香港个人资料私隐保障解析

从内地移居香港，不少家庭发现，香港的私隐保障逻辑与内地截然不同——它没有统一的”个人信息保护法”，而是由一部 1996 年制定、持续修订的《个人资料（私隐）条例》（Personal Data (Privacy) Ordinance，简称 PDPO）支撑，并由独立的法定机构”个人资料私隐专员公署”（PCPD）负责执行。更关键的是，PDPO 在跨境资料转移、直接营销规管、人事档案处理等方面有大量细节规则，稍不留神就会踩雷。本文以新移居家庭最关心的视角，逐一拆解香港的私隐保障框架。

一、香港私隐保障的三大支柱

香港的个人资料保护体系建立在三块基石之上：

《个人资料（私隐）条例》PDPO：主体法律，自 1996 年生效，涵盖资料收集、持有、处理与使用的全流程。条例适用于香港境内的一切资料使用者（data user），无论其行业或规模。
个人资料私隐专员公署 PCPD：独立法定机构，专责条例的执行、投诉处理、合规调查、宣传教育。
六大保障原则：PDPO 附表一列明的六项核心原则，构成日常合规的”金科玉律”。

与内地《个人信息保护法》不同，PDPO 目前不要求设立”个人信息保护影响评估”前置审批，也不存在统一的”个人信息出境安全评估”。但跨境资料转移须受”第 1 原则”约束。

二、六大保障原则：日常合规的底层逻辑

PDPO 附表一列明六项原则，雇主、商户、学校、医疗机构均须遵守：

原则	核心要求	移居家庭常见场景
第 1 原则：收集目的及方式	须以合法、必要方式收集，告知收集目的	银行开户、子女入学申请表格
第 2 原则：准确性	资料使用方有义务保持资料准确并及时更新	银行户口资料变更未及时报备
第 3 原则：使用限制	资料只用于收集时声明的目的，除非取得同意	物业公司将业主资料转售保险公司
第 4 原则：保安	采取合理措施防止资料被未授权查阅或披露	公司遗失载有员工资料的 USB
第 5 原则：透明度	须公布资料政策、查询渠道	私隐政策声明（Privacy Policy Statement）
第 6 原则：资料当事人查阅及更正	当事人有权查阅及更正其资料	申请个人资料副本（CPRA）

实操提示：日常收到任何机构要求填写个人资料前，先看是否清楚说明收集目的、保存期限及查阅渠道。含糊不清者可拒填或要求补充说明。

三、《2021 年个人资料（私隐）（修订）条例》：近年最关键的变化

2021 年通过的修订条例，重点新增两块内容，至今仍影响各机构合规走向：

1. “起底”刑事化

未经同意披露他人资料、意图造成滋扰、恐吓、损害等，最高可处 港币 100 万元罚款及 5 年监禁。这是近年新移民家庭最易卷入的领域——邻里纠纷、家庭矛盾若在社交媒体上公开对方姓名、电话、地址，可能构成违法。

2. 强制资料外泄通报

涉及个人资料的安全事件，符合门槛者须在合理时间内通报 PCPD 及受影响人士。门槛细则以公署最新公布为准。

四、雇主与商户的常见违规场景

新移居人士在工作与生活中高频接触的资料使用者，主要是雇主、银行、地产代理、诊所、学校。以下为 PCPD 历年执法中较集中的违规类型：

雇员监控过度：洗手间、更衣室安装闭路电视、人手翻查员工手机
强制员工申报社交账号：要求员工交出 Facebook、微信密码
客户资料外泄：电邮误抄地址、废纸未碎掉客户名单、笔记本电脑未加密
未告知目的即收集：地产代理要求租客提供身份证副本却未说明用途
直接营销违规：未提供”拒收直销”选项即发送推广短信

内地移居家庭特别留意：香港雇主普遍要求填写”个人资料收集声明”，务必看清每一条再签；若公司提供”自愿提供”的医疗病历、家庭背景资料，可依法拒绝。

五、个人可采取的 5 项主动措施

PDPO 赋予资料当事人多项权利，善用可显著降低资料外泄风险：

查阅资料请求（CPR / DAR）：任何机构持有你的个人资料，你有权在 40 日内（按公署最新规定为准）取得一份副本。机构可收取合理费用。
更正资料请求：发现错误资料可要求更正，对方须在 40 日内回应。
拒绝直接营销：可登记 PCPD 的”拒收直销名单”或直接要求机构停止发送。
查询资料保留期限：机构应在私隐政策中列明，未列明者可书面询问。
资料外泄事件中行使权利：收到外泄通报后，有权要求确认外泄范围、删除资料、采取补救。

