说明：本文按 2026 年 5 月 22 日可检索的公开规则和监管资料写作，面向在香港地区运营网站、App、小程序、SaaS、会员系统、电商平台、内容社区和线上预约服务的产品、法务、合规和技术团队。文章讨论的是合规写作和产品落地方法，不构成针对个案的法律意见。
很多企业写香港业务的隐私政策和用户协议时，会直接拿中国大陆版、GDPR 版或美国加州版改地名。这是一个很常见、也很危险的做法。香港个人资料保护制度的主轴不是 GDPR 式的“六项合法基础”，也不是中国大陆《个人信息保护法》下以“单独同意、敏感个人信息、个人信息出境”为中心的体系。香港的核心是《个人资料（私隐）条例》（Personal Data (Privacy) Ordinance, Cap. 486，以下简称 PDPO）附表 1 的六项保障资料原则，以及围绕收集告知、目的限制、直接促销、资料保安、查阅和改正而形成的一整套监管实践。
因此，香港地区的网站、App、小程序要写好隐私政策和用户协议，第一步不是找模板，而是把三件事分清楚：收集个人资料声明、隐私政策声明和用户协议。收集个人资料声明通常对应用户在注册、下单、提交表单、开通会员、参加活动、授权定位或上传资料时看到的“即时告知”；隐私政策声明是面向公众长期公开的数据处理说明；用户协议则是服务合同，处理账号、服务规则、费用、知识产权、用户内容、责任限制、争议解决和终止等问题。三者可以相互链接，但不能互相替代。尤其不能把“用户继续使用即同意我们任意收集、使用、转移及营销”写成一个大而全的兜底条款。
一、香港隐私政策的法律底座：PDPO 六项保障资料原则
PDPO 适用于公私营部门，是香港处理个人资料的基础法律。条例使用“个人资料”概念，通常指关乎一名可识别在世个人、并以可实际查阅或处理形式存在的资料。网站、App、小程序中的姓名、电话、邮箱、地址、账号 ID、订单、支付记录、定位、设备识别符、登录日志、客服记录、照片、身份证明文件、健康资料、财务资料、儿童资料等，都可能落入个人资料范围。即使某些资料本身不直接写着用户姓名，只要结合账号、设备、订单、定位或其他资料可以实际识别用户，也不能简单当作“非个人资料”。
PDPO 附表 1 的六项保障资料原则，是香港隐私政策写作的骨架。
第一，DPP1 收集原则。个人资料的收集目的必须合法，并与资料使用者的职能或活动有直接关系；所收集资料应足够但不超乎适度；收集方式要合法和公平。直接向资料当事人收集资料时，还要告知资料用途、是否必须提供、不提供的后果、可能转交的资料接收者类别，以及查阅和改正资料的权利与联系人。对产品团队来说，这意味着注册页、下单页、预约页、活动页、会员页和权限弹窗不能只写一句“我们重视隐私”。你要说明为什么要收集、收集哪些、给谁、用户有什么权利。
第二，DPP2 准确性和保留期限原则。企业应采取所有切实可行步骤确保资料准确，并且不得保留超过达成原定目的所需的时间。PDPO 第 26 条还要求资料不再为使用目的所需时采取切实可行步骤删除，除非法律禁止删除或不删除符合公众利益。对电商、订餐、预约、会员积分、在线教育、招聘和金融科技服务来说，保留期限不是一句“我们会在合理期间内保存”就结束。至少要按账号资料、交易资料、客服记录、发票资料、日志、安全记录、营销同意记录分别设定保留逻辑。
第三，DPP3 使用原则。个人资料不得用于收集时原定目的以外的新目的，除非取得资料当事人的订明同意。“使用”包括披露和转移。这个原则对小程序和 App 特别重要：用户为配送填写地址，不等于同意把地址用于画像广告；用户为实名认证上传身份证明，不等于同意把证件资料用于会员营销；用户授权定位用于附近门店，不等于同意持续追踪活动轨迹。
