员工个人信息合规：香港雇主必读的法律红线
在香港开公司、雇员工，几乎每一步都涉及”个人信息”——招聘时收集的身份证、简历、背景调查报告；入职后的指纹打卡、门禁记录、电邮监控；离职时的人事档案保留与销毁……这些环节如果处理不当，企业可能面临个人资料私隐专员公署的调查、投诉处理，甚至是民事赔偿。
香港目前关于个人资料保护的核心法例是《个人资料（私隐）条例》（Personal Data (Privacy) Ordinance，简称 PDPO），自 1996 年起实施至今，是亚洲地区最早的个人资料保护法之一。条例适用于在香港”收集、持有、处理或使用”个人资料的所有人，包括雇主对雇员资料的运用。
一、PDPO 的六项保障原则
PDPO 并不是一部”什么都不能做”的法律，它的核心是一套 六项保障原则，雇主只要在处理员工资料时遵循这些原则，并在收集时向员工清晰说明，就处于合规区间。
| 原则 | 核心要求 | 雇主场景示例 |
|---|---|---|
| 1. 收集目的及方式 | 必须为直接相关、合法目的，以公平方式收集 | 招聘时索取身份证副本须说明用途 |
| 2. 准确性 | 资料须准确、最新；保留期不超过必要时间 | 员工地址、电话变动应及时更新 |
| 3. 使用限制 | 一般只用于收集时声明的目的 | 招聘收集的资料不得转作客户营销 |
| 4. 保安 | 采取合理措施防止未授权查阅、丢失 | 加密人事系统、限制查阅权限 |
| 5. 透明度（公开政策） | 公开个人资料政策与处理实务 | 制定并发布《私隐政策声明》 |
| 6. 数据主体参与 | 员工有权查询、更正、要求副本 | 在职/离职员工均可提出查阅请求 |
实务要点：原则 1 和原则 3 经常被忽视。许多雇主在招聘阶段收集了大量信息（如家庭背景、健康状况、宗教），但用途仅是”评估是否录用”，如果后续把这些资料转给其他部门或用作他用，便违反”使用限制”原则。
二、招聘环节：哪些能问，哪些不能问？
招聘是员工资料合规的”第一关”。雇主在招聘广告、面试、入职背景调查中收集的信息，都受 PDPO 约束。
建议遵循的”必要性原则”
| 类别 | 一般可收集 | 一般不建议收集 |
|---|---|---|
| 身份证明 | 身份证号、护照号、工作签证状态 | 婚姻状况、配偶姓名 |
| 教育背景 | 学历证书、成绩单 | 母校排名等无关信息 |
| 工作经历 | 前雇主推荐人、前雇主 HR 联系方式 | 与岗位无关的兼职履历 |
| 健康信息 | 岗位必需的体检报告（如食品处理员） | 既往病史、家族病史、基因信息 |
| 背景调查 | 工作履历核实、学历核实 | 社交媒体账号、朋友圈 |
收集时的”告知义务”
收集员工个人资料时，雇主应在收集前或收集时告知员工：
- 收集目的（例如：评估是否录用、办理强积金、报税）；
- 可能转交的第三方（例如：HR 软件供应商、薪酬代发机构、强积金受托人）；
- 员工的权利（查阅、更正资料的权利）；
- 未提供资料的后果（例如不提供身份证号则无法办理入职）。
实务中很多 HR 在这一步只是给员工一张”同意书”让对方签字——这并不充分。PDPO 要求的是”告知”，而不是”取得同意”。同意书可以作为辅助，但告知内容本身必须清晰可读。
三、在职期间：监察雇员的法律边界
雇主对员工的监察（monitoring）涉及《基本法》对通讯秘密的保护、《刑事罪行条例》对偷拍的限制，以及 PDPO 对个人资料的规范，是一个典型的”多重法律交叉”领域。
常见的监察场景与合规要点
| 监察方式 | 合法性边界 | 必须配套的措施 |
|---|---|---|
| 电邮/网络流量监控 | 雇主有合法经营权，但应事先告知监控范围 | 书面《电邮及互联网使用政策》并让员工签署 |
| CCTV 视频监控 | 工作区域可装，卫生间、更衣室、休息室严禁 | 张贴清晰告示、说明录像保存期 |
