香港中小企 PDPO 私隱條例實務指南：DPP1–6 逐條解釋、外洩通報五步、直接促銷同意同簽約前要問的問題

分類：行業情報 | 日期：2026-10-21

最後更新：2026年10月 | 由 IT SUPPORTKING 技術團隊編寫

免責聲明：本文章內容屬一般資訊，唔係法律意見。 PDPO 的應用要視乎每間公司的實際安排而定。具體情況請諮詢律師，唔好單憑本文章作出合規決定或對外承諾。

最後覆核日期：2026-10-21

覆核依據：根據私隱專員公署截至 2026-10-21 公開指引及研究報告整理。關鍵條文及指引內容以私隱專員公署官方頁面及條例原文為依據。

覆核週期：每 6 個月或法例／指引有變時覆核。

方法說明： 本文內容根據私隱專員公署截至 2026-10-21 公開指引及研究報告整理，唔係來自作者記憶或自行補充。本文章並無進行香港本地用家訪問，亦無香港本地用家實證，因此不會對香港企業的普遍做法作出概括描述。凡標明「未證實／需用戶確認」的項目，請以查詢及書面確認為準。

一、咩係 PDPO？點解中小企要理？

香港《個人資料（私隱）條例》（PDPO，Cap. 486）是一部「原則為本」的法例，核心是附表 1 的六項保障資料原則（DPP1–6）。

咩叫「個人資料」？根據 PDPO s.2，個人資料是指直接或間接關於在世個人、可切實確定其身分、並以可切實查閱或處理的形式存在的資料。客人姓名加電話、員工糧單、可辨認人臉的閉路電視影像、可識別個人的電郵或 IP 地址，都可能符合上述定義；因此，中小企日常的客戶、員工、訪客紀錄及閉路電視片段，幾乎全部落入 PDPO 範圍。

另一個要先分清的概念，是「資料使用者」同「資料處理者」。資料使用者是控制個人資料收集、持有、處理或使用的人；資料處理者（data processor）則是代資料使用者處理資料的人。資料處理者本身不受 PDPO 直接規管，但 DPP2(3) 同 DPP4(2) 要求資料使用者用合約或其他方法約束處理者；因此，任何將個人資料交由第三方處理的安排，例如雲端寄存、代發電郵、系統管理，合約都應寫明處理者只可按指示處理、唔可保留超過必要時間、要有保安措施、出事要通知、完約要交還或銷毀資料。要留意，唔應理解為「僱主須為處理者的一切行為負嚴格責任」。

風險框架可歸納為三層：違反 DPP 一般非刑事，經執行通知、唔遵從先刑事；但直接促銷（Part 6A）同起底（2021 年修訂）是例外，本身已是直接刑事罪行。因此，合規工作可按「預防 DPP 違規」加「直接促銷零犯錯」加「起底零容忍」三層設計。

二、DPP1–6 逐條實務解釋

DPP1 — 收集目的及方式

DPP1 要求收集須以合法及公平方法、為合法目的進行，目的須與資料使用者的職能或活動直接有關；所收集的資料須為該目的屬必要而非過多。向當事人本人收集時，須採取一切切實可行的步驟告知：提供資料屬自願定強制及不提供的後果；資料用途及可能轉移予甚麼類別人士；查閱及改正權利及負責人姓名及地址。呢啲告知通常合併成一份《收集個人資料聲明》（PICS）。

實務做法：收資料前先問「呢個欄位係咪真係必要」；每張表格或網上表單附上 PICS；唔好「順便儲定先」。PCPD 指南明言無差別收集尤其敏感資料很可能違反 DPP1(1)；因此，表格設計的第一關是做減法，唔係做加法。

「收集」一詞本身有法律含義。上訴法院在 *Eastweek Publisher Ltd v Privacy Commissioner* [2000] 2 HKLRD 83 解釋，「收集」本質上是編纂關於已識別人士（或有意／尋求識別的人士）的資料。

DPP2 — 準確性及保留期限

DPP2 要求須採取一切切實可行的步驟，確保個人資料就其被使用目的而言準確；有合理理由相信資料不準確時，須在糾正前停止使用或刪除；如知道已向第三方披露的資料不準確，須通知第三方並提供糾正詳情。保留不得超過落實目的所需時間。聘用資料處理者（無論境內境外）須用合約防止處理者保留超過處理所需時間。

