个人信息保护全球指南（第二版）——中国香港

导言

在香港，个人信息受1995年颁布的《香港法例》第486章《个人资料（私隐）条例》的保护。该条例对个人资料从收集到销毁的整个生命周期进行保护。该条例要求资料使用者遵守六项资料保护原则（下文讨论）并赋予资料当事人知晓其何种个人资料被他人持有的权利。

该条例保护与个人资料有关的个人隐私，而非一般的个人隐私。其他类型的隐私利益超出了该条例的范围，例如控制他人进入某人领地的利益、个人隐私免遭干扰的利益，以及个人沟通不受监视或窃听的利益。其中一些利益受到其他法规的管制。

法律更多聚焦于资料使用者，而非资料处理者。这意味着在资料使用者聘请资料处理者的情况下，应当由资料使用者承担遵守法律的义务。

该条例在2012年进行了修订，以加强对企业资料使用者在直接促销中应用客户资料以及与第三方共享资料的监管。只有在以下情况下，资料使用者可以与第三方分享其收集并用于直接促销的个人资料——(a) 以书面形式向资料当事人提供法律规定要提供的信息，包括拟使用或提供的个人资料的种类、该资料拟就何种类别的促销标的而使用，以及（在适当的情况下）该资料拟为直接促销目的提供予何种类别的人士；以及(b) 资料当事人必须以书面形式回复，表明其同意或不反对。如果拟以营利为目的分享个人资料，资料使用者必须书面通知资料当事人。资料当事人可随时要求资料使用者停止在直接促销中使用或与第三方分享其个人资料。在收到停止分享个人资料的请求后，资料使用者必须通知已分享该资料的任何人士。一项新的罪行是未经授权将个人资料转给他人作直接促销。第一个被定罪的个人是一个房地产中介，他在社交活动中获取了投诉人的姓名和手机号码。在没有征求投诉人同意的情况下，他把其姓名和电话号码提供给一个保险公司的理财规划师，该理财规划师随后联系了投诉人以推销保险产品。房地产中介被定为刑事犯罪并处罚款。

1. 您所在的法域中主要的个人信息保护法律或法规有哪些？

香港主要的个人信息保护立法是《个人资料（隐私）条例》。此外，还有根据该条例签发的各种实务守则。实务守则的规定没有法律约束力。然而，如果资料使用者违反实务守则中的强制性规定，在任何依据该条例的法律程序中将产生对其不利的推定。

2. 个人信息是如何定义的？

根据《个人资料（隐私）条例》，“资料”是指在任何文件中资讯的任何陈述（包括意见表达），并包括个人身份标识符；“个人资料”是指“符合以下说明的任何资料—— (a) 直接或间接与一名在世的个人有关的；(b) 从该资料直接或间接地确定有关的个人的身份是切实可行的；及(c) 该资料的存在形式令予以查阅及处理均是切实可行的”；且“个人身份标识符”是指“由资料使用者为其作业而编配予一名个人；且就该资料使用者而言，能识辨该名个人的身份而不虞混淆的标识符，但用以识辨该名个人的该人姓名，则不包括在内”。这些定义仅限于个人的个人资料。定义未包括用以识别法律实体，如法团或公司的信息，但包括用以定义合伙企业中个人合伙人的信息。

3. 有关个人信息保护的关键原则有哪些？

该条例在个人资料从收集到销毁的整个生命周期对其进行保护。它要求资料使用者遵守六项保障资料原则，这些原则在下文对问题4和问题5的回答中讨论。它保护与个人资料有关的个人隐私，而非一般的个人隐私。控制个人资料收集、保存、处理或使用的任何人，包括私营部门和政府部门，都必须遵守这些原则。

4. 收集个人信息的合规要求有哪些？

个人资料必须为了直接与资料使用者的职能或活动有关的合法目的而以合法和公平的方式收集。必须向资料当事人告知资料可能转移的目的和接收人员类别。此外还必须向他们告知是否有义务提供该等资料，如果是，还需告知拒绝提供的后果。收集的资料应当是必需且不过度的。例如，如果所需要的仅为被访者的年龄范围或他/她超过一定年龄的声明，则不应要求提供出生日期。资料的“收集”已有司法解释：一个人（“收集者”）仅在编纂与一个收集者已经识别，或者打算或试图识别的在世个人有关的信息时才是收集个人资料。该在世个人的身份必须对于收集者来说是一项重要信息。

5. 处理、使用和披露个人信息的合规要求有哪些？

个人资料必须是准确的。其保存时间不得超过达到收集和使用该资料的目的而必要的时间。个人资料必须用于指定的目的或与其直接相关的目的，除非获得资料当事人关于新目的自愿且明确地同意。必须采取措施防止个人资料未获准许或非法地被查阅、处理、删除、丧失或使用。必须采取措施使关于其保存的个人资料种类和资料使用方式的个人资料政策和实践为公众所知。资料当事人必须有权查阅其自己的个人资料，并被允许做出改正。