第四，DPP4 资料保安原则。资料使用者应采取所有切实可行步骤，防止个人资料被未经授权或意外查阅、处理、删除、丧失或使用。PCPD 的资料保安指引强调，措施应结合资料种类、潜在损害、存储地点、设备安全、人员能力和传输安全等因素。香港 PDPO 没有像 GDPR 那样把“特殊类别个人数据”做成一个完整分类制度，也没有像中国大陆《个人信息保护法》那样定义“敏感个人信息”，但这不代表健康、金融、身份、儿童、定位、生物识别资料可以低标准处理。风险越高，安全措施就应越强。
第五，DPP5 公开透明原则。资料使用者应公开其个人资料政策和实务，说明持有的个人资料种类及主要使用目的。这就是隐私政策声明存在的直接依据。一个真正可用的香港隐私政策，不能只是“我们可能收集用户资料用于改善服务”。它应让用户和监管者看得出企业真实的数据流。
第六，DPP6 查阅和改正原则。资料当事人有权查阅及改正其个人资料。网站、App、小程序应在隐私政策中列明申请渠道、联系人、处理方式、身份核验要求和可能收费。仅在客服邮箱里收取请求，而后台完全无法检索、导出、改正用户资料，实务上是不够的。
二、先分清 PICS、PPS 和用户协议
香港 PCPD 在收集个人资料声明和隐私政策声明指引中，将 Personal Information Collection Statement（PICS）和 Privacy Policy Statement（PPS）作了清楚区分。PICS 是在收集具体个人资料时给用户的声明，服务于 DPP1(3) 的即时告知；PPS 是企业公开的整体个人资料政策，服务于 DPP5 的透明度要求。两者可以写在同一份隐私政策里，但在产品界面上要分别发挥作用。
举例说，一个餐饮外卖小程序在用户下单时收集姓名、电话、配送地址、门牌、支付资料和订单偏好。下单页面旁边应有简明 PICS，说明这些资料用于创建订单、配送、付款、售后、争议处理和必要记录保存；若不提供姓名、电话、地址，无法完成配送；资料可能转交配送员、支付服务商、云服务商和客服外包商；用户可通过何种方式查阅或改正资料。完整 PPS 则应进一步说明账号、订单、设备、日志、位置、Cookie、SDK、营销、跨境、保留、安全、儿童、资料外泄和权利请求等整体规则。
用户协议不应塞满隐私授权。它应回答的是“这个服务如何使用”：账号如何注册，用户不得做什么，平台能否审核内容，会员费用如何计算，退款条件是什么，虚拟权益如何失效，用户生成内容如何授权平台展示，平台什么时候可以暂停服务，争议在哪里解决。隐私政策回答的是“个人资料如何处理”。如果企业把隐私政策藏在用户协议第十七条，用一段“用户同意平台及关联方基于任何商业目的处理个人资料”打包解决所有数据问题，恰恰会暴露 PICS/PPS 不充分、同意不具体、直接促销不合规的问题。
三、香港网站、App、小程序隐私政策应写哪些内容
一份面向香港用户的隐私政策，建议至少包括以下模块。不是每个企业都要写成冗长文件，但只要业务涉及相应场景，就应具体、可理解、与真实系统一致。
1. 身份与适用范围
开头要写清楚谁是资料使用者：公司全称、注册地、联系地址、隐私联系人、适用的网站域名、App 名称、小程序名称、公众号、会员系统、线下门店或关联服务。多品牌、多主体、多地区运营时，不要用“本集团”含糊带过。若香港公司负责运营、内地公司提供技术、海外云服务商存储资料，应分别说明角色。若某些服务由第三方独立提供，例如支付、物流、地图、社交登录、广告网络，也应说明用户进入第三方服务后适用第三方政策。
2. 收集的个人资料类别
应按场景列明资料类别，而不是按法律抽象分类堆砌。常见写法包括：账号资料、联系方式、身份认证资料、交易和订单资料、付款资料、配送资料、客服和投诉资料、设备和日志资料、定位资料、用户内容、偏好和营销互动记录、活动报名资料、招聘资料、供应商或商户资料。对 App 和小程序，还应单列权限和接口，例如相机、相册、麦克风、定位、蓝牙、通讯录、剪贴板、通知、日历、运动健康、设备识别符、推送 token。对每一类权限，写清楚“何时请求、用于什么功能、拒绝后影响什么”。