實務做法：建議備有書面保留政策 — 每類資料訂明保留期、到期刪除程序及負責人。員工資料可參考 PCPD《人力資源管理實務守則》：未獲聘申請人資料不超過 2 年，前僱員資料不超過 7 年（有持續理由、合約或法律責任除外）。另一法例的最低保留要求，例如《稅務條例》Cap. 112 s.51C 業務紀錄保存不少於 7 年，可成為保留的合法理由。

DPP3 — 使用

DPP3 規定，除非資料當事人給予「訂明同意」（明示、自願作出且未以書面撤回），個人資料只可用於收集時的目的或直接有關的目的。「使用」包括披露及轉移 — 將客戶資料交俾第三方（例如轉介、交俾外判商處理）都係「使用」。此處「外判商」指 PDPO 語境下的資料處理者。

實務做法：任何新用途（尤其促銷、轉交第三方、跨業務線共用）先做 DPP3 檢查；預設剔好或唔回覆當同意，唔符合「明示自願」。要留意：DPP3 的「訂明同意」唔好同 Part 6A 直接促銷的同意機制混淆。

DPP4 — 保安

DPP4 要求須採取一切切實可行的步驟，確保個人資料受保障，免受未經授權或意外的查閱、處理、刪除、遺失或使用；聘用處理者須用合約防止同類事故。PCPD 指南強調要考慮資料性質、事故可能造成的損害、接觸資料人士的誠信、審慎及能力。

實務做法：最少權限（need-to-know）、離職即時收回帳戶及權限、強密碼及多重認證、裝置加密、備份、系統更新、書面保安政策加員工培訓、資料處理者合約加事故應變計劃。

DPP5 — 公開

DPP5 要求須採取一切切實可行的步驟，確保任何人能確定其關於個人資料的政策及實務、所持個人資料的種類、該等資料被使用的主要目的。PCPD 建議備有一份書面《私隱政策聲明》（PPS）並以易於取得的方式公開，內容易明，包括保留政策、保安措施、外洩處理、cookies 等做法。

實務做法：PPS 要公開、易搵、易明、內容完整，且同實際做法一致；做法改咗，PPS 要同步更新。PICS（收集時給予當事人，針對該次收集）同 PPS（一般性公開聲明）唔好互換。

DPP6 — 查閱及改正

DPP6 賦予資料當事人權利，要求確認是否持有其個人資料、要求提供副本；如資料不準確，有權要求改正。查閱要求（s.19）同改正要求（s.23）各須在收到要求後 40 日內遵從；未能在期內遵從，須在 40 日期滿前書面通知要求者「未能遵從加原因」。費用只限直接成本。

實務做法：指定一個負責人加登記冊：收到查閱或改正要求即日登記、計算 40 日死線、記錄處理或拒絕原因；改正後要在切實可行的情況下通知曾獲披露不準確資料的第三方。

三、PCPD 公開指引：中小企最相關的幾份

PICS 及 PPS 準備指引： PCPD 出版《準備收集個人資料聲明及私隱政策聲明指引》；網上收集時建議在網上表格與 PPS 之間設熱連結。

中小企指引（2017 年 12 月）： 《Data Protection & Business Facilitation — Guiding Principles for Small and Medium Enterprises》，涵蓋 11 個範疇：收集客戶資料、使用客戶資料、保障客戶資料、網上業務、香港以外經營、產品或服務推廣、招聘、為保安目的安裝閉路電視、為監察目的收集僱員資料、外判處理個人資料、處理查閱及改正要求。

《Privacy Management Programme: A Best Practice Guide》（PMP）： 三大組成 — 機構承諾、計劃控制、持續評估及修訂。PCPD 建議委任一名資料保障主任（DPO）統籌合規；PDPO 本身無強制要求委任 DPO，小生意可由東主或經理兼任。

人力資源守則： 違反守則本身不是罪行，但在 PDPO 法律程序中會產生不利推定（除非證明即使違反守則仍已遵守 PDPO）。保留期見 DPP2 一節；離職公告唔好披露僱員身份證號碼；提供前僱員推薦信前應先取得僱員同意（或確認要求方已取得同意）。

僱員監察指引： 展開監察前建議先做私隱影響評估，考慮三個 A — Assessment（風險加效益）、Alternatives（較少侵犯私隱的替代方法）、Accountability（合規管理責任）；決定監察後應在監察開始前制訂並向僱員公布監察私隱政策。

HKID 守則： 《Code of Practice on the Identity Card Number and other Personal Identifiers》於 1997 年發出，2024 年 8 月修訂。除守則列明的有限情況（例如法律明確授權、為防止或偵測罪行或嚴重不當行為等），不得收集 HKID 號碼或副本。健身中心案：收集安排屬過度收集。

