香港员工私隐条例：雇主必读的个人资料保护实务
在香港经营企业、处理招聘或日常人事管理，无论公司规模大小，都会涉及大量员工个人资料——身份证号码、住址、银行账户、医疗记录、指纹、打卡记录、闭路电视影像，乃至 WhatsApp 与电邮通讯内容。这些资料一旦处理不当，公司可能同时面对监管处罚与民事索偿。
规管这一切的核心法例是香港法例第486章《个人资料（私隐）条例》（Personal Data (Privacy) Ordinance，简称 PDPO）。它于1996年生效，是亚洲最早的个人资料保护立法之一，至今仍是香港私隐制度的基石。本文以雇佣场景为主线，梳理条例的核心框架与雇主日常合规要点。
提醒：PDPO 的具体罚则与赔偿上限以官方最新公布为准，本文不列举过期数字。
一、PDPO 适用谁？规管什么？
PDPO 适用于在香港「控制个人资料收集、持有、处理或使用」的「数据使用者」（Data User）。在雇佣关系中，雇主（公司、人力资源部、行政部门、保安团队）通常是数据使用者；员工既是受保障的资料当事人（Data Subject），在处理下属资料时也可能同时是数据使用者。
条例规管的「个人资料」指任何可以辨识个人身份的记录，形式不限——纸质档案、电子表格、电邮、云端文件、闭路电视片段、语音录音均属其范围。已完全「匿名化」的资料不受规管，但一旦存在重辨识的可能，仍会落入条例范围。
二、六项保障原则：雇佣场景的合规主线
PDPO 附表 1 列出六项保障原则（Data Protection Principles, DPPs），是日常人事管理的合规标尺。
原则 1 — 收集目的与方式
- 收集员工资料必须有合法且与雇佣直接相关的目的，不得超范围索取。
- 应在收集前或收集时，以「收集个人资料声明」（PICS）告知员工：收集目的、资料可能转移给谁、是否属强制提供。
- 招聘阶段常见的过度收集包括：星座、血型、身高体重、家庭成员完整背景、婚姻与生育计划等。若与岗位胜任力无关，应删减。
原则 2 — 准确性、保留期限
- 雇主须采取一切切实可行步骤，确保员工资料准确、最新且不过度保留。
- 已离职员工的资料通常不再需要继续保存；超过必要时间后应销毁或匿名化。
- 人事、财务、税务资料的保留期限受其他法例（如《税务条例》《公司条例》）约束，应以较长者为准。
原则 3 — 使用限制
- 资料只可用于当初声明的收集目的，或直接相关的合法目的。
- 例如：当初收集身份证号码只为强积金申报，若转用于内部信用评分或员工借贷计划，即属违反原则 3，须另行取得员工自愿且明确的同意。
原则 4 — 资料保安
- 须采取足够措施防止资料被未授权查阅、修改、披露、销毁或意外丢失。
- 具体措施包括：加密存储、权限分级、强密码与多重验证、实体文件上锁、定期备份、培训人事团队。
- 近年个人资料私隐专员公署（PCPD）多次就资料外泄事故发出执行通知，强调加密与权限管理是基本门槛。
原则 5 — 透明度
- 一般而言，PDPO 不强制雇主向员工披露其他员工的资料。
- 但涉及纪律调查、投诉处理、举报人保护时，资料当事人对其资料的处理方式享有知情权与查阅权。
原则 6 — 资料当事人的查阅与更正权
- 员工有权查阅雇主持有的其个人资料（DSAR, Data Subject Access Request），雇主须在 40 天内回复。
- 员工亦有权要求更正不准确的资料。
- 这两项权利是雇佣纠纷中员工最常援用的工具，尤其在离职时获取人事档案副本作为日后追讨依据。
三、四类违法行为：触线代价
PDPO 设有四类具体罪行，部分可同时面对刑事与民事责任。
1. 不当收集个人资料
未获合法授权而收集、诱使他人提供个人资料。员工以欺诈方式提供虚假学历或前雇主资料属另一议题，由相关法例规管。
2. 违反保安义务造成资料外泄
未能采取足够保安措施，导致个人资料在未经同意下被查阅或披露。涉及敏感资料的违规事故，须按 PCPD 的通报指引处理。
3. 资料滥用——直接促销
若雇主将员工资料用于向其推销产品或服务，须先取得书面同意，并提供「拒收」机制。员工通讯住址、电邮、电话是常见的促销渠道。
4. 未登记直接促销活动（适用者）
部分行业在开展直接促销前须向 PCPD 登记。日常雇佣场景较少触发，但若雇主经营会员制营销或客户推广，可能需要留意。
注：PDPO 不设有「集体诉讼」机制，员工索偿须个别提出；私隐专员可主动调查或应投诉介入。
四、雇主日常合规清单
以下清单可直接对照人事流程使用：
招聘阶段
- 收集个人资料前向求职者提供 PICS
- 只收集与岗位胜任力相关的资料
- 招聘结束后，及时销毁未录用者的资料
- 求职者的背景调查报告须先取得书面同意
在职管理
- 人事档案加密、权限分级、定期备份
- 闭路电视须张贴告示、保留期限合理、查阅有记录