| 录音/电话监听 | 涉及第三方（如来电客户）须事先告知；仅监听己方电话仍有争议 | 通话开始时提示”为提升服务质量，本通话可能被录音” |
| 指纹/人脸考勤 | 敏感生物特征资料，须高强度保安措施 | 加密存储、限制查阅、定期销毁 |
| 位置追踪（外勤员工） | 须为业务必需，且比例适当 | 文档化追踪目的、保留期、查阅权限 |
三个关键”红线”
- 不得在高度私密空间设置监察设备——卫生间、更衣室、哺乳室绝对禁止；
- 不得以监察所得资料用于非声明目的——例如不能用 CCTV 录像来评估员工绩效（除非事先明示）；
- 不得对员工造成不成比例的侵犯——监察强度应与业务必要性相称。
四、跨境传输：数据出境要注意什么？
PDPO 本身没有对”跨境传输”设定硬性限制，但这不代表可以随意把员工资料传到境外。一旦境外接收方处理不当，雇主仍可能因违反 第 4 项保安原则 而被追责。
实操建议
- 集团内部跨境传输（如把员工资料交给海外总部）：应在内部数据处理协议中明确接收方的保安责任；
- 使用境外 SaaS 平台（如海外 HR 系统、薪酬系统）：应在合同中加入”资料处理条款”（类似 GDPR 的 DPA），并评估接收地的法律环境；
- 集团内部要求传输至境外的备份：应取得员工的”自愿且知情”的同意，或在雇佣合约中预先约定。
特别注意：如果雇主是跨国公司，须留意欧盟 GDPR、英国 DPA 等其他司法管辖区的”充分性认定”。例如，将欧盟员工资料从香港传到内地或美国，可能触发当地法律的数据出境机制，具体要求以官方最新公布为准。
五、AI 与算法招聘：新的合规课题
近年越来越多雇主在招聘中使用 AI 简历筛选、AI 面试分析、算法性格测评。这些工具涉及”自动化决策”和”敏感特征推断”，虽然 PDPO 暂未对此作出针对性修订，但六项保障原则依然适用。
实务风险点
| 风险点 | 说明 | 合规建议 |
|---|---|---|
| 算法歧视 | AI 模型可能在训练数据中学会对性别、年龄、族裔的偏见 | 定期审计模型输出的公平性 |
| 缺乏透明度 | 求职者不知 AI 在做什么决策 | 在招聘流程中告知”使用 AI 辅助筛选” |
| 资料过度收集 | AI 面试工具可能采集微表情、声纹、面部特征 | 评估是否为岗位真正需要；保留期要短 |
| 自动化决策的”否决权” | 求职者应有渠道对 AI 决策提出异议 | 设立人工复核机制 |
六、离职与资料保留：多少年才能销毁？
员工离职后，人事档案、薪酬记录、强积金资料、考勤记录并不会立刻失效——因为《税务条例》《雇佣条例》《强制性公积金计划条例》各自规定了不同的保留年限。
| 资料类别 | 法定保留年限（建议值） | 来源 |
|---|---|---|
| 薪酬及税务记录 | 不少于 7 年 | 《税务条例》 |
| 雇佣合约、考勤、假期记录 | 不少于 6 年 | 《雇佣条例》 |
| 强积金供款记录 | 一般保留至雇员年满 65 岁后若干年 | 强积金受托人规定 |
| 招聘申请（未获录用者） | 一般建议保留 6–24 个月 | PDPO “不超过必要时间” |
| 员工健康、医疗资料 | 不建议超过雇佣关系存续期加必要延长期 | PDPO 保安原则 |
关键点：保留期满后，雇主应有明确的销毁流程（如安全碎纸、数据库硬删除并记录），而不是让档案”永远留在柜子里”。档案无限期保留，本身就可能违反”准确性”和”保安”原则。
七、员工查阅与更正请求：HR 怎么处理？
根据 PDPO 第 18、22 条，员工可在支付合理费用（如副本制作费）后，向雇主提出：
- 资料查阅请求（Data Access Request, DAR）——要求提供其个人资料副本；
- 资料更正请求（Data Correction Request, DCR）——要求更正错误资料。
HR 处理 SOP（建议）
