2026 香港個人資料私隱條例更新 / 2026 HK PDPO Updates
分類：行業情報 | 日期：2025-10-05
最後更新：2026年10月 | 由 IT SUPPORTKING 技術團隊編寫
一句答案：截至 2026 年 10 月，香港《個人資料（私隱）條例》的強制資料外洩通報制度尚未生效，目前仍屬立法建議階段——政府於 2024 年擱置修訂，私隱專員於 2026 年初表示計劃再諮詢立法會，但生效時間表仍未確定。中小企現時真正要面對的是現行條例的六項資料保護原則：做好資料保安、訂立保留政策、預備外洩應變流程。現在準備好，等法例通過時你已經合規，而不是臨時抱佛腳。
修訂進度一覽：什麼已生效，什麼只是建議
網上很多文章把「立法建議」寫成「已經生效」，先釐清事實，避免做錯方向。
已經生效的
- 《個人資料（私隱）條例》現行版本：所有收集、使用或持有個人資料的機構（包括中小企）都必須遵守六項資料保護原則。其中保障資料第 4 原則（DPP4）要求採取所有切實可行的步驟，保障個人資料免受未經授權或意外的查閱、處理、刪除、喪失或使用。
- 起底行為刑事化（2021 年修訂）：未經同意披露他人個人資料，並意圖或罔顧對其造成滋擾、騷擾或傷害，已屬刑事罪行。
仍然屬於建議、尚未立法的
- 強制資料外洩通報機制：建議規定，若外洩事件有「重大損害的真實風險」，資料使用者須盡快通知私隱專員，建議時限是不遲於知悉後五個工作天；專員亦可指示通知受影響人士。現時通報仍屬自願性質。
- 私隱專員直接施加行政罰款：建議賦權專員直接罰款，罰款金額建議參考違規機構的年營業額（類似歐盟 GDPR 模式）。現行條例下，專員只能發出執行通知，罰則須經法庭審訊。
- 強制制定資料保留政策：建議要求機構訂立清晰的資料保留政策，列明各類個人資料的保留期限，並告知資料當事人。現時條例只要求資料保留「不超過實際所需時間」。
- 直接規管資料處理者：建議將外判商（例如雲端服務供應商、系統維護公司）納入直接規管範圍。
時間線：政府於 2024 年因擔心影響營商環境而擱置修訂；2026 年初，私隱專員鍾麗玲公開表示，專員公署計劃於年內就強制通報及相關罰則諮詢立法會，並可能分階段推行。換句話說：方向已定，時間表未定，最終內容仍有機會調整。
修訂未生效，中小企現在就要做的五件事
根據我們處理客戶個案的經驗，等到法例通過才開始準備的公司，通常要花數倍時間和金錢補救。以下五件事現在做，成本最低。
1. 盤點你手上持有什麼個人資料
列出一份清單：客戶姓名、電話、電郵、身份證號碼、付款資料、員工薪酬紀錄等，分別存放在哪裡（電腦、雲端、紙本）、誰有權限查閱。很多中小企做完盤點才發現，離職員工的帳戶半年都未停用，舊客戶資料散落在各同事的電腦裡。
2. 落實基本的資料保安措施
- 為存放個人資料的電腦和伺服器啟用磁碟加密（Windows BitLocker / macOS FileVault），手提電腦遺失也不致資料外洩。
- 設定帳戶權限：只有工作需要的人才看得到敏感資料；員工離職即時停用帳戶。
- 開啟自動備份，並定期測試備份能否成功還原——備份了但還原不到，等於沒有備份。
- 保留系統和存取日誌，發生事故時才有跡可尋，調查和通報都有依據。
3. 訂立資料保留政策
