香港私隱條例直接促銷同意規則

香港私隱條例直接促銷同意規則

根據《個人資料（私隱）條例》（第486章）（下稱「私隱條例」），企業在進行直接促銷前，必須取得資料當事人的明確同意。這項「香港直接促銷同意」要求並非單純的選項框勾選，而是涉及收集、使用及轉移個人資料的完整合規框架。本文聚焦於條例第35條，解釋「明示自願同意」的標準，並說明企業在直接促銷活動中的具體義務，包括提供拒絕選項（opt-out）的方法及違規罰則。

直接促銷同意的法律基礎

私隱條例第35條規定，資料使用者（即企業）如擬使用或提供個人資料作直接促銷，必須遵守特定的同意要求。直接促銷的定義涵蓋透過郵件、電話、電郵、短訊或社交媒體等方式，向特定人士推廣商品、服務或籌集資金。企業必須在首次使用資料作促銷前，取得資料當事人的「明示自願同意」（express voluntary consent）。這與一般商業溝通不同, , 例如發送發票或帳單通知，不屬於直接促銷，無需取得同意。此為「direct marketing consent hong kong」的核心法律要求。

收集資料時的告知義務

企業在收集個人資料時，必須同時告知資料當事人以下事項： - 企業擬使用其個人資料作直接促銷； - 該等資料的類別（例如姓名、電話號碼、電郵地址）； - 企業是否擬將資料轉移予第三者作促銷用途； - 提供拒絕選項（opt-out）的方法。

這項告知必須以清晰易明的方式呈現，通常透過收集資料時的「收集個人資料聲明」（PICS）或獨立同意書處理。企業不得將同意條款隱藏在一般條款及細則中，否則該同意可能被視為無效。

使用個人資料作直接促銷的同意要求

當企業擬使用已收集的個人資料作直接促銷時，必須取得資料當事人的「書面同意」（written consent）。書面同意不限於紙本文件，電子方式（如電郵、網上表格）亦符合要求，前提是該同意是自願及明確的。企業必須保留該同意的記錄，以備日後查核。

私隱條例並未規定同意必須是「opt-in」或「opt-out」，但實務上，香港個人資料私隱專員公署（OPC）建議採用「opt-in」模式，即資料當事人主動勾選同意，而非預設同意後提供拒絕選項。這與歐盟《通用數據保障條例》（GDPR）的原則一致，但香港條例本身容許兩種模式，只要同意是自願及明確的。這亦是「hong kong pdpo consent」的關鍵考量。

轉移個人資料予第三者作直接促銷

如企業擬將個人資料轉移予第三者（例如市場推廣公司或合作夥伴）作直接促銷，必須遵守更嚴格的規定。企業必須： 1. 在收集資料時告知資料當事人該轉移的意圖； 2. 取得資料當事人的書面同意； 3. 在首次轉移時，向資料當事人提供該第三者的名稱及聯絡資料； 4. 提供拒絕選項，讓資料當事人可隨時要求停止轉移。

這項規定適用於任何形式的資料轉移，包括共享客戶名單、租用資料庫或委託第三方進行促銷活動。企業必須確保第三者同樣遵守私隱條例的規定，否則企業本身仍須承擔責任。此乃「pdpo direct marketing」活動中涉及資料轉移時的特定要求。

提供拒絕選項（opt-out）的具體方法

私隱條例要求企業在每次直接促銷通訊中，提供清晰及易用的拒絕選項。具體方法包括： - 在電郵中加入「取消訂閱」（unsubscribe）連結； - 在短訊中提供回覆「STOP」的指令； - 在郵件中附上回郵地址或電話號碼； - 在電話促銷中提供即時拒絕選項。

企業必須在收到拒絕要求後的合理時間內（通常為30天內）停止使用該資料作直接促銷。拒絕選項不得設置不合理的障礙，例如要求資料當事人登入帳戶或填寫冗長表格。OPC的《直接促銷實務守則》建議，拒絕選項應免費提供，且不應要求資料當事人提供額外個人資料。

違規罰則

違反私隱條例第35條的規定，可構成刑事罪行。根據條例第64條，資料使用者如未取得所需同意而使用或轉移個人資料作直接促銷，一經定罪，最高可被罰款港幣500,000元及監禁3年。此外，OPC有權發出執行通知（enforcement notice），要求企業停止違規行為，並採取補救措施。不遵從執行通知亦屬違法，最高罰款港幣50,000元及監禁2年，另加每日罰款港幣1,000元。

實務建議

企業應建立一套完整的直接促銷合規程序，包括： - 在收集資料時使用標準化的同意書； - 定期檢討同意記錄，確保資料當事人的選擇已獲尊重； - 培訓員工了解私隱條例的要求； - 與第三者訂立資料處理協議，明確雙方的責任； - 保留所有同意記錄至少7年，以應付OPC的查詢。

OPC的官方網站（www.pcpd.org.hk）提供《直接促銷實務守則》及相關指引，企業應定期查閱以確保合規。如涉及跨境資料轉移，企業亦須考慮《個人資料（私隱）條例》第33條（尚未生效）的潛在影響，但現階段仍以第35條的同意要求為核心。

常見誤解

部分企業誤以為只要在收集資料時提供「拒絕選項」即可，無需取得明確同意。這是不正確的, , 私隱條例要求的是「同意」，而非單純的「不反對」。另一常見誤解是，企業認為已與客戶建立關係，即可自動使用其資料作促銷。事實上，即使客戶是現有客戶，企業仍須取得其同意，除非該促銷與客戶原本的業務關係直接相關（例如銀行向客戶推廣其他銀行產品，仍須取得同意）。