香港雇员个人资料收集与使用规范
在香港职场，几乎每一次入职、续约、调岗、离职，都伴随雇主对个人资料的索取与处理。从身份证号码、银行账户、家庭住址到健康申报、犯罪记录、社交媒体账号，这些信息在法律上属于”个人资料”，受香港法例第486章《个人资料（私隐）条例》（Personal Data (Privacy) Ordinance，简称 PDPO）规管。
PDPO 自1996年生效，是香港个人资料保护的基础性法律。它并非由政府设立的独立机构执法，而是由个人资料私隐专员公署（PCPD）负责监察、调查违规与发出执行通知。本文以 PDPO 为主线，整理雇员与雇主在日常工作中最常遇到的资料问题，帮助双方厘清权利与义务。
一、PDPO 的核心原则（六项保障）
PDPO 第一部分载明六项保障原则，是所有资料处理者必须遵守的底层逻辑。无论是大型企业还是一人公司，只要在香港”收集、持有、处理或使用”个人资料，都受其约束。
| 编号 | 原则 | 核心要求 |
|---|---|---|
| 1 | 收集目的与方式 | 资料收集须为合法目的，方式须合法公平 |
| 2 | 准确性与保留期 | 资料须准确，保留时间不得超过必要期限 |
| 3 | 资料使用 | 资料只可用于收集时所述的用途，或直接相关用途 |
| 4 | 资料安全 | 须采取合理措施防止资料被未授权查阅、处理或丢失 |
| 5 | 透明度 | 个人有权获知资料是否被持有及用途 |
| 6 | 查阅与更正 | 个人有权查阅并更正其资料 |
这些原则看起来抽象，却是判断某一资料处理行为是否合规的标尺。
二、入职阶段：哪些资料可以要求？
可以合法收集的资料
PDPO 并非禁止雇主收集资料，而是要求”为合法目的、必要且合理”。在雇佣场景中，常见可收集资料包括：
- 身份证明文件：身份证、护照，用于税务申报、强积金（MPF）登记、入境处申报
- 学历与专业资格：招聘时已注明作为任职条件者
- 工作经历：核实履历真实性
- 银行账户资料：发放薪金所需
- 税务编号（如适用）：处理税务申报
- 紧急联络人：处理突发意外
- 住址证明：部分受监管行业（金融、警务等）所需
须审慎处理的”敏感资料”
以下资料并非完全禁止收集，但雇主须有特别理由并说明用途：
- 健康状况：仅当工作性质有健康要求（如饮食业、救护）或属病假申请所必须
- 家庭状况：仅限需计算强积金供款、税务优惠（如已婚人士免税额）
- 宗教、种族、政治倾向：除非属真正职业资格（religious institution 等极少数情况），否则属《残疾歧视条例》、《种族歧视条例》等其他法例的红线区
- 犯罪记录：仅在《性罪行定罪纪录查核》、《破产／诈骗相关职位》等法定或明确合理的情况下索取
- 生物识别资料（指纹、人脸识别）：须有严格保安理由与替代方案
收集方式的红线
- 不得以歧视性或胁迫性方式收集（如”不提供即不获录用”地索取与工作无关的资料）
- 不得收集”明显过多”的资料（例如聘请文员却要求提供父母健康状况）
- 不得通过第三方未经同意获取（例如暗中做背景调查）
三、收集时必须告知的内容（”收集个人资料声明”）
PDPO 第1(3)条保障原则要求：资料收集者须在收集时明确告知资料的用途。这通常以”收集个人资料声明”（Personal Information Collection Statement，PICS）落实，一份规范的 PICS 至少涵盖：
- 资料持有人的身份（即雇主名称）
- 收集资料的目的（与第3原则”使用限制”对应）