这里最忌讳的是政策写得很大，产品收得更大。PCPD 对 App 的指引强调，开发者应在设计阶段采用 Privacy by Design，只在必要时访问、收集和使用资料；如访问一组系统权限但实际只使用部分资料，应向用户说明不会读取或使用哪些资料。香港没有把“过度索权”写成像某些大陆 App 整治通报那样的专门清单，但过度收集、目的不明、超出用户合理预期，同样可能落入 DPP1 和 DPP3 风险。
3. 使用目的
使用目的要具体到用户可理解。合理写法不是“用于业务运营、优化服务、商业分析及其他合法目的”，而是分层说明：创建和管理账号；验证身份和防欺诈；处理订单、配送、付款、退款和发票；提供预约、内容发布、会员积分、售后和客服；发送交易性通知；维护系统安全、排查故障、审计日志；统计分析和改善功能；在取得所需同意或提供退出机制后进行直接促销；遵守法律、监管、税务、会计和争议处理要求。
“改善服务”不能成为无限使用资料的口袋。若企业要做用户画像、个性化推荐、广告定向、A/B 测试、跨设备识别、会员价值分层、流失预测，应判断是否仍在原收集目的及用户合理预期内。若属于新目的，就应按 DPP3 取得订明同意。若涉及直接促销，还要进入 PDPO Part 6A 的特别规则。
4. 直接促销
直接促销是香港隐私合规中最容易出事的场景。PDPO Part 6A 对使用个人资料作直接促销，以及向第三方提供个人资料供其直接促销，规定了专门要求。企业在使用个人资料作直接促销前，应告知用户拟使用的个人资料种类、拟促销的货品、设施或服务类别，并说明未经用户同意不得使用。首次使用个人资料作直接促销时，还应通知用户可免费要求停止使用。用户要求停止后，企业须免费遵从。
如果企业把个人资料提供给第三方用于直接促销，要求更严。通常需要更清楚的书面告知和书面同意；若企业从提供资料中获得金钱或其他得益，也应说明。实践中，会员计划、积分联盟、优惠券合作、保险或金融产品转介、活动赞助商名单共享、抽奖活动后续营销，是最需要单独梳理的区域。
因此，香港版隐私政策中不建议使用“我们及我们的合作伙伴可能向你发送你可能感兴趣的资讯”这种泛化条款。更稳妥的写法是列明：会使用哪些资料，例如姓名、联系方式、会员等级、交易偏好；会推广哪些类别，例如本公司餐饮服务、会员优惠、联名活动，而不是“任何产品或服务”；是否会向第三方提供资料；用户如何选择同意或拒绝；如何随时退订；退订后多久生效；客服电话、邮箱、App 设置入口或小程序设置入口在哪里。
5. 第三方共享、资料处理者和 SDK
网站、App、小程序通常离不开云服务、支付、物流、短信、邮件推送、客服系统、数据分析、崩溃监控、地图、广告、反欺诈、内容审核、A/B 测试、社交登录和小程序平台能力。隐私政策应说明接收者类别、共享目的、资料类别和管理措施。对第三方 SDK，最好以清单方式披露 SDK 名称、运营方、收集资料类别、使用目的、是否涉及设备识别符、定位、剪贴板或广告追踪，以及第三方隐私政策链接。
香港 PDPO 下，资料处理者通常不是像 GDPR processor 那样被完整独立规管，主要责任仍落在资料使用者身上。资料使用者应通过合同或其他方式，确保处理者满足保留期限和资料保安要求。也就是说，不能因为“是云服务商泄露”“是外包客服下载”“是营销供应商误发”就把责任完全推出去。隐私政策写作应与供应商合同、数据处理协议、访问权限、日志审计、删除返还机制同步。
6. Cookie、追踪技术与广告
香港没有欧盟 ePrivacy 指令那样单独的 Cookie 同意制度。可是，如果 Cookie、像素、SDK、设备 ID、广告 ID、IP 地址、浏览行为、点击记录、购物车、搜索词或位置轨迹可以识别个人，仍应按 PDPO 的告知、目的限制、直接促销和安全原则处理。PCPD 也发布过网上追踪相关资料，提醒企业注意透明度和用户选择。
香港网站可以在 Cookie 政策中按必要、分析、功能、广告或社交插件分类说明。若面向欧盟用户，就不能只按香港规则处理非必要 Cookie；若面向美国加州用户，可能还要处理“出售/共享”个人信息、跨站行为广告、全局隐私控制信号等问题；若面向中国大陆用户，设备标识符、SDK、Cookie 追踪也可能落入个人信息处理规则，并需在 App 或小程序规则中清楚披露。