- 监控员工通讯或电脑使用前，须有清晰政策并告知员工
- 强积金、税务、保险资料的保存须符合其他法例要求
- 跨境传输资料（如云端服务器在境外）须评估接收地的法律环境
离职与终止
- 在 40 天内处理前员工查阅资料的要求
- 离职证明与人事档案副本按合理期限保存
- 终止职位后，销毁对应的招聘资料、培训记录、考勤数据
- 检查外包服务商是否同步删除公司提供的员工资料
资料外泄应变
- 制定内部通报与应变流程
- 按 PCPD 指引评估是否需要通知专员与受影响员工
- 保留事故调查报告与改善记录
五、监控员工：合法边界在哪里？
雇主常以保安、防弊、纪律为由安装监控设备，但 PDPO 对此设有清晰边界。
闭路电视（CCTV）
- 目的须为保安或财产保护，不得用于无差别监视。
- 录像资料保留时间应按场所风险评估，常见做法为 30 至 60 天，具体以官方指引与行业惯例为准。
- 须在入口张贴清晰告示，告知员工与访客。
电脑与电邮监控
- 应在工作合约、员工手册中预先列明监控范围、方式与目的。
- 个人使用与公司用途须有明确区分，避免在私人通讯中收集敏感资料。
- 监控资料不得用于收集员工的工会活动、政治立场、性别倾向等敏感资料。
指纹、打卡、定位追踪
- 涉及生物辨识资料时，须评估是否属于「敏感资料」并提高保安级别。
- 户外工作（如销售、外勤）若使用 GPS 追踪，须说明追踪时段与资料用途。
六、跨境资料转移：云端与外判服务
越来越多公司将人事系统、薪资系统、招聘系统迁移到云端，或外包给海外服务商。PDPO 第 33 条原则对跨境转移设有要求：
- 资料转移的目的地须有大致相若的资料保护水平，或
- 雇主已采取合约或其他措施确保接收方按 PDPO 标准处理资料，或
- 资料当事人已明确同意
实务中，雇主通常与云端或外判供应商签订《资料处理协议》（DPA），包含保安标准、删除义务、汇报外泄事故等条款。欧盟 GDPR、美国部分州法可能比 PDPO 更严格，若涉及欧洲或美国员工的资料，须同时遵守。
七、员工如何自保？
员工同样是 PDPO 的资料当事人，可主动行使以下权利：
- 查阅权：要求雇主提供持有的个人资料副本。
- 更正权：要求修改不准确或过时的资料。
- 同意管理：拒绝与雇佣无关的资料使用，例如内部推销或非必要共享。
- 投诉途径：向私隐专员公署投诉，触发调查与调解程序。
若员工怀疑雇主违反 PDPO，建议先以书面方式要求雇主解释，再决定是否投诉。投诉不收费，公署可在调解失败后发出执行通知。
结语：私隐是双向的合规
PDPO 不是束缚经营的枷锁，而是企业建立内部信任、降低纠纷成本的制度基础。在香港，雇佣关系中的资料处理既是法律问题，也是治理问题——人事团队、IT 部门、法务顾问应当共同参与，把六项保障原则嵌入日常流程，而不是等到外泄事故发生后才补救。
想了解更多香港法律、税务、签证与生活的实务指南，欢迎浏览 hkguide.org。
常见问答
内地公司在港开设子公司后，聘请香港本地员工，是否同样受 PDPO 规管？
需要具体判断。若该香港子公司在香港境内「控制个人资料的收集、持有、处理或使用」，即属 PDPO 所指的「数据使用者」，条例对其有全面约束力。内地母公司若直接处理香港员工资料，亦可能落入条例范围。跨境集团应统一内部私隐政策，并以香港法律为底线。
HR 收集员工身份证号码、银行卡号、家庭住址，是否构成「过度收集」？
不一定。关键看是否与雇佣目的「直接相关」。强积金申报、税务、发薪一般需要身份证与银行账户，属合理范围；但若同时收集与岗位无关的血型、星座、生育计划等，则可能违反原则 1。建议在《收集个人资料声明》中逐项说明用途，避免日后争议。
员工离职后要求查阅完整人事档案，雇主能否拒绝部分内容？
原则上不能整体拒绝。PDPO 原则 6 赋予前员工查阅权，雇主须在 40 天内回复，并提供持有的相关个人资料副本。涉及第三方（如推荐人、前雇主提供的背景调查内容）或纯属公司内部评估意见的部分，可在合理范围内遮盖，但应事先在政策中列明处理方式，避免被认定为无理由拒绝。
公司使用闭路电视监察办公室，录像一般可以保留多久？
条例没有划一期限，核心是「不超过必要时间」。办公室、接待区等低风险场所，一般做法为 30 至 60 天；涉及现金、贵重物资或高风险区域，可适当延长，但仍须有定期覆核与销毁机制。具体期限以行业惯例、私隐专员公署指引及内部风险评估为准，并须在告示中告知员工与访客。
员工发现公司外泄其个人资料，应当如何处理？
建议按以下步骤处理：先以书面方式向公司查询事件详情与受影响范围；保留相关电邮、截图等证据；若公司回应不足或态度消极，可向个人资料私隐专员公署提出投诉，公署会介入调查并可发出执行通知。涉及敏感资料（如身份证、银行账户）外泄时，应一并通知银行与相关机构，做好后续防範。