项目涉及个人资料的合规要求
香港政府推出多项中小企业资助计划，例如「中小企融资担保计划」、「科技券」、「市场推广基金」以及各类行业专项基金。申请与执行过程中，企业往往需要收集员工、客户、供应商甚至公众人士的资料——姓名、身份证号、银行账户、联络方式、地址、健康声明等。一旦项目涉及「个人资料」，企业便自动落入《个人资料（私隐）条例》（香港法例第486章，下称「私隐条例」）的规管范围。
私隐条例对违规行为设有最高港币100万元罚款及监禁两年的刑事罚则。无论资助金额大小，只要处理个人资料就必须合规。本文为正在申请或执行政府资助项目的中小企业，理清合规要点与操作清单。
一、首先厘清：哪些资料算「个人资料」？
私隐条例的定义相当宽泛：任何与在世个人有关、能直接或间接识别该人身分的资料，均属个人资料。
| 常见类别 | 是否属个人资料 |
|---|---|
| 申请人姓名、身份证副本 | ✅ 是 |
| 员工银行账户号码、电话、电邮 | ✅ 是 |
| 客户送货地址、签收记录 | ✅ 是 |
| 项目问卷收集的意见反馈 | ✅ 是（若可识别身份） |
| 已删除姓名但仍能推断身分的资料 | ✅ 是 |
| 公司商业登记号、商业地址 | ❌ 否（属法人资料） |
| 完全匿名化的统计数字 | ❌ 否（前提是无法还原） |
| 死者资料 | ❌ 否（私隐条例不涵盖） |
实操提示：许多企业误以为「没有身份证号就不算」。其实只要资料组合起来能识别到某个人，就已经进入规管范围。
二、六大保障原则：合规的底层逻辑
私隐条例的核心是「六大保障原则」。企业不必逐字背诵，但要确保内部流程能回应每一条。
1. 收集——目的明确、最少够用
- 收集前必须清楚告知收集目的；资助项目申请书中通常有「个人资料收集声明」一栏，须如实填写。
- 只收集与项目直接相关的资料。例如「市场推广基金」要求提交推广成效数据，但不必收集员工家庭状况。
- 若资料日后用于新目的，必须事先取得当事人同意。
2. 准确——保持资料最新
项目执行期间，员工、客户资料若有变更，应及时更新。资助方在审计时可能抽查资料保存的准确程度。
3. 使用——不得超出原定目的
获批项目下的资料用于该项目属合规；若转用于其他商业活动（例如把项目问卷数据用于自家销售名单），即属违规，须事先取得独立同意。
4. 保安——采取合理保护措施
- 实体措施：上锁文件柜、限制办公室访客
- 技术措施：加密储存、双重验证、定期备份
- 人员措施：只有「需要知道」的员工才可查阅
5. 公开——设立私隐政策
企业应备有一份私隐政策或个人资料私隐政策声明，内容涵盖资料种类、用途、查阅与更正权利、联络方式。即使中小企业，也建议至少有一页纸版本供查阅。
6. 查阅与更正——回应当事人请求
私隐条例赋予当事人查阅资料权与更正资料权。企业须在收到书面请求后 40天内 回应（以官方最新公布为准），并可收取合理行政费用。
三、项目生命周期中的合规动作清单
把合规要求拆解到项目各阶段，企业可以按部就班完成。
第一阶段：申请前准备
| 动作 | 说明 |
|---|---|
| 编制资料清单 | 列出项目需要收集的所有个人资料字段 |
| 拟定收集声明 | 资助计划表格通常有专属声明栏，照实填写 |
| 设立私隐政策 | 同步在企业网站或内部系统发布 |
| 指定资料保护负责人 | 不必是 DPO，但须有人统筹与问责 |
第二阶段：项目执行期
| 动作 | 说明 |
|---|---|
| 取得当事人同意 | 收集敏感资料前，建议有书面或电子同意记录 |
| 限制查阅权限 | 以「按需知道」原则分配权限 |
| 加密与备份 | 电子档须加密；备份档应异地存放 |
| 记录处理活动 | 内部建立「资料处理活动记录簿」（详见下文） |
第三阶段：审计与结项
| 动作 | 说明 |
|---|---|
| 回应查阅请求 | 40天内回应，备存回函记录 |
| 配合政府审计 | 资助方可能要求查看资料保存情况 |
| 决定保留或销毁 | 资料保存期一般不超过7年（视乎项目及行业法规） |
| 安全销毁 | 电子档彻底删除并覆写；纸质文件碎纸处理 |
四、跨境资料传输的额外注意
若项目涉及跨境元素——例如把内地客户资料上传至香港云端、或把香港项目数据交给内地分包商处理——便触发私隐条例第33条关于「跨境转移」的规管。
关键判断：香港以外的地方，「私隐条例」是否提供「大致相若」的保护水平。
| 目的地 | 大致相若？ | 实操影响 |
|---|---|---|
| 内地 | ❌ 否（须特别审慎） | 建议先咨询私隐专员公署；尽量在香港完成处理 |