7. 跨境传输与云服务
香港跨境传输最容易被误写。PDPO 第 33 条确实规定了将个人资料转移至香港以外地方的限制，但截至 PCPD 公开口径，该条尚未实施。不能在政策中写成“香港法律已全面强制要求出境传输必须满足第 33 条条件”。准确写法应是：第 33 条尚未生效，但 PCPD 鼓励资料使用者参考相关指引、示范合约条款和最佳实践处理跨境转移。
第 33 条未实施，不等于跨境传输没有合规要求。只要香港业务把用户资料存放在境外云服务器、交由境外集团公司处理、接入境外客服系统、使用海外分析或广告 SDK，仍需回到 DPP1、DPP3、DPP4、DPP5 和 DPP6：收集时是否告知境外接收者类别和用途；转移是否仍在原目的范围内；境外处理者是否有合同约束；资料是否加密、分权、留痕；用户如何行使查阅和改正；保留期届满后如何删除或返还。PCPD 2022 年推荐的示范合约条款，分为资料使用者对资料使用者、资料使用者对资料处理者两类，适合集团共享、云外包、客服外包、营销处理和技术服务场景。
8. 资料保留、删除和账户注销
保留条款要和系统生命周期一致。建议隐私政策写出主要类别的保留原则：账号资料保留至账户注销后合理期间；订单、支付、发票、税务和会计记录按法律和争议处理需要保留；客服记录按投诉处理和质量管理需要保留；安全日志保留较短且固定期间；营销同意和退订记录保留至可证明合规所需期间；活动资料在活动结束和奖品发放后删除或匿名化。若产品支持账户注销，应说明注销入口、处理时间、注销后哪些资料会删除、匿名化或因法律义务继续保留。
停运、业务出售、系统迁移也要写入内部流程。PCPD 2025 年关注 Deliveroo 退出香港时客户、骑手和商户资料的处理，就是一个提醒：App 停运不是把服务器关掉就完事。用户资料要有删除、转移、告知、防诈骗和客服安排。
9. 资料保安和外泄通知
隐私政策不需要把所有安全架构公开，但应说明企业采取合理安全措施，例如访问控制、最小权限、加密、MFA、日志、漏洞管理、备份、员工培训、供应商管理和事件响应。香港目前一般没有 GDPR 式“72 小时内通知监管机构”的全面强制资料外泄通知制度。PCPD 的资料外泄处理和通知指引采用“应尽快通知”的建议性口径，尤其在可能对受影响人士造成真实损害风险时，应尽快通知 PCPD 和受影响资料当事人。若企业同时受金融、医疗、电讯、上市公司规则，或同时处理内地、欧盟、新加坡、美国州居民资料，则可能叠加其他强制通知要求。
10. 儿童和青少年
香港 PDPO 没有统一的数字同意年龄。PCPD 针对面向儿童的网上服务强调，面向儿童或受儿童欢迎的网站、论坛、App，应使用适龄、清楚、简单语言，尽量避免收集儿童个人资料，默认设置应更保护私隐，并提供易用删除机制。该资料单张通常以 18 岁以下人士作为儿童语境讨论。若服务面向儿童、学生、家庭、教育、游戏、玩具、社交或内容社区，应提供儿童友好版本告知，限制公开展示，慎用排行榜、定位、聊天、陌生人互动和广告追踪。对新目的使用儿童资料时，可能需要父母或监护人作为相关人士给予同意，具体仍要看资料类别、用途、儿童年龄和理解能力。
四、用户协议怎么写：别让服务条款成为合规短板
香港用户协议的法律基础不只来自普通合同法，还涉及电子交易、消费者保护、免责条款、公平交易和服务质量等规则。对网站、App、小程序而言，用户协议至少要满足两个目标：一是让用户在注册、下单、付费或使用关键功能前有合理机会阅读并明确接受；二是让关键条款本身清楚、合理、可执行。
香港《电子交易条例》（Cap. 553）确认电子记录和电子签名在许多场景下的法律效力，线上点击同意、勾选同意、电子订单和通知可以成为合同形成的重要证据。但这不代表所有网页底部链接都会当然绑定用户。跨法域的案例趋势都在提醒企业：browsewrap 风险高，clickwrap 更稳妥。对会员订阅、自动续费、虚拟权益、仲裁、责任限制、单方修改、隐私授权、营销同意等关键条款，应在注册或交易路径中显著提示并取得明确动作。