- 资料可能移转的对象（人力资源部、会计部、强积金受托人、税务当局等）
- 是否属强制性提供：哪些项目是必须提供的（标 *），哪些属自愿
- 资料当事人查阅与更正的权利
- 提出查阅请求的联络方式
签署雇佣合约时，雇员通常会被要求同时签署 PICS 或提供资料的同意书。签署本身不等于放弃权利——PDPO 第4A 条明确：个人资料的”同意”必须是可以独立撤回的，且撤回不影响之前已合法进行的处理。
四、日常使用阶段：三个最常见的雷区
1. 把员工资料当公司资产分享
常见错误：HR 把员工通讯录交给业务部门做营销；主管把下属的电话给客户做推广；离职时把员工资料交予接任者或新公司。
合规要点：原雇主收集员工资料的目的是雇佣管理，移交给业务伙伴、新雇主或外部机构用于其他用途，需要新的同意或符合”直接相关”原则。
2. 监控雇员过程中的资料问题
- 电邮与公司设备：香港目前并无专门立法明文限制雇主查阅公司电邮，但根据 PDPO 与雇佣合约条款，雇主应事先以书面政策告知监控范围、方式与目的
- 闭路电视（CCTV）：必须在显眼处张贴告示，说明拍摄范围与用途，影像保留时间不得超过必要期限
- GPS 定位、考勤打卡：仅限与工作直接相关，且不得用于追踪下班后行踪
- 社交媒体审查：要求提供私人社交账号密码、点赞记录等做法通常属过度收集
3. 跨境资料转移
PDPO 第33条至第33B条（跨境资料转移）原计划设立白名单机制，但目前该部分条文仍未生效。实务上仍依一般保障原则处理：将员工资料传输至境外集团总部或云端服务商时，须确保接收方有类似保护水平，建议签署集团内部资料转移协议或委托处理协议。
五、离职后：资料保存多久才能销毁？
不少 HR 担心”销毁太早被追诉、销毁太晚占空间”。PDPO 第2(2)条保障原则给出答案：资料保留不得超过原定用途所需的时间。
实务参考（以一般私营企业为例，具体以相关法规要求为准）：
| 资料类型 | 建议保留期限 | 依据 |
|---|---|---|
| 薪酬及税务记录 | 离职后 7 年 | 《税务条例》一般规定 |
| 强积金记录 | 离职后 至少若干年 | 《强制性公积金计划条例》 |
| 招聘申请资料（未获录用者） | 建议 6 至 12 个月，除非另行说明 | PDPO 必要保留原则 |
| 病假证明、医疗报告 | 仅限病假处理期间及复检完成后合理时段 | PDPO 必要保留原则 |
| CCTV 影像 | 一般 30 至 60 天，有投诉或诉讼者延至结案 | PDPO 必要保留原则 |
雇主应建立资料保留与销毁政策，定期清理已超期资料并做安全销毁记录。
六、雇员的权利：查阅、更正、删除与投诉
查阅资料请求（Data Access Request, DAR）
雇员可随时向雇主提出书面请求，要求查阅其被持有的个人资料副本。
- 雇主必须在收到请求后 40 日内 回复
- 可收取”直接相关”且不超逾行政成本的费用（具体上限以私隐专员公署当年公布为准）
- 雇主不得以雇佣关系存续为理由拒绝
- 例外：涉及第三方资料、商业机密、影响执法等情形可部分拒绝
更正请求
如资料不准确，雇员可要求更正。雇主须在 40 日内 回复，若拒绝须说明理由。
删除与限制处理
PDPO 并未直接赋予”被遗忘权”（如 GDPR 下的相同概念），但若资料已不再为原目的所需，或处理违反 PDPO，私隐专员可发出执行通知要求删除。
投诉途径
如认为雇主违反 PDPO，可：
- 先与雇主或公司资料保护主任协商
- 向个人资料私隐专员公署（PCPD） 提出投诉，公署可调查、调解或发出执行通知