| 欧盟成员国 | ✅ 通常是 | 须配合 GDPR 要求 |
| 美国（受 Privacy Shield 等框架约束） | ⚠️ 视情况 | 须确认合约条款 |
| 其他地区 | 须个案评估 | 建议书面纪录判断理由 |
操作建议：跨境传输前与企业法律顾问或私隐专员公署沟通，并在内部留下评估纪录。
五、委任第三方处理：合约条款不可省
很多资助项目会把部分工作外包——问卷调查、数据分析、推广活动。即使资料交予第三方处理，企业仍须为该资料负最终责任。
委派第三方时，应在合约中加入以下条款（具体写法以法律意见为准）：
- 资料用途限制：只可用于合约指定的用途
- 保安标准：须达到与委托方一致的水平
- 保密义务：参与人员须签署保密协议
- 资料销毁：合约完结后须交还或销毁全部资料
- 分包限制：未经事先书面同意，不得再分包
- 审计权：委托方有权检查第三方的保安措施
私隐专员公署发布的《外判个人资料处理合约建议条款》可作为参考蓝本。
六、资料处理活动记录簿（ROP）
私隐专员公署建议企业建立内部记录，载明：
- 资料种类
- 收集目的
- 资料当事人类别（例如员工、客户、公众）
- 资料接收者类别
- 跨境转移目的地
- 保留期限
- 保安措施
这份记录簿在政府审计、个人资料私隐专员公署调查或内部事故复盘时，是证明企业「已尽合理努力」的关键证据。中小企业可以使用 Excel 表格或简单的内部系统维护，不必投入昂贵软件。
七、若发生资料外泄：必须知道的处理流程
私隐条例第IX部及私隐专员公署《资料外泄事故处理及通报指引》要求：
| 步骤 | 时限要求 |
|---|---|
| 内部评估事故严重性 | 事故发生后尽快，建议48小时内 |
| 通知私隐专员公署 | 严重事故应在5个工作日内通报 |
| 通知受影响当事人 | 视乎情况尽快，避免延误造成损害 |
| 保留事故纪录 | 不少于3年 |
判断「严重性」的四要素：
- 受影响人数
- 资料敏感程度（身份证号、银行户号、健康资料属高敏感）
- 损害程度与发生可能性
- 是否涉及弱势群体
即使是中小企业，亦应在内部预先制定事故应变手册，列明汇报路径与决策人。
八、合规自检清单（可立即打印使用）
✅ 项目申请书中的收集声明已如实填写 ✅ 已备有一份私隐政策可供查阅 ✅ 已识别所有涉及个人资料的流程 ✅ 内部已指定资料保护负责人 ✅ 第三方合约已加入资料保护条款 ✅ 电子档已加密；纸质档已上锁 ✅ 已建立资料处理活动记录簿 ✅ 已制定资料外泄应变流程 ✅ 已规划资料保留期与销毁机制
结语
个人资料合规并非一次性工作，而是嵌入项目每个阶段的日常习惯。中小企业只要把握「目的清晰、最少够用、保安到位、纪录可查」四大要点，便能在符合私隐条例的前提下，安心使用各类政府资助。条文细节与罚款金额以官方最新公布为准，建议企业遇重大或跨境事项时，向私隐专员公署或法律专业人士咨询。
香港大全 整理了更多香港中小企业资助计划、申请流程与合规要点的实用指南，欢迎站内浏览相关文章。
常见问答
项目资助金额不高，是不是可以不必理会个人资料合规？
不可以。私隐条例的规管范围与资助金额无关，只要企业处理到可识别在世个人身分的资料，便须遵守相关要求，违反者可被处以最高港币100万元罚款及监禁两年的罚则。
公司没有收集身份证号码，是不是就不算处理个人资料？
仍有可能算。私隐条例对个人资料的界定相当宽泛，姓名、电话、电邮、银行账户、送货地址、问卷意见等，只要组合起来能直接或间接识别到某个人，均属个人资料。
客户要求删除其个人资料，公司能否直接配合删除？
需视乎情况而定。私隐条例赋予当事人查阅资料权与更正资料权，企业须在收到书面请求后于规定期限内回应（以官方最新公布为准）。同时，项目资助方一般要求资料保存不超过7年，企业应按合约与内部保留政策处理，不可随意销毁。
项目涉及把内地客户资料传到香港云端，是否违反私隐条例？
跨境资料传输须依私隐条例第33条评估。若目的地（如内地）未能提供「大致相若」的保护水平，企业应特别审慎，建议先咨询私隐专员公署，并尽量在香港完成相关处理。
中小企业一定要聘请全职资料保护负责人（DPO）吗？
私隐条例并未强制中小企业设立 DPO，但企业应在内部指定一名资料保护负责人统筹与问责，确保资料收集、储存、跨境传输及外判等流程符合规定。
发现资料外泄后，公司可以先观望一段时间再决定是否通报吗？
不建议。严重事故应在5个工作日内向私隐专员公署通报，并尽快通知受影响当事人，避免延误造成损害。内部应预先制定事故应变手册，列明汇报路径与决策人，以便事故发生时迅速响应。