香港法例第486章《个人资料(私隐)条例》

香港法例第486章《个人资料(私隐)条例》解读汇报人：XXXXXX目录CATALOGUE01条例概述02个人资料的定义与分类03保障资料原则04实务应用与合规要求05违规处理与救济途径06特殊场景应用条例概述01PART立法背景与目的平衡权益与便利立法目的在于在保护个人隐私的同时，兼顾商业和社会活动的需要，确保数据使用既合法又高效。保障经济自由流动条例不仅保护个人隐私，还确保个人资料能够自由地从已实施资料保障法例的国家和地区流入香港，从而促进香港经济的持续发展。回应社会需求香港《个人资料(私隐)条例》的制定源于社会对隐私保护的迫切需求，旨在解决个人数据被滥用的问题，特别是在商业活动中未经授权收集和使用个人资料的现象。适用范围与对象任何收集、持有、处理或使用个人资料的机构或个人，无论公私部门，均受条例约束，必须遵守保障资料原则。条例适用于所有直接或间接与在世人士有关的资料，且这些资料能够识别个人身份，形式包括电子和纸质记录。条例主要适用于香港境内进行的个人资料处理活动，但也涉及跨境数据传输的情况，确保资料流出时仍受保护。条例明确列出了11种豁免情况，如与国家安全、犯罪预防等相关的资料处理可不受部分条款限制。个人资料定义资料使用者责任地域范围豁免情形主要法律框架保障资料原则条例的核心是六项保障资料原则，包括合法收集、准确性、使用限制、安全保障、透明度以及数据主体权利，这些原则构成了数据处理的基本规范。条例赋予个人查阅、改正其个人资料的权利，并允许在资料被滥用时要求赔偿，确保个人对其资料有控制权。个人资料私隐专员公署负责监督条例的执行，处理投诉并有权调查违规行为，未来可能通过修订进一步强化其执法权力。数据主体权利监管与执行个人资料的定义与分类02PART个人资料三要素与在生者相关资料必须直接或间接关联到特定在世个体，例如姓名、身份证号码或生物特征数据（如指纹）。可查阅及处理的形式资料需以可被检索或操作的形式存在，如电子记录、纸质档案或数据库条目，排除完全匿名化或不可逆加密的数据。可识别身份资料需具备足以确定个人身份的信息，例如组合电话号码、地址及职业等片段可锁定特定个体。事实性资料与评核性资料事实性资料记录客观事实的静态信息，如出生日期、学历或婚姻状况，通常无需主观判断即可核实其准确性。包含主观评价或推断的内容，如工作表现评估、信用评分或医疗诊断意见，可能涉及隐私争议且需更高保护级别。评核性资料可能因涉及第三方意见（如推荐信）而豁免公开，而事实性资料一般需依申请提供。评核性资料法律豁免差异豁免条款适用范围新闻或文学创作为新闻报道、艺术表达目的收集的资料可豁免，前提是符合公共利益且不滥用个人隐私。健康或安全紧急情况为保护当事人或公众健康（如传染病追踪）而处理资料时，可突破常规限制。家庭及家居用途个人或家庭日常活动中处理的资料（如通讯录）不受条例约束，但商业用途除外。法律程序或调查执法机构为刑事侦查、法律诉讼持有的资料可暂免披露，但需遵循法定程序。保障资料原则03PART六项核心原则概述目的明确原则收集个人资料必须为直接与资料使用者职能相关的合法目的，且资料收集范围不得超出实现该目的所需的最小范围，确保资料收集的适度性和必要性。资料收集过程需符合法律规定，采用公平手段，并向资料当事人明确告知资料用途、是否强制提供、不提供的后果及查阅改正权利等关键信息。资料使用者须确保所持个人资料的准确性和时效性，发现不准确时应暂停使用或更正，并向已披露的第三方通知更正要求。方式合法公平原则准确性保障原则资料使用者的法律责任目的限制义务未经同意或法律允许，不得将资料用于初始收集目的以外的用途，且需通过合同约束第三方处理者遵守相同限制。01安全保障责任必须采取合理技术和管理措施（如加密、访问控制）防止资料遭未经授权查阅、篡改或泄露，尤其涉及跨境传输时需额外评估风险。透明度要求需公开所持资料类别及主要用途，指定专人处理查阅请求，并在收集时明确告知资料转移对象类别。留存期限管理建立资料销毁机制，确保存储时间不超过实现目的所需期限，对委托处理的资料需通过合同约定处理完成后的删除义务。020304资料当事人的权利01.查阅及更正权当事人有权要求确认是否持有其资料、获取副本，并对不准确资料提出更正，资料使用者须在法定时限内响应并说明拒绝理由。02.反对直销权可要求停止将个人资料用于直接促销，资料使用者须在收到请求后免费处理并停止使用。03.