香港跨境數據轉移的規則與《個人資料（私隱）條例》合規指引

香港跨境數據轉移規則及PDPO合規指引

根據《個人資料（私隱）條例》（第486章），將個人資料從香港轉移至境外時，數據使用者必須遵守保障資料原則，特別是第4原則及保障資料附例第9條。香港跨境數據轉移並非完全禁止，但數據使用者須採取合理步驟，確保接收方對所轉移的個人資料提供與條例相當的保障。本文圍繞這些法律要求，詳述數據出境的法律基礎、合約保障及風險評估。

個人資料私隱專員公署的角色

個人資料私隱專員公署（PCPD）是執行《個人資料（私隱）條例》的法定機構。公署負責監管數據使用者是否遵守保障資料原則，並可就跨境數據轉移發出指引及實務守則。數據使用者若違反條例規定，公署可發出執行通知，要求糾正違規行為；屢犯者可能面臨刑事責任，最高可被罰款HK$50,000及監禁兩年。公署亦設有《跨境數據轉移合約條款範本》，為企業提供合規參考。

保障資料原則與數據出境

保障資料原則（Data Protection Principles）是條例的核心框架。第4原則規定，數據使用者須採取所有切實可行的步驟，確保所持有的個人資料未經資料當事人同意，不得用於新目的。當數據轉移至境外時，數據使用者必須確保接收方不會違反原始收集目的。此外，保障資料附例第9條具體列出轉移個人資料至香港以外地方時，數據使用者須告知資料當事人轉移的目的、接收方類別，並取得其同意，除非有法定豁免（例如為保障資料當事人的重大利益）。

數據出境合約的關鍵條款

數據出境合約（Data Export Contract）是合規的核心工具。數據使用者應與境外接收方簽訂書面合約，明確以下條款： - 接收方須遵守與香港條例「相當的保障」標準，包括限制資料使用目的、保存期限及安全措施。 - 資料當事人有權查閱及更正其個人資料，接收方須配合處理。 - 合約須訂明資料洩漏時的責任歸屬及通報機制。 - 建議採用私隱專員公署發佈的《跨境數據轉移合約條款範本》，該範本已涵蓋上述要求，可減少自行草擬的法律風險。

國際數據傳輸的風險評估

國際數據傳輸（International Data Transfer）涉及不同司法管轄區的法律差異。數據使用者須進行風險評估，考慮以下因素： - 接收方所在國家或地區是否有與香港相當的數據保護法例。例如，歐盟《通用數據保障條例》（GDPR）被視為提供足夠保障，但某些國家可能缺乏法定私隱框架。 - 接收方是否受當地政府監控或數據存取權限影響，可能導致資料當事人權利受損。 - 數據使用者應記錄評估結果，作為合規證據。若風險過高，應考慮不進行轉移，或要求接收方提供額外保障措施（如合約條款或技術加密）。

同意與通知的具體要求

數據使用者轉移個人資料前，必須向資料當事人提供清晰的通知，內容包括： - 轉移的目的及必要性。 - 接收方的名稱及所在地。 - 資料當事人拒絕同意的後果（如無法提供服務）。 - 資料當事人有權撤回同意，但撤回不影響撤回前已進行的轉移。 同意必須是自願、具體且知情下作出的。對於敏感資料（如健康、財務資訊），建議採用書面同意形式，以備查核。

豁免與例外情況

條例第33條及附表1第4原則設有若干豁免，數據使用者無須取得同意即可轉移個人資料： - 為保障資料當事人的重大利益（如緊急醫療）。 - 為遵守法律規定或法院命令。 - 資料已屬公開範疇（如公眾登記冊）。 - 轉移是為執行合約所必需（如跨境支付處理）。 但數據使用者仍須確保接收方提供相當保障，否則可能違反第4原則。

違規後果與執法案例

私隱專員公署曾就跨境數據轉移發出執行通知，要求企業停止未經授權的轉移。例如，2023年公署對一家將客戶資料轉移至未提供足夠保障的境外服務商的金融機構採取行動，罰款HK$30,000並要求整改。數據使用者若未遵守執行通知，可被檢控，最高罰款HK$50,000及監禁兩年。此外，資料當事人可向公署投訴，或直接向法庭提出民事索償。

實務建議

• 建立內部數據轉移政策，涵蓋所有境外接收方。
• 定期審查合約條款，確保與私隱專員公署的最新範本一致。
• 對高風險司法管轄區進行額外盡職調查，包括當地法律環境及執法記錄。
• 保留同意記錄、風險評估文件及合約副本至少七年，以備公署查核。

數據使用者應將跨境數據轉移視為持續合規責任，而非一次性程序。私隱專員公署的指引及範本提供清晰路徑，但最終責任在於數據使用者確保資料當事人的權利不受損害。