雇主处理员工个人资料规范
员工由入职到离职，个人资料——身份证号码、银行账户、住址、健康记录、考勤数据、表现评核、通讯内容——几乎全程都掌握在雇主手上。在香港，《个人资料（私隐）条例》（第 486 章，简称 《私隐条例》）是规范个人资料处理的核心法例，由个人资料私隐专员公署（PCPD）负责执行。任何在港营运的雇主，无论本地公司、跨国机构或初创企业，只要在港收集或处理员工个资，均受其约束。本文以条例核心原则为骨架，结合实务场景，整理出一份雇主可对照执行的合规清单。
一、法律框架：六项保障原则
《私隐条例》本身并不针对特定行业，而是以六项 保障原则 作为通用底线，雇主须以政策、流程、合约、系统设置逐项落地。
| 编号 | 原则名称 | 核心要求 |
|---|---|---|
| 1 | 收集目的及方式 | 资料收集须有合法目的，且仅可收集「足够但不超乎适度」的资料 |
| 2 | 准确性及保留期 | 资料须准确并适时更新，保留期不超过原定目的所需 |
| 3 | 资料使用 | 资料只可用于收集时所述的目的，或直接相关目的 |
| 4 | 资料安全 | 须采取合理措施防止资料被未授权查阅、丢失或滥用 |
| 5 | 透明度 | 须清楚告知员工收集目的、用途及查阅／更正途径 |
| 6 | 查阅及更正 | 员工有权查阅及更正其个人资料 |
违反保障原则本身并非直接刑事罪，但 PCPD 可发出 执行通知，强制要求整改；违反执行通知即属刑事罪行。若涉及以有欺诈骗取利益手段取得或出售个人资料，则可能触犯《私隐条例》第 53 至 56 条，最高可判监禁及罚款。
二、收集阶段：什么能收，什么不能
1. 入职前后常见资料类别
- 必须收集：身份证副本、学位与专业证书、推荐信、税务表格（IR56B 资料）、强积金（MPF）登记资料、银行账户
- 可按职位需要收集：专业牌照（CPA、律师执业证等）、背景调查授权书
- 敏感类资料须谨慎：医疗报告、残疾状况、种族、宗教、家庭状况、性取向、刑事记录
2. 「直接相关」与「超乎适度」界线
雇主只能收集与招聘决策或雇佣管理直接相关的资料。下列做法被视为过度收集：
- 索取员工配偶的身份证副本（除非用于 MPF 申报）
- 询问与岗位无关的婚育计划
- 要求提供整个社交媒体账号
- 强制员工接受与岗位无医学关联的基因检测
正确做法：在收集表格上清楚列明收集目的，并由员工签署《私隐收集声明》。
3. 求职阶段被拒者的资料处理
未被录用者的简历、面试笔记、测试结果应在 合理时间内销毁（一般以招聘程序结束起计 6–12 个月，并可在收集时声明保留期）。保留过久、用于其他岗位筛选而无重新授权，构成违反原则 3。
三、储存与使用阶段：权限最小化
1. 权限分级建议
| 资料类型 | 可查阅人员 |
|---|---|
| 薪酬、银行账户、IR56B 资料 | 薪酬部主管 + 经授权 HR 专员 |
| 医疗报告、伤残评估 | 直属主管仅知「是否需要调岗」结论，不阅内容 |
| 表现评核、纪律记录 | 直属主管 + 人事部 + 高一层审批者 |
| 身份证副本、地址 | 人事部 |
2. 技术安全措施清单
- 所有人事系统启用 多因素认证（MFA）
- 设定密码复杂度与定期更换策略（具体技术标准以官方最新公布为准）
- 服务器与备份资料应加密储存，笔记本与 USB 设备采用全盘加密
- 实体档案存放于上锁文件柜，钥匙由专人保管
- 屏幕离开座位时启用自动锁屏（建议 5 分钟以内）
- 定期进行内部审计与渗透测试
3. 「目的限制」的实际运用
例如，员工入职时提供的银行账户原本用于发放月薪。若雇主希望将该资料用于：
- 推介公司信用卡 ➜ 须重新获得书面同意
- 计算同业薪酬统计 ➜ 应在收集时即声明，并采用匿名化处理
四、跨境转移：内地总部调阅的合规难题
跨境资料转移是近年 PCPD 重点关注领域。常见场景包括：
- 内地总部要求查阅香港员工资料
- 人事系统部署在境外云端
- 集团内部分享薪酬与表现数据
合规要点：
- 目的地私隐保障评估：须确认目的地法律是否提供与香港大致相当的保护。内地《个人信息保护法》体系完备，但具体执行差异须个案评估。
- 告知员工：在收集声明中说明资料可能转移至香港以外地区。
- 取得独立同意：如属敏感资料或大规模转移，应取得员工自愿、特定、知情的书面同意。
- 签署集团内部资料转移协议（SCC 类同条款）：明确双方责任、保安义务、再转移限制。
- 记录保存：备存转移纪录，必要时供 PCPD 查阅。
五、监察与处理员工通讯：灰色地带
不少雇主希望监察公司电邮、即时通讯软件或网络流量。香港法律允许合理程度的工作监察，但须遵循以下原则：
- 明示政策：在《员工手册》或 IT 使用守则中清楚列明监察范围、方式与目的
- 入侵性最低：能透过流量统计完成的不进行关键字扫描；能采用抽样不采用全员记录
- 避免读取私人通讯：如员工使用私人装置处理个人事务，应避免截取
- 监察所得资料的用途限制：监察所得一般只可用作系统保安或违规调查，不可作绩效评估的唯一依据