用户协议建议包括以下内容。
服务主体和适用范围。写清楚合同相对方、服务名称、地区、版本、适用用户、第三方服务边界。小程序尤其要说明平台方与商户、开发者、支付服务商、物流服务商之间的角色边界。
账号注册和安全。说明注册资格、资料真实性、账号保管、异常登录、未成年人使用、企业账号授权、账号注销。这里可以链接隐私政策，但不要用账号条款打包授权个人资料处理。
服务规则和禁止行为。列明用户不得上传违法、侵权、欺诈、骚扰、恶意代码、刷单、爬虫、绕过风控、滥用优惠、冒充他人或侵犯他人私隐的内容或行为。若服务涉及用户生成内容、评论、社群、二手交易、预约或骑手/商户端，应细化审核、下架、封禁和申诉。
费用、退款和自动续费。香港用户协议常见风险是促销页面说得很漂亮，协议里退款条件又写得极其苛刻。涉及消费者时，还要注意《商品说明条例》（Cap. 362）下误导性遗漏、虚假商品说明、不良营商手法等风险。收费条款应写清价格、税费、账单周期、试用期、自动续费、取消路径、退款条件、虚拟商品或积分有效期。不要把“本公司拥有最终解释权”当作万能条款。
用户内容和知识产权。如果用户会上传文字、图片、视频、评价、头像、作品、课程作业或商户资料，协议应说明用户保留的权利、授予平台展示和运营服务所需的许可、平台可处理侵权投诉、删除或屏蔽内容的条件。许可范围应与服务目的匹配，不建议无差别写成“全球、永久、不可撤销、免费、可转授权、用于任何商业目的”，除非业务确实有必要且已充分提示。
责任限制和免责声明。香港《管制免责条款条例》（Cap. 71）要求某些免责和限制责任条款符合合理性要求；《不合情理合约条例》（Cap. 458）也可能影响消费者合约中的苛刻条款；《服务提供（隐含条款）条例》（Cap. 457）涉及服务以合理谨慎和技术提供、在合理时间内完成、收取合理费用等隐含条款。用户协议可以合理限制间接损失、不可抗力、第三方服务、用户过错等责任，但不宜试图排除所有责任，尤其不宜把数据泄露、重大过失、虚假宣传、付费服务无法交付全部写成“平台概不负责”。
协议变更和通知。企业需要保留调整服务的空间，但单方修改条款也要有边界。建议写明变更原因、通知方式、生效时间、重大变更提前通知、用户不同意时的退出路径、历史版本留存。涉及隐私政策重大变更、直接促销、新共享对象、新跨境处理、新付费规则时，不能只靠“继续使用视为同意”解决全部问题。
适用法律和争议解决。面向香港用户的服务通常选择香港法律和香港法院管辖，或选择香港仲裁。若使用仲裁、线上仲裁、不对称管辖、集体争议放弃、费用承担等条款，应显著提示。2025 年香港关于线上仲裁通知的案件讨论表明，短信链接、线上通知和默认仲裁规则在数字合同中可能产生争议。对消费者产品来说，争议条款的程序公平和实际通知非常重要。
五、小程序的特殊问题：香港法、平台规则与跨境业务叠加
香港法律本身通常不会因为服务叫“小程序”就适用另一套完全不同的隐私法规。小程序在香港合规上可以理解为“嵌入第三方平台的轻量 App”。它同时受到三层规则影响：第一，面向香港用户处理个人资料，要遵守 PDPO；第二，要遵守平台规则，例如微信小程序、支付宝小程序、Apple、Google 或其他平台对隐私政策、权限、SDK、用户授权、账号注销、支付和内容的要求；第三，如果运营主体、服务器、用户、营销或数据处理链条连接中国大陆、新加坡、欧盟或美国，还可能叠加当地法律。
实际写作时，小程序隐私政策应特别说明平台能力调用和第三方角色。例如，使用微信登录时会取得哪些公开资料或标识符；调用手机号快捷验证时会取得什么；使用位置服务、相册、摄像头、麦克风、蓝牙、订阅消息、支付、客服消息时分别用于什么功能；拒绝授权后是否还能使用基础功能；用户如何在平台设置中撤回授权；小程序开发者、商户、平台和第三方服务商分别承担什么角色。若小程序同时服务香港和内地用户，不能只写香港版 PDPO 政策。内地用户场景通常还要考虑个人信息处理规则、单独同意、敏感个人信息、未满十四周岁儿童个人信息、第三方 SDK 清单、账号注销和个人信息出境等要求。