投诉救济权如认为权益受损，当事人可向香港个人资料私隐专员公署投诉，或通过民事诉讼寻求损害赔偿。实务应用与合规要求04PART资料收集规范根据条例规定，资料使用者必须以合法且公平的方式收集个人资料，且收集目的必须明确、直接相关。例如，直销函件活动需明确告知资料当事人收集用途，不得隐瞒或欺骗。合法目的与方式在收集个人资料时，资料使用者必须向资料当事人提供必要信息，包括收集目的、可能转移的接收方类别、查阅及改正资料的权利等，确保透明性。知情权保障收集的个人资料范围应限于实现目的所必需，避免过度收集。例如，抽奖活动仅需收集参与者姓名、联系方式等必要信息，而非无关的敏感资料。最小化原则7，6，5！4，3XXX资料保存与使用限制准确性要求资料使用者须采取合理步骤确保所持个人资料准确且更新及时。例如，定期核对客户地址信息以防邮寄函件错误。安全防护措施必须实施技术和管理措施（如加密、访问控制）防止资料被未授权查阅、篡改或泄露。机构需定期进行安全风险评估。保存期限控制个人资料保存时间不得超过实际需要，需制定明确的资料销毁政策。如促销活动结束后，参与者资料应在获奖名单公布后合理期限内删除。用途限制原则未经当事人同意或法律允许，资料不得用于初始目的以外的用途。例如，为抽奖收集的电话号码不可擅自用于产品推销。向境外转移个人资料前，需评估接收方是否具备与香港相当的保护水准。例如，转移至欧盟国家需确认其符合GDPR标准。接收方地区保障水平若接收地区无完备隐私法律，须明确告知资料当事人跨境转移风险并取得其自愿同意，不可默认勾选同意条款。当事人知情同意通过签订标准合同条款（如欧盟SCCs）约束境外接收方履行保护义务，确保资料在传输后仍受有效保障。合同约束机制跨境资料传输规定违规处理与救济途径05PART投诉受理流程个人资料私隐专员公署负责受理投诉，投诉人需提交书面申请，包括涉嫌违规的具体事实、相关证据及个人资料。调查权限与程序调查结果处理投诉与调查机制专员公署有权要求涉事机构提供资料、进入相关场所调查，并依据《条例》第38条决定是否展开正式调查。若调查确认违规，公署可发出执行通知要求改正；情节严重者可能转交警方或律政司提出刑事检控。资料当事人因违规处理个人资料而蒙受损失（如精神困扰、财务损失），可向法院提起民事诉讼，要求资料使用者赔偿，法院会依据实际损害程度裁决赔偿金额。损害赔偿请求权原告需初步证明资料使用者违反条例规定（如未经同意转售资料），资料使用者则需证明已采取合理步骤遵守条例（如已获当事人明确授权）。举证责任分配若同一违规行为影响多名当事人，可考虑联合诉讼，但需证明个人资料被系统性滥用，且损害与违规行为存在直接因果关系。集体诉讼可能性除金钱赔偿外，当事人可申请禁制令，要求资料使用者停止特定行为（如继续泄露资料），以防止损害扩大。禁令救济民事赔偿制度01020304刑事处罚条款身份证滥用罪强制要求提供身份证号码且无法定依据（如非法律授权的雇佣记录），即属违法，最高可处第3级罚款（现为1万港元），情节严重者或涉欺诈罪。执行通知违抗若资料使用者故意无视专员发出的执行通知，最高可处第6级罚款（现为10万港元）及监禁2年，并可能面临每日追加罚款直至合规。一般违规处罚如资料使用者无合理辩解而违反条例核心条款（如未获同意使用资料），最高可处第5级罚款（现为5万港元）及监禁2年，累犯者处罚加重。特殊场景应用06PART教育机构资料管理收集目的明确性教育机构须在收集学生或教职员个人资料时明确说明用途（如学籍管理、课程安排），确保符合条例中“直接相关目的”原则，不得超范围使用。资料安全保障需采取加密存储、访问权限控制等措施保护敏感信息（如成绩、健康记录），防止未经授权查阅或泄露，并定期审查系统安全性。查阅与更正机制学生及家长有权依据条例第6原则申请查阅或更正其个人资料，机构须在法定时限内响应并提供清晰指引。直销活动合规要点用户明示同意进行电话或邮件营销前，必须获得资料当事人明确同意（如勾选同意框），且需提供退出选项，否则可能构成“侵扰性推销”而违规。资料最小化原则仅收集必要信息（如姓名、联系方式），避免过度采集（如身份证号），并在活动结束后合理期限内删除非必要数据。第三方合作监管若委托外部公司处理数据（如呼叫中心），需通过合同明确其保密义务，确保符合条例第4原则的“转移限制”要求。活动透明度须向参与者公开资料使用政策（如存储期限、用途），并在抽奖等活动中遵守《推广生意的竞赛牌照》规定，确