香港個人資料私隱條例對IT系統有何要求？

條例規管的是資料流程，不是產品

條例的核心概念是「資料使用者」與「個人資料」。只要機構控制個人資料的收集及使用方式，責任便由該機構承擔，與使用哪一套軟件或由誰負責維修無關。這一點決定了合規工作的起點：先畫出資料由哪裡進入系統、經過哪些資料庫與備份、由哪些帳戶可以讀取、最後如何刪除。

資料清單完成後，六項原則便有具體對象。原則涵蓋收集目的與方式、準確性與保留期、使用限制、保安、政策透明，以及當事人的查閱與更正權。技術措施本身不是目的，能否證明資料只按原定用途被使用，才是審查時的關鍵。

原則對照系統設計

設計時值得把第2條與第4條一併考慮。保留期越長，需要保護的資料量越大，備份與離線媒體的風險亦相應上升；縮短保留期往往比不斷加裝保安工具更有效降低風險。

外包與代理人安排

大部分機構的系統由外部供應商開發、託管或維修。條例的立場是責任留在資料使用者身上，因此合約與技術控制須互相配合。實務上應在服務協議寫明處理範圍、不得用於其他用途、保留期、刪除方式、分包安排及事故通知時限，並在系統層面限制供應商的存取：使用具名帳戶而非共用帳戶、按需開啟遠端接入、保留操作日誌。

維修場景亦要處理。工程人員為排查問題而取走硬碟或匯出資料庫副本時，應有審批記錄及交還安排，事後確認副本已刪除。測試與示範環境如需真實資料，宜先作遮蔽或以合成資料替代，這是最常被忽略但風險甚高的一環。

香港實際環境的考慮

香港中小企普遍以租用單位運作，伺服器往往放在辦公室一角或小型機櫃，與弱電設備共處同一空間。物理保安因此屬於原則第4條的一部分：機櫃是否上鎖、誰持有鑰匙、備份硬碟是否放在無人看管的抽屜，都會在事故調查時被追問。空間有限時，至少應把備份媒體鎖存並記錄取用。

另一個常見情況是系統與樓宇弱電共用網絡。門禁、閉路電視及考勤系統同時儲存員工資料，若與辦公網絡完全平面互通，任何一台受感染電腦都可能觸及這些資料。把弱電系統獨立分段、限制管理介面只由指定工作站存取，是成本較低而效果明顯的做法。

人手方面，本地團隊多數沒有專責私隱人員，職責常落在IT主管身上。可行的安排是把資料清單、保留期表及權限清單維持成三份可更新文件，每半年覆核一次，並在系統更換或供應商變動時即時更新，避免文件與現實脫節。

落實步驟

1. 建立資料清單——記錄每個系統儲存的個人資料類別、位置、負責人及對外傳送情況。
2. 核對收集範圍——檢視表單及資料庫欄位，刪去用途不明的項目，更新收集個人資料聲明。
3. 設定保留期——為每類資料定出保留年期，並在系統及備份層面落實自動處理。
4. 收緊權限——改用具名帳戶、按角色分配權限、對管理介面加設多重驗證。
5. 整理日誌——集中保存存取與匯出日誌，設定合理保留期及檢視頻率。
6. 更新供應商合約——加入用途限制、刪除責任、分包披露及事故通知條款。
7. 演練查閱及洩漏處理——測試能否在時限內整合資料回覆當事人，並排練洩漏通報流程。

常見問題

權威參考來源

• 私隱專員公署《The Six Data Protection Principles》
• Guidance Note on Data Security Measures for Information and Communications Technology（私隱專員公署）
• NIST SP 800-171 Rev. 3（Protecting Controlled Unclassified Information）

延伸閱讀