外判（資料處理者）加跨境轉移： 第 33 條（限制向香港以外地方轉移個人資料）至今未生效 — 自 1996 年在法例內但從未實施，無生效時間表。PCPD 發出非約束性指引（2014 年 12 月跨境轉移指引；2022 年示範合約條款，屬自願採用；2023 年 12 月大灣區標準合同指引）。第 33 條從未生效，因此唔可以將第 33 條理解為已生效的要求；但跨境並非無規管：DPP1（告知轉移）加 DPP3（用途一致）加 DPP4（保安加處理者合約）仍然適用；跨境安排要在 PICS 講明轉移加受轉移者類別，並用合約約束海外處理者。

CCTV、航拍機及車輛鏡頭指引（2025 年更新）： 核心原則是必要性、相稱性、資料最小化、通知、保留、保安。CCTV 須為與職能或活動直接有關的合法目的而安裝並有充分理據；唔應在個人有合理私隱期望的地方安裝（更衣室、洗手間、私人休息區）；隱蔽監察只應在有強烈理據下作為最後手段。

守則的法律地位： PCPD 實務守則本身不具法律約束力，但違反守則在 PDPO 法律程序中可產生不利推定。「守則唔係法例，所以唔使理」是錯誤理解 — 建議當作準強制標準看待。

四、罰則：DPP 違規流程 vs 直接刑事例外

DPP 違規：違反 DPP → 執行通知 → 唔遵從先刑事

違反 DPP 本身一般唔構成刑事罪行。流程係：違反 DPP，PCPD 發出執行通知，唔遵從執行通知先至刑事（s.50A）。DPP 違規唔應理解為即時刑事。

s.50A 罰則如下。

「第 5 級／第 6 級」金額以《刑事訴訟程序條例》附表訂明的現行金額為準。

其他直接刑事罪行（不經執行通知）

以下罪行屬直接刑事，唔經執行通知流程。

直接促銷（Part 6A）：中小企最高風險一環

使用個人資料作直接促銷前（s.35C），根據條例一般需要先採取指明步驟：告知擬如此使用、表明未經同意不得使用、告知將使用的資料種類及促銷標的類別、提供免費回應渠道。口頭同意須在 14 日內書面確認（s.35E）。首次使用時須告知拒收權（s.35F）。當事人要求免費停止時，根據 s.35G 一般應予遵從。接獲停止要求後須將當事人加入拒收名單。

過往判罰（唔好當作最高罰則）：Credit Base（s.35C(1) 加 s.35F(1)，認罪）每項 HK$2,500，共 HK$5,000；HKBN 2015 年 s.35G 案罰款 HK$30,000（注意：另有一宗 HKBN 罰款 HK$12,000（六項控罪，認罪），兩宗唔好混淆）；Links（2015 年 9 月，s.35C，認罪）HK$10,000；超級市場（2018 年 1 月，s.35E(1) 首宗定罪）HK$3,000；電訊公司（2018 年 8 月，未遵從停止要求）每項 HK$10,000，共 HK$20,000；地產代理 s.35J 轉移資料予保險代理 HK$5,000（保險代理 s.35C 控罪獲判無罪 — 未能排除其正嘗試採取指明步驟）。

上述判罰介乎 HK$2,500 至 HK$30,000，遠低於上限；由此可見，PCPD 會公開個案，聲譽損害加客戶信任流失往往大過罰款。

起底：2021 年修訂（唔好誇大）

條文於 2021 年 10 月 8 日生效。第一級（s.64(3A)）：未經同意披露加意圖造成指明傷害或罔顧會否造成，最高 HK$100,000 加 2 年。第二級（s.64(3C)）：披露且實際造成指明傷害，最高 HK$1,000,000 加 5 年。「指明傷害」（s.64(6)）四肢：騷擾、糾纏、纏擾、威脅或恐嚇；身體或心理傷害；使人合理擔心安全或福祉的傷害；財產損害。專員可發停止披露通知加申請禁制令；專員可直接檢控可簡易程序審訊的罪行（如第一級起底罪行），較嚴重個案轉介警方或律政司。

執法個案多源於金錢糾紛及家庭或關係糾紛；一般而言，中小企正常經營通常唔會觸及起底條文，風險在糾紛處理時公開對方個人資料。修訂沒有引入強制外洩通報、沒有改變 DPP 框架。

執法規模（RTHK 2026-02-03 報道）：2025 年 246 宗外洩通報（加 21%）、308 宗起底（減 30%）、147 次刑事調查、轉介 47 宗、拘捕 18 人。立法會答問（2025 年 2 月）：PCPD 拘捕 63 人（截至 2024 年底）、警方拘捕 34 人（截至 2024 年第三季，截止日不同，唔係同一截止日）、50 人被定罪。

