
- 须事先通知员工并取得独立同意
- 若员工拒绝，原公司须继续遵守保留期原则，到期销毁
- 涉及跨境转移时（如转到内地子公司），须评估接收地的资料保障水平
3. 离职后查阅权
员工离职后，仍享有对其个人资料的查阅与改正权。前雇主应设立渠道处理相关请求，并在 40 日内回应（可延长一次，但须书面解释）。
六、雇员与雇主双向实务清单
✅ 雇员自保清单
- 收到雇主收集个人资料时，留意是否有《收集个人资料声明》
- 提交身份证、银行资料时，问清楚用途、保留期、接收方
- 公司监控政策若有变动，要求书面通知
- 认为资料不准确时，可正式书面要求改正
- 如怀疑被违规收集或使用，可向私隐专员公署投诉
- 离职后跟进雇主是否妥善销毁个人资料副本
✅ 雇主合规清单
- 制定并公布《员工私隐政策》
- 招聘、入职、监察、离职各阶段分别备有 PICS
- 监控系统须事前告知、定期检视
- 资料分级管理：敏感资料（病历、身份证副本）应加密储存、限制存取
- 订立资料保留时间表并切实执行销毁
- 处理员工的查阅/改正请求，保留沟通记录
- 涉及第三方处理（如外判薪酬、外包 IT）时，签订资料处理协议（DPA）
七、违反条例的后果
私隐专员公署可处理投诉、展开调查，并：
- 发出执行通知，要求机构停止违规行为或采取补救
- 违反执行通知属刑事罪行，可处第3级罚款（以条例最新修订为准）及最高两年监禁
- 民事层面，资料当事人可就损害提出赔偿诉讼
值得注意的是，即使公署不提出检控，受影响的员工亦可能循民事诉讼或劳资审裁处等渠道寻求补救。近年本港已有雇主因不当监控或泄露员工资料而声誉受损、最终被索偿的案例。
八、内地赴港工作者的特别提示
如果你正计划赴港就业：
- 入职前：留意僱佣合约有否列明资料使用范围；签约时确认是否同意背景调查
- 在职期间：公司设备与私人设备分开使用，减少私隐外泄风险
- 跨境的资料传输：部分香港公司会将资料传至内地母公司处理，了解接收地的私隐保障
- 离职后：如发现资料被滥用，可先向公司内部投诉，无果再向私隐专员公署或劳工处求助
结语
雇佣关系中，雇主与员工都在持续产生与处理个人资料。私隐条例并非限制业务运作，而是要求双方以透明、相称、最少够用的原则行事。雇主做好合规，可减少诉讼与员工流失；员工了解自身权利，则能在资料被滥用时主动维权。
香港大全 还有更多关于香港法律、求职与生活的实用指南，欢迎继续浏览。
本文为一般资讯性内容，不构成法律意见。如涉及具体个案，建议咨询合资格的香港法律执业者。
常见问答
香港《个人资料（私隐）条例》适用于哪些雇佣场景？
条例适用于雇佣关系中个人资料的收集、持有、处理与使用，覆盖招聘背景查核、在职期间的电邮与考勤监察，以及离职后的资料保存与销毁等全流程。公私营机构均受规管，无论雇主规模大小均需遵守。
内地求职者赴港入职前，需要注意哪些个人资料风险？
签约前应留意僱佣合约有否列明资料使用范围，并确认是否同意背景调查；提交身份证、银行账户等敏感资料时，应主动询问用途、保留期及接收方。若公司会将资料传至内地母公司处理，还应了解接收地的私隐保障水平。
雇主在办公场所安装闭路电视或监控员工电邮，是否合法？
公共范围安装 CCTV 并事先张贴清晰告示属合规做法，但洗手间、更衣室等私密空间绝对禁止设置。监控公司电邮、互联网浏览记录及通话一般也可进行，但必须事先以书面政策告知员工，并说明收集方式与用途；私人社交媒体账号及员工自用手提电话则不可监控。
离职后，雇主应保管员工资料多久？
私隐条例要求保存时间不得超过所需期限，常见参考期限为：考勤、薪酬、税务、强积金资料建议保留 7 年，招聘落选者资料 6 至 12 个月，表现评核 2 至 3 年，病假与医疗报告 3 至 5 年，CCTV 片段 30 至 60 天（无事故情况下）。到期后应切实执行销毁或匿名化处理，具体期限以行业惯例及相关法例要求为准。
发现个人资料被公司违规收集或滥用，应如何处理？
雇员可先向公司内部提出书面投诉，要求查阅或改正资料；若公司未在 40 日内回应或处理不当，可向个人资料私隐专员公署投诉，亦可循民事诉讼或劳资审裁处等渠道寻求补救。私隐专员公署可发出执行通知，违反该通知属刑事罪行。