值得留意的是，《基本法》及《香港人权法案》保障秘密通讯自由。雇主对私人通讯装置的监察风险较高，对公司配发装置则较易获得合规依据。
六、离职与资料销毁：别让旧员工资料成为漏洞
员工离职后，HR 须在合理时间内完成以下动作：
- 在人事系统关闭账户，更改共用账户密码
- 备份档案按保留政策销毁（表现评核、薪酬记录一般保留 7 年 以应对税务及劳资纠纷）
- 销毁前发出销毁通知给相关部门
- 销毁方式：实体文件切碎或交持牌废料处理商；电子档采用 NIST SP 800-88 标准的清除或消磁方式
如遇劳资申索、正在进行的诉讼或 PCPD 调查，相关资料须保留至案件完结，不得提前销毁。
七、数据外泄事故应对
《私隐条例》目前未强制要求企业向 PCPD 或受影响人士通报所有数据外泄事件，但 PCPD 自 2023 年起持续推动自愿通报框架，并以此作为日后立法的参考。出现事故时建议按以下流程处理：
- 即时封锁：切断受影响系统，防止事故扩大
- 内部通报：通知管理层、法务、IT 与合规负责人
- 事实调查：记录发现时间、受影响资料类别、人数、可能后果
- 通报 PCPD：即使非强制，亦建议通报以争取合作处理空间
- 通知受影响员工：若资料敏感度高，应主动通知，并提供补救建议（如更改密码、监控账户）
- 事后检讨：更新保安政策，提交事故报告
如属有意欺诈出售，须立即报警，因已可能触及刑事条款。
八、雇主自评清单（建议年度检视）
- 是否备有书面《私隐政策》及《资料收集声明》？
- 收集个人资料表格是否标明收集目的？
- 人事系统是否启用 MFA 与加密？
- 跨境转移是否备有评估报告与员工同意？
- 监察政策是否清楚列于员工手册？
- 资料保留期政策是否落实？
- 是否有事故应变计划与通报流程？
- 是否安排员工私隐培训？
九、常见误区对照
| 误区 | 实际情况 |
|---|---|
| 「香港无强制通报法，所以出事不用通知」 | PCPD 强烈建议通报，不通报会影响日后合规评价及可能的立法追溯 |
| 「员工资料属公司财产，可任意使用」 | 资料主体仍是员工，雇主仅是受托处理者 |
| 「签了同意书就一劳永逸」 | 同意必须具体、知情、自愿、可撤回，笼统同意无效 |
| 「云端在境外就等于违规」 | 视乎目的地法律、保安措施与合约条款，需个案评估 |
| 「员工离职立即删除一切资料」 | 税务与劳资用途须保留法定期限，提前销毁可能违法 |
雇主合规处理员工个人资料，并非单纯的法律义务，更是建立信任、降低劳资纠纷风险、避免品牌声誉受损的长期投资。由收集声明、权限分级、加密储存，到销毁政策与事故应变，每一环都须有制度、有执行、有覆核。如需了解《雇佣条例》与《私隐条例》的衔接、跨境调职个资处理、强积金资料管理、出入境资料申报等更细分议题，可浏览 hkguide.org 获取更多香港法律与生活指南文章。
常见问答
香港《个人资料（私隐）条例》是否适用于内地企业雇用香港员工的情况？
只要雇主在香港收集或处理员工个人资料，无论其本地公司、跨国机构或初创企业，均受《私隐条例》约束。内地总部如需调阅香港员工资料，须按跨境转移合规要点处理，包括目的地私隐保障评估、告知员工、取得独立同意等。
雇主收集员工个人资料的合法范围如何界定？哪些属于过度收集？
雇主只能收集与招聘决策或雇佣管理直接相关的资料。文中列举的过度收集情形包括索取员工配偶身份证副本（除非用于 MPF 申报）、询问与岗位无关的婚育计划、要求提供整个社交媒体账号、强制与岗位无医学关联的基因检测等。正确做法是在收集表格上清楚列明收集目的，并由员工签署《私隐收集声明》。
内地总部调阅香港员工资料，需要履行哪些程序？
合规要点包括五项：确认目的地法律是否提供与香港大致相当的保护；在收集声明中说明资料可能转移至香港以外地区；如属敏感资料或大规模转移，应取得员工自愿、特定、知情的书面同意；签署集团内部资料转移协议（SCC 类同条款），明确双方责任与再转移限制；备存转移纪录，必要时供私隐专员公署查阅。
雇主能否监察员工的电邮、即时通讯或网络流量？
香港法律允许合理程度的工作监察，但须遵循明示政策、入侵性最低、避免读取私人通讯、用途限制等原则。公司配发装置较易获得合规依据，对私人通讯装置的监察风险则较高，因《基本法》及《香港人权法案》保障秘密通讯自由。监察所得一般只可用作系统保安或违规调查，不可作为绩效评估的唯一依据。
员工离职后，个人资料应保留多久？何时可以销毁？
税务及劳资纠纷用途的资料一般须保留 7 年，提前销毁可能违法。如遇劳资申索、正在进行的诉讼或私隐专员公署调查，相关资料须保留至案件完结，不得提前销毁。对于未被录用的求职者资料，应在招聘程序结束起计合理时间内销毁，保留过久或未经重新授权用于其他岗位筛选，可能违反原则 3。
香港目前是否强制要求企业通报数据外泄事件？
《私隐条例》目前未强制要求企业向私隐专员公署或受影响人士通报所有数据外泄事件，但公署自 2023 年起持续推动自愿通报框架，并以此作为日后立法的参考。文中建议事故发生时按即时封锁、内部通报、事实调查、通报公署、通知受影响员工、事后检讨六步流程处理。如属有意欺诈出售，须立即报警，因已可能触及刑事条款。