前言
在香港经营公司，受保护资料的管理绝非一纸空文。无论是客户身份信息、员工薪酬记录，还是供应商的银行细节，一旦泄露，法律风险与商誉损失往往难以挽回。
2023年，香港个人资料私隐专员公署曾指出，中小企业因数据外泄平均需支付数十万港元的补救成本——这还不包括潜在的诉讼与监管罚款。基于《香港个人资料（私隐）条例》（下称“条例”），公司必须建立一套可执行的数据保护政策，而不能仅停留在“合规口号”层面。
恒诚作为持牌TCSP机构，常年协助企业落地隐私治理。以下从实务角度拆解，香港公司应如何系统保护受保护资料。
理解“受保护资料”的实际边界
条例界定的“个人资料”范围比想象中更宽：
- 任何能识别在世人士的信息，例如姓名、身份证号、电话号码、电邮地址、生物特征（指纹、人脸识别记录）
- 间接识别信息：住址、消费记录、社交媒体账号、IP地址（当组合后可指向特定个体）
- 敏感数据：医疗记录、犯罪记录、财务详情、政治意见等（虽未单独列类，但处理时需更高谨慎）
数据保护政策必须覆盖的全流程
一份有效的政策不仅声明“我们重视隐私”，更应明确：
- 收集目的与限度：只收集“必需”的信息。例如，收集客户护照副本应注明用途（如KYC核实），而非默认存为历史档案。
- 透明度义务：向资料主体提供《收集个人资料声明》，告知用途、查阅权及投诉渠道。
- 留存期限：条例要求资料保存不超过所需时间。恒诚建议设定期限表，如客户关系结束后7年（因应诉讼时效），但需因业务性质调整。
- 跨境传输限制：若公司将受保护资料转移至境外母公司或云服务商，需确保接收方具备同等保护水平。
三大执行要点：从政策到落地
1. 任命专人并建立问责体系
- 指定一名数据保护主任（可外包给TCSP），负责监控合规状态
- 每半年进行隐私影响评估（PIA），尤其在新系统上线或合作方变更时
- 记录所有资料处理活动（ROPA），以备私隐专员调查
2. 技术防御与访问管控
- 加密：静态资料（如服务器本地库）与传输中数据（如客户上传文件）应使用AES-256或同等强度
- 权限分级：仅相关岗位可接触受保护资料，并启用日志审计
- 伪匿名化：在测试或分析场景中使用假名数据，降低泄露风险
3. 应急响应与第三方管理
- 制定数据泄露应急预案，含通知公署及受影响个人的时限（条例要求“在可能情况下尽快”通知）
- 与云平台、会计师事务所、人力资源外包商等签数据处理协议，明确他们须遵守同等安全标准
- 定期演练：模拟一次钓鱼邮件导致员工误发客户名单，检验响应链是否通畅
文末提示：数据保护政策需要持续更新
法规、技术、业务模式都在变。一份锁在抽屉里的政策毫无价值。恒诚建议公司每12-18个月重审一次，并将政策嵌入到员工入职培训、供应商评估和年度审计中。
若您对受保护资料的合规框架仍有顾虑，或希望获得一份贴合香港实际的数据保护政策模板，欢迎联系恒诚。我们以TCSP持牌身份，提供从政策起草到内部审计的一站式隐私治理服务。
本文由恒诚TCSP团队撰写，内容不构成正式法律意见。具体操作请结合公司实际情况并咨询专业顾问。