- 涉及歧视、违反雇佣合约等其他诉求，可同时向平等机会委员会、劳工处或小额钱债审裁处／区域法院寻求救济
七、雇主合规清单（实务操作要点）
- 设置资料保护政策：明确各类雇员资料的收集目的、保存期限、查阅流程、安全措施
- 指定资料保护主任：负责处理查询与投诉，可由 HR 兼任但须有足够独立性
- 更新 PICS 与私隐通知：每项新增资料收集前先更新声明
- 员工培训：特别是 HR、IT 与管理层，须了解自身责任
- IT 与实体保安：电脑加密、权限分级、文件柜上锁、销毁设备
- 处理第三方供应商：与云端服务商、薪酬外包、IT 维护商签署资料处理协议
- 保留处理记录：发生事故时便于还原与通知
结语
个人资料保护并非一纸合规文件，而是贯穿招聘、在职到离职全过程的习惯。PDPO 提供的是底线规则：必要、合法、透明、最小化。雇员明白自己的权利，雇主理解自己的义务，才能让职场中的资料流动既高效又安全。
如雇主违反 PDPO 且情节严重，私隐专员可发出执行通知；违反执行通知即属刑事罪行，可处罚款及监禁，具体刑罚以条例最新版本为准。
如果你正在筹划赴港工作、转换雇主，或希望进一步了解香港雇佣、强积金、税务等职场议题，香港大全 整理了更多香港相关指南，涵盖签证、生活、置业与法律等多个面向，欢迎延伸阅读。
常见问答
香港雇主在招聘时可以要求查看身份证号码吗？会不会涉及私隐问题？
可以。身份证号码属于”身份证明文件”一类，在香港属于合法可收集的个人资料，常见用途包括税务申报、强积金登记及入境处申报等。雇主应在收集时（即填写入职表格或签署 PICS 时）说明收集目的、可能移转对象以及是否为强制性提供项目，以满足 PDPO 第1(3)条保障原则的透明度要求。
入职时公司要求填写家庭成员、宗教信仰甚至父母健康状况，合理吗？
一般来说不合理。除非该资料与工作直接相关（例如计算强积金供款、申索已婚人士免税额，或工作本身有健康要求），否则索取宗教、种族、家庭成员健康等资料可能构成”明显过多”的收集，违反 PDPO 第1(2)条保障原则；若涉及残疾或种族因素，亦可能触犯《残疾歧视条例》《种族歧视条例》。雇员可拒绝提供与工作无关的项目，并要求雇主说明收集理由。
雇主可以在公司电邮或电脑上加装监控软件吗？需要事先通知员工吗？
香港目前并无专门法例明文限制雇主查阅公司电邮或设备，但根据 PDPO 与雇佣合约精神，雇主应事先以书面政策告知监控范围、方式与目的，例如通过员工手册、ICT 使用政策或入职通知。监控应限于与工作直接相关，并尽可能将私人通讯与公司通讯区分，避免构成过度收集。
离职后，雇主必须把我的个人资料保存多久？能否要求立即删除？
资料保留期限视乎资料类型而定，原文表格列出常见参考：薪酬及税务记录一般保留离职后 7 年，强积金记录按《强制性公积金计划条例》处理，未获录用者的招聘资料建议 6 至 12 个月，CCTV 影像一般 30 至 60 天。PDPO 第2(2)条保障原则规定资料保留不得超过原定用途所需时间，但若相关法规另有规定更长期限（例如税务纪录），则须依法遵守；具体年限以官方最新公布为准。如欲申请查阅或要求处理，可向雇主或资料保护主任提出书面请求。
如果发现公司把我的电话给了客户做推广，可以怎样投诉？
雇员可先与公司资料保护主任或 HR 协商，要求说明移转依据；如不获合理解释，可向个人资料私隐专员公署（PCPD）正式投诉，公署有权调查、调解及发出执行通知。若同时涉及歧视或雇佣合约争议，亦可向平等机会委员会、劳工处或小额钱债审裁处／区域法院寻求救济，雇员无需放弃任何一项权利。