| 步骤 | 时限（建议） | 要点 |
|---|---|---|
| 1. 受理并核实身份 | 1 个工作日内 | 必须核实申请人确实是数据主体 |
| 2. 内部检索 | 10 个工作日内 | 人事系统、考勤系统、监察系统、邮件系统 |
| 3. 整理副本 | 5 个工作日内 | 可遮蔽其他员工个人信息、商业秘密 |
| 4. 回复申请人 | 共 40 日内（PDPO 上限） | 书面回复，提供副本或说明拒绝理由 |
| 5. 异议处理 | — | 员工不同意结果可向私隐专员投诉 |
罚款提示：PDPO 目前的罚则主要针对”未依时回应查阅请求”和”违反执行通知”。前者属刑事罪行，可处第 2 级罚款（具体金额以官方最新公布为准）；私隐专员亦可发出执行通知，违者亦属刑事罪行。
八、一份给雇主的合规自查清单
- 是否已制定并发布《员工私隐政策声明》？
- 招聘申请表、入职表格是否清晰说明收集目的？
- 是否设有员工资料的查阅权限分级？
- 人事系统、考勤系统、监察系统是否加密、备份、定期审计？
- CCTV 是否张贴告示？卫生间、更衣室是否绝对无监察设备？
- 使用境外 SaaS 或集团内部跨境传输是否签有数据处理协议？
- 是否建立员工 DAR/DCR 的标准处理流程与时限？
- 离职员工档案是否设定销毁时间表与销毁记录？
- 是否对涉及敏感生物特征（指纹、人脸）的系统做过”必要性”评估？
结语
员工个人信息合规不是一份文件、一次培训就能完成的事，它贯穿招聘、在职监察、离职销毁的全周期。PDPO 给雇主留出了较大的合理使用空间，但前提是”告知、必要、保安、不超期”。
香港的私隐法例仍在持续演进，生物识别、AI 决策、跨境数据流等新议题也在加速进入立法视野。对于在港运营的企业而言，把员工资料合规做成”日常运营的一部分”，远比事后再补救更省成本。
更多香港雇佣、签证、公司治理的实用指南，请持续关注 香港大全。
常见问答
香港《个人资料（私隐）条例》（PDPO）对内地企业在港子公司同样适用吗？
适用。PDPO 规管在香港境内”收集、持有、处理或使用”个人资料的所有人，包括内地企业在港设立的子公司或分支机构，无论其母公司注册地在何处，只要员工资料的处理行为发生在香港，就受条例约束。
招聘时让员工签署”个人资料收集同意书”是否就足够合规？
仅靠签同意书并不充分。PDPO 的核心要求是”告知”而非”取得同意”，雇主须在收集前或收集时清晰告知员工收集目的、可能转交的第三方、员工查阅与更正权利，以及不提供资料的后果，告知内容本身须清晰可读，同意书只能作为辅助材料。
雇主在香港办公室安装 CCTV 需要履行哪些手续？
雇主可在工作区域安装 CCTV，但须同时满足三项配套要求：在明显位置张贴清晰告示、说明录像保存期；卫生间、更衣室、休息室等高度私密空间严禁设置任何监察设备；所录得的资料只能用于事先声明的目的，不得挪作绩效评估等用途。
员工离职后，人事档案到底要保留多少年才能销毁？
不同类型资料的法定保留年限并不统一。文章给出的建议值是：薪酬及税务记录不少于 7 年（《税务条例》），雇佣合约、考勤、假期记录不少于 6 年（《雇佣条例》），强积金供款记录一般保留至雇员年满 65 岁后若干年，未获录用者的招聘申请一般建议保留 6–24 个月；保留期满后应按安全碎纸、数据库硬删除等明确流程销毁并留档。涉及健康、医疗等敏感资料的保留期以官方最新公布为准。
员工向公司提出查阅个人资料请求，HR 最迟要在多少天内回复？
依据 PDPO 第 18、22 条，雇主应在收到请求后 40 日内作出书面回复。HR 可参考文章建议的内部 SOP 分步处理：1 个工作日内受理并核实身份，10 个工作日内完成内部检索，5 个工作日内整理副本（可遮蔽其他员工个人信息及商业秘密），最后在 40 日上限内回复申请人或说明拒绝理由。逾期未回应可能构成刑事罪行，具体罚则金额以官方最新公布为准。