為各類資料定下保留期限：例如求職者履歷保留 12 個月、客戶交易紀錄保留 7 年（配合稅務要求）、營銷名單定期清理。期限一到就刪除或匿名化處理。這正是修訂建議的方向，現在先做，法例通過時已經達標。
4. 預備資料外洩應變流程
寫一份一頁紙的應變清單：誰負責判斷事件、誰負責遏止（隔離受影響系統）、誰負責評估風險、幾多日內要決定是否通報。修訂建議的通報時限很緊（建議五個工作天內），沒有預先演練的團隊根本趕不及，臨時才找律師和 IT 支援只會更貴。
5. 培訓前線員工
絕大多數外洩個案源於人為因素：釣魚電郵、誤發附件、遺失 USB。定期做一次 30 分鐘的內部提醒，效果遠勝於出事後花錢請律師。重點教員工識別釣魚郵件、不要用私人電郵傳送客戶資料。
發生資料外洩時，現在應該點做？
現時通報屬自願性質，但私隱專員公署設有資料外洩事故通報表格，鼓勵機構主動通報。發生事故時建議按以下步驟處理：
- 立即收集資料：發生什麼事、何時發現、涉及多少人、涉及什麼資料。
- 遏止外洩：隔離受影響系統、重設相關密碼、堵住漏洞，防止損害擴大。
- 評估風險：外洩的資料是否敏感？會否對當事人造成重大損害？這決定了是否需要通知受影響人士。
- 考慮通報：向私隱專員公署提交通報表格；如有重大風險，盡快通知受影響的資料當事人，讓他們可以採取自保措施（例如更改密碼、留意可疑交易）。
- 完整記錄：由發現到處理完結的每一步都要有書面紀錄，日後專員查詢或民事索償時，這是你的重要證據。
中小企常見的三個錯誤觀念
- 「我哋公司好細，唔關我哋事。」條例適用於所有資料使用者，不論規模。小公司的客戶資料一樣受保障，出事一樣要負責。
- 「用咗雲端，保安就係雲端供應商嘅責任。」現行條例下，主要責任在資料使用者（即你公司）身上；修訂建議會直接規管外判商，但你的責任不會因此消失。
- 「唔報就冇人知。」外洩事件往往由受影響客戶或傳媒先揭發，屆時專員介入調查，被動應對的代價遠高於主動通報。
常見問題 FAQ
Q: 強制資料外洩通報制度而家生效咗未？
A: 未生效。截至 2026 年 10 月，這仍然是立法建議。政府 2024 年曾擱置修訂，私隱專員 2026 年初表示計劃年內諮詢立法會。現階段通報屬自願性質，但專員公署鼓勵機構主動通報。
Q: 修訂通過後，唔通報或者唔合規會罰幾多？
A: 現行條例下，私隱專員可發出執行通知，不遵從可被檢控，罰則由法庭決定。修訂建議賦權專員直接施加行政罰款，並建議參考機構年營業額釐定，但具體金額和計算方式尚未立法確定，任何聲稱「已定罰款金額」的說法都不準確。
Q: 我哋得幾十個客人，使唔使做咁多嘢？
A: 要。條例不設規模豁免。客人少反而更容易做好：盤點、加密、備份、寫一頁應變清單，一個下午就做完。根據我們處理客戶個案的經驗，規模細的公司出事時往往因為「冇人諗過會發生喺自己身上」而完全冇準備，損失反而更大。
Q: 資料保留政策有冇標準期限可以抄？
A: 沒有劃一標準，條例只要求保留「不超過實際所需時間」。實務上按資料類別和法例要求訂立：稅務紀錄一般 7 年、求職者資料 12 個月、一般查詢紀錄 3 至 6 個月。重點是寫下來、確實執行、到期刪除。
私隱合規不是一次性工程，而是一套持續運作的習慣。如果你想一次過搞掂資料盤點、加密、備份和應變流程，IT SUPPORTKING 的 HK$600/月託管式 IT 方案已包含保安設定、定期備份檢查和事故應變支援。WhatsApp +852 6558 6806 預約免費初步評估。