民事索償加 PCPD 調查權力

民事索償（s.66）：因違反 PDPO 而蒙受損害的個人可索償，「損害」包括感情傷害；資料使用者可提出「已採取合理步驟避免違規」抗辯；PCPD 可向索償的受屈個人提供法律協助（s.66B）。

PCPD 調查權力：收到投訴須展開調查（受 s.39 拒絕調查理由規限，唔應理解為「任何投訴必查」），亦可在有合理理由相信違規時主動調查；可巡查個人資料系統；可發表調查或巡查報告。資料使用者可就專員的執行通知等決定向行政上訴委員會上訴。

五、外洩通報：自願、盡快、唔好混淆 GDPR

資料外洩通報在香港是自願、無固定時限，但「盡快」是 PCPD 的明確期望。自願通報制度於 2010 年建立。PCPD《Guidance on Data Breach Handling and Data Breach Notifications》（2023 年 6 月修訂版）建議五步：即時收集基本資料、遏止外洩、評估傷害風險、考慮發出通報、記錄外洩事件；並建議備有全面書面應變計劃。

通報標準是「知悉後盡快（as soon as practicable）」，尤其有實際傷害風險時。要留意：香港 PDPO 並無固定 72 小時時限。唔應將 GDPR 的 72 小時規則理解為香港法例。香港通報標準是「知悉後盡快」，而 72 小時是 GDPR 規則；因此，正確的內部標準是「知悉後盡快」，有實際傷害風險時更要加快，唔好用 72 小時做倒數。

PCPD 不接受口頭通報，可用電子通報表格或紙本表格。通知受影響人士可直接通知，或在直接通知不可行時用公開公告等方式。

教訓個案：Cathay Pacific 事件中，可疑活動於 2018 年 3 月 13 日已偵測到，通報於 10 月 24 或 25 日作出，影響約 940 萬人；PCPD 認為可更早通知，延誤本身唔係違規，但會被公開批評。

強制通報修例：2020 年 1 月諮詢建議、2023 年 2 月報告及 2024 年 2 月會議提及；次級來源稱修例方案於 2024 年底被擱置，但未見 PCPD 或立法會一手來源 — 因此現時以外洩通報屬自願理解為準。

六、中小企 checklist

以下係中小企 checklist：

1. 收集： 每份表格只留「冇佢就做唔到該次服務」的欄目；其餘改可選並寫明用途；收集時給予 PICS（目的、自願或強制加後果、受轉移者類別、查閱或改正權利）。
2. 推廣： 「入會」同「推廣同意」分開兩份紀錄；推廣同意獨立一格、獨立紀錄；每次推廣訊息提供免費拒收方法；拒收即停加加入拒收名單；買返嚟的名單或合作夥伴名單若無確認同意來源，一律唔好用。
3. 保留： 為每一類資料寫保留期限（會員、訂單、求職、閉路電視、訪客登記各不同）；到期刪除加記錄刪除動作；處理者合約寫明完約交還或銷毀。具體期限按業務及法律要求決定。
4. 保安： 最少權限；離職當日 cut 帳戶；多因素認證（尤其遠端存取）；定期更新系統；一頁可執行的保安指引；第三方工具採用前問清資料存喺邊、邊個可睇、合約點寫外洩通報、完約點刪除。
5. 公開加應變： 網站或門市公開 PPS（所持資料種類、主要目的、保留政策、保安措施、外洩處理、查閱或改正聯絡方法、cookies 做法），同實際做法一致；備有一頁書面外洩應變計劃；收到 PCPD 查詢或調查通知即時認真處理，收到執行通知，一般應在期限內完成並留證據。
6. 查閱或改正： 指定負責人加登記冊；40 日死線；收費只限直接成本；改正後通知曾獲披露的第三方。
7. 僱員或 CCTV： 監察前做私隱影響評估（三個 A）加向僱員公布政策；CCTV 有告示、目的、保存安排；唔好喺更衣室或洗手間裝；HKID「只核對、唔記錄」除非法律要求或守則容許。

最常忽略的 5 件事： ① 過度收集；② 冇或錯收集聲明加將「入會」當「同意推廣」；③ 保留過久加冇刪除；④ 保安不足（弱密碼、冇多因素認證、舊系統、前員工帳戶未刪）；⑤ 第三方或雲端冇合約約束加冇外洩應變計劃。