六、跨境资料转移：内地移居家庭的高频疑问

不少内地家庭关心：内地身份证、户籍、社保、银行流水资料能否在港使用？需要哪些保护？

PDPO 并不禁止跨境资料转移，但要求资料使用方遵循第 1 原则——即须有”直接目的”且取得当事人明确、自愿、知情的同意。常见误区：

误以为签署一次性同意即终身有效：跨境同意须明确说明转移目的地、接收方、保存期限。
误以为只要有书面同意即可：PDPO 要求同意是”自愿且明确”的，被强迫签署无效。
误以为公司服务器在境外就无需告知：资料使用方位于香港即受条例约束，无论服务器在哪里。

实操建议：办理跨境资料转移时，要求机构出具书面《个人资料转移同意书》，载明转移目的、接收方、保存期限、查阅渠道。文件副本建议自行存档。

七、向 PCPD 投诉的流程与预期

若认为个人资料被违规使用，可向 PCPD 提出书面投诉。流程大致为：

初步评估：公署先核对投诉人身份及被投诉方是否受条例约束
调查与调解：公署会尝试调解，部分案件会启动正式调查
调查报告：若构成违规，公署可发出执行通知，违规方须在指定期限内纠正
法律后果：未遵守执行通知属刑事罪行，最高罚款以条例最新条文为准

注意：PDPO 本身不提供民事赔偿。如需索赔，须另行通过民事诉讼主张。建议重大案件先咨询法律意见。

八、给内地移居家庭的私隐自保清单

最后以一份可打印贴在冰箱上的清单收尾：

提交任何个人资料前，先阅读机构的”私隐政策声明”
身份证、回乡证、护照副本只在必要时提供，并注明用途与日期
不随意在社交媒体公开他人的姓名、电话、住址、身份证号
收到来历不明的”核实资料”电话或短信，直接回拨机构官方电话核实
子女学校的家长群、通讯录未授权不要转发
离职、搬屋后通知相关机构更新或删除资料
怀疑资料外泄，第一时间保留证据并考虑向 PCPD 投诉
重要账号启用双因素认证（2FA），不与他人共用

香港的私隐保障体系虽不如内地《个人信息保护法》那样”集中立法”，但 PDPO 配合公署多年执法，已形成相对成熟的合规生态。对新移居家庭而言，理解六大原则、把握跨境资料的知情同意、善用查阅与更正权利，就能在绝大多数日常场景中保护好自己与家人的资料安全。

hkguide.org 持续更新关于香港生活、教育、签证与跨境安排的实用指南，欢迎前往人才频道、DSE 频道、出行频道查阅更多专题文章。

常见问答

香港有没有类似内地《个人信息保护法》的统一法律？

香港并没有统一的”个人信息保护法”，个人资料保障主要由 1996 年制定、持续修订的《个人资料（私隐）条例》（PDPO）支撑，并由独立的法定机构”个人资料私隐专员公署”（PCPD）负责执行。与内地制度不同，PDPO 目前不要求设立”个人信息保护影响评估”前置审批，也不存在统一的”个人信息出境安全评估”。

内地居民身份证、回乡证等资料在港使用受 PDPO 保护吗？

受保护。PDPO 适用于香港境内的一切资料使用者，无论其行业或规模。机构在收集、使用、转移内地居民的个人资料时，同样须遵循”六大保障原则”，包括跨境资料转移须受第 1 原则约束，须有”直接目的”并取得当事人明确、自愿、知情的同意。

内地移居家庭如何向 PCPD 投诉私隐侵权？

可向 PCPD 提出书面投诉，流程大致分为初步评估、调查与调解、调查报告、法律后果四个阶段。若构成违规，公署可发出执行通知，违规方须在指定期限内纠正，未遵守属刑事罪行。注意 PDPO 本身不提供民事赔偿，如需索赔须另行通过民事诉讼主张，建议重大案件先咨询法律意见。

公司要求提供身份证副本和家庭背景资料可以拒绝吗？

可以。香港雇主普遍要求填写”个人资料收集声明”，若公司提供”自愿提供”的医疗病历、家庭背景资料，雇员可依法拒绝。提交任何个人资料前，都应先阅读机构的”私隐政策声明”，看清收集目的、保存期限及查阅渠道后再决定是否签署。

在社交媒体上公开邻里纠纷对方的姓名电话，是否违法？

可能违法。2021 年修订条例将”起底”行为刑事化，未经同意披露他人资料、意图造成滋扰、恐吓、损害等，最高可处港币 100 万元罚款及 5 年监禁。邻里纠纷、家庭矛盾若在社交媒体上公开对方姓名、电话、地址，可能构成违法，建议避免。

发现银行或公司持有的个人资料有错误，怎么处理？

可行使”更正资料请求”权利。资料当事人发现错误资料可要求更正，机构须在 40 日内回应（具体时限以公署最新规定为准）。同时，当事人亦可提出”查阅资料请求”（CPR / DAR），在 40 日内取得机构所持个人资料的副本，机构可收取合理费用。