6. 是否存在转移个人信息至其他法域的限制？

如资料使用者聘用（不论是在香港或香港以外聘用）资料处理者，以代该资料使用者处理个人资料，该资料使用者须采取合约规范或其他方法，以防止转移予该资料处理者的个人资料的保存时间超过处理该资料所需的时间，以及防止转移予该资料处理者作处理的个人资料未获准许或意外地被查阅、处理、删除、丧失或使用。资料处理者被定义为代另一人处理个人资料，且并不为该人本身目的而处理该资料的人。

7. 被收集个人信息的个人拥有哪些权利？他们可否撤销对第三方保留他们个人信息的同意？以及如果可以，如何撤销？

个人有权：

(1) 提出查阅资料请求及获知拒绝该等请求的理由；

(2) 请求改正不正确的资料及获知拒绝该等请求的理由；

(3) 请求删除不正确的资料；

(4) 请求其个人资料不得被用于直接促销；

(5) 向个人资料隐私专员作出关于违反该法的投诉；

(6) 在民事程序中就因资料使用者未能遵守法律而遭受的损害主张赔偿，并可要求专员在该程序中给予协助；以及

(7) 通过通知资料使用者（例如，收集其资料的人）撤销对第三方保留其个人资料的同意。

8. 雇员的个人信息保护是否有所不同？如有不同，有哪些不同？除了雇员的个人信息，是否有受特殊保护的其他类型的个人信息？

雇员受到同一法律和保障资料原则的保护。在根据该条例发布的各实务守则和指引（见前文对问题1的回答）中，有一些对人力资源管理和工作中个人资料隐私的规定，就雇员个人信息的保护提供特别指引。关于其他交易（例如，物业管理、银行业、保险业等）或资料类型（例如，消费者信用资料、生物资料等），还有其他守则和指南。

9. 在您所在的法域，什么监管机构负责实施和执行个人信息保护法律？

个人资料隐私专员是一个独立的法定机构，负责监督和执行该条例的实施。专员对投诉进行调查并努力通过调解解决纠纷。公民如欲向专员咨询或提出投诉，应前往其目前位于香港湾仔皇后大道东248号阳光中心13楼1303室的办公室和/或通过电子邮件enquiry@pcpd.org.hk联系他们。另外，专员的详细信息可以在https：//www.pcpd.org.hk/网站上找到。

10. 如果违反任何个人信息保护法律，是否有任何处罚、责任或救济？

个人资料隐私专员有权签发执行通知，命令违反任何保障资料原则要求的人采取措施纠正并防止该违反再次发生。违反执行通知或故意进行执行通知中明确的作为或不作为，即构成犯罪，可能导致罚款或监禁。未经同意披露任何从个人获得的个人资料，而该项披露是出于获取金钱得益或其他财产得益的意图的，或者导致当事人蒙受损失的，即属犯罪。另外，任何该等披露如果导致当事人蒙受心理伤害，也属犯罪。除刑事责任外，违反该条例的人士可能面临民事主张。在必要时，专员可能向意图通过民事程序寻求赔偿的受屈人士（受害者）提供法律协助。

11. 香港最近在数据隐私/数据保护方面有没有显著的发展？是否有您认为将来可能会影响数据隐私/数据保护的情况？例如，您所在的法域是否正在计划通过任何新的立法以保护个人信息？个人信息保护领域在您所在的法域预计会如何发展？

目前尚无任何公开的拟议立法。然而，欧盟《一般数据保护条例》（GDPR）适用于没有在欧洲设立机构的数据控制者和数据处理者，只要它们向欧盟的数据当事人提供货物或服务，或监控其在欧盟的行为。香港作为一个拥有大量外国公司及众多在此工作与生活的外国人士的国际化城市，该条例对在香港的企业和个人产生法律影响。目前香港的立法和GDPR有一些共同特征，部分原因是前者在20世纪90年代起草时，参考了《经济合作与发展组织（OECD）隐私指南1980》和当时的《欧盟指令》。

鉴于GDPR引入的新特性，作为香港数据保护监管者的个人资料隐私专员已在本地发布了有关GDPR的小册子，以帮助本地数据用户遵守规则。除此之外，专员最近还发表了有关区块链、物联网（IoT）和数字生态系统的数据保护问题的论文。人们普遍认为，在下一轮立法修正案中，将参考所有这些由专员讨论的新趋势，并发布在https：//www.pcpd.org.hk上。

结论

资料使用者应当熟悉《个人资料（私隐）条例》、实务守则、指引和指导性说明，这些文件都可以在个人资料隐私专员的网站https：//www.pcpd.org上找到。六项保障资料原则是该条例的核心特征。实务守则不具有法律约束力，但任何违反将在该条例下的任何法律程序中产生对资料使用者不利的推定。在需要证明对该条例的违反时，如果资料使用者未能遵守实务守则，除非有充分的相反证据证明推翻，则会推定资料使用者已违反该条例。如果有证据显示资料使用者确实以不同的方式遵守了该条例项下的要求，则可推翻该推定。与实务守则不同，指引和指导性说明仅指明隐私专员根据该条例拟履行其职能或行使其权力的方式。它们体现了隐私专员认为的最佳做法，但任何违反不必然导致法律责任。

原文：Gallant 律师事务所

中文：汇衡律师事务所