行業落地例子： 食肆 — 14 宗投訴中，11 間用共用登記表或冊（其餘 3 間分別為無收集箱、收集箱無遮蓋、用未裁剪紙張），違反 DPP4，PCPD 發執行通知（唔係「14 間食肆共用登記表」）。零售珠寶 — 撞密碼取得管理員帳戶，影響約 79,400 人（姓名、HKID、出生日期、聯絡），缺失包括弱密碼、無 MFA、OS 過時、前員工帳戶未及時刪除等（經律師樓分析轉述 PCPD 調查報告，唔係 PCPD 原文直引）。另一零售商 Adastria 被盜用員工管理員帳戶，影響約 59,205 人。醫療 — 實習醫生涉嫌在社交媒體張貼載有病人資料的相片，被暫停職務調查，醫管局強調使用臨床管理系統前須培訓加簽保密協議。教育 — 學校要求父母雙方身份證副本否則唔收申請被指引提醒要考慮是否必需。物管 — 訪客登記冊防他人看到、通告唔貼 HKID 或聯絡、閉路電視告示加目的加保存政策（PCPD 物管指引 2022 年 6 月）。

七、簽約前要問的問題（服務邊界）

本節唔係服務承諾，而係教讀者向任何 IT 支援供應商提問。

關於私隱文件： 供應商的服務包唔包私隱政策與收集聲明的實務提醒？包唔包代寫、審閱或翻譯？如果只係實務提醒同檢查清單，邊啲要客戶自己搵律師處理？代寫、審閱、翻譯是否包括在內，屬需用戶確認。

關於網絡入口保安： 供應商會唔會協助檢視 Router 設定是否符合基本保安原則？具體設定清單包括邊啲？係咪包括定期檢查或防火牆規則審計？Router 品牌、型號及韌體版本是否已確認？具體設定清單、定期檢查、防火牆規則審計屬需用戶確認，品牌、型號及韌體版本未證實。

關於備份： 備份建議及設定包邊啲？還原測試包唔包？HK$600／月級以外的另一級別中，HK$1,200 級只包備份建議加設定，還原測試明確唔包。還原測試是否提供／如何收費屬需用戶確認。備份工具、頻率、保留期限未證實。

關於帳戶及權限： 供應商會唔會提供入職或離職帳戶檢查清單式協助？係咪包括代客戶執行停用或定期權限審計？是否包括代執行或定期審計屬需用戶確認。

關於第三方工具及雲端： 採用新工具前，供應商會唔會提供「要問的 5 條問題」清單（存喺邊、邊個可睇、合約點寫外洩通報、完約點刪除等）？合約審查本身包唔包？合約審查屬需用戶確認。

關於已公佈價錢的正確理解： 本站 pricing 頁公佈的 HK$600／月級 scope 並未列明 PDPO 服務，PDPO 相關安排屬簽約前要問的問題。HK$600／月為已公佈原文，本文唔加單位，唔作市場倍數比較。M365 相關表述只用「正版 Office 365 商業授權」原文，唔寫邊個 tier、幾多個授權、邊個名義持有。

關於 exclusions 的寫法： 關於 exclusions，本文採用「簽約前要問清楚的排除項目」的寫法（教讀者問咩問題），唔係任何供應商自己的 exclusions 清單（本站冇公佈）。讀者應問：外洩應變計劃的制訂、PICS 或 PPS 的代寫或審閱、合約審查、還原測試、定期權限審計，邊啲已包、邊啲另收費、邊啲唔提供。

八、結論

PDPO 的核心唔係記熟罰款數字，而係建立四個習慣：收得少、講得清、留得短、鎖得實。DPP1 要求必要而非過多、DPP3 要求用途一致、DPP2 要求有限保留、DPP4 要求保安；因此，老闆要 check 的，唔係一份文件，而係表格、推廣同意、保留期限、權限、PPS、應變計劃、查閱及改正登記冊七個日常程序是否真係執行。直接促銷同起底宜當作刑事風險即時處理。外洩通報可記住「自願、無固定時限、知悉後盡快」，唔好用 GDPR 的 72 小時規則做倒數。第 33 條從未生效，但 DPP1、DPP3、DPP4 仍然適用於跨境安排。

免責聲明（重申）：本文章內容屬一般資訊，唔係法律意見。 具體情況請諮詢律師。如有疑問，應諮詢專業意見。

最後覆核日期：2026-10-21

覆核依據：根據私隱專員公署截至 2026-10-21 公開指引及研究報告整理。

覆核週期：每 6 個月或法例／指引有變時覆核。