六、香港与中国大陆、新加坡、美国、欧盟的关键差异
| 主题 | 香港 | 中国大陆 | 新加坡 | 美国 | 欧盟 |
|---|---|---|---|---|---|
| 制度主轴 | PDPO 六项保障资料原则，强调公平收集、目的限制、透明、保安、查阅和改正。 | 《个人信息保护法》与网信、App、数据出境规则，强调处理规则、同意、单独同意、敏感个人信息和个人权利。 | PDPA 以通知、同意、目的限制、保护、保留、转移限制、访问改正等义务为主。 | 无统一综合联邦隐私法，FTC、COPPA、行业法和州法并行；加州等州规则影响大。 | GDPR 加 ePrivacy，强调合法基础、透明、权利、问责、跨境传输和高额罚款。 |
| 同意和合法基础 | 不是 GDPR 式合法基础体系；直接促销和新目的使用特别依赖具体同意。 | 同意很核心，敏感个人信息、向第三方提供、公开和跨境通常需单独同意或特定条件。 | 通知加同意，部分场景可有默示同意或例外，用户可撤回同意。 | 多为通知、选择退出、禁止欺骗或不公平；敏感资料和定向广告按州或行业变化。 | 需 Art. 6 合法基础；同意只是其中一种，特殊类别还需 Art. 9 条件。 |
| 跨境传输 | PDPO 第 33 条尚未实施，但应参考 PCPD 指引、示范合约条款和 DPP 处理。 | 可能涉及安全评估、标准合同、认证、个人告知和单独同意，2024 年规则对部分场景作了便利化安排。 | 组织需确保境外接收方提供与 PDPA 可比的保护。 | 通常没有全面出境传输限制，但行业、合同、FTC 承诺和国际数据框架会影响。 | 充分性决定、SCC、BCR 和例外机制，并需关注转移影响评估。 |
| Cookie 和追踪 | 无欧盟式单独 Cookie 同意法；可识别个人时按 PDPO、直接促销和透明原则处理。 | 设备 ID、SDK、Cookie 涉及个人信息时适用 PIPL 和 App/小程序披露规则。 | 无专门 Cookie 同意制度，但涉及个人数据时适用 PDPA。 | 州法关注 sale/share、targeted advertising、GPC 和敏感数据；联邦层面还看 FTC 和 COPPA。 | 非必要 Cookie 和终端访问通常需事前同意，另叠加 GDPR。 |
| 儿童 | 无统一数字同意年龄；PCPD 强调儿童友好告知、默认保护和减少收集。 | 未满十四周岁儿童个人信息属敏感个人信息，通常需监护人同意并制定专门规则。 | PDPC 指南中，面向 13 岁以下儿童通常需要父母或监护人同意。 | COPPA 保护 13 岁以下儿童，青少年隐私规则还要看州法。 | GDPR 默认 16 岁，成员国可降至 13 至 16 岁区间；儿童告知需清楚易懂。 |
| 数据泄露通知 | 一般无全面强制通知时限；PCPD 建议尽快通知 PCPD 和受影响人士，尤其存在真实损害风险时。 | 发生或可能发生泄露等安全事件，应采取补救并按规则通知监管部门和个人。 | 有强制数据泄露通知义务，达到重大损害或规模门槛时通知 PDPC 和个人。 | 50 州及 DC 等均有泄露通知法，触发条件和时限差异很大。 | 通常 72 小时内通知监管机构，除非不太可能造成风险；高风险时通知个人。 |
从写作角度看，香港版文件最需要避免两种错误：一是照抄 GDPR，把所有处理都写成“基于合同必要、合法利益或同意”，却没有把 PICS、PPS、直接促销和 DPP 写实；二是照抄中国大陆版，把“敏感个人信息”“单独同意”“个人信息出境标准合同”写成香港本地强制要求，却没有说明 PDPO 第 33 条未实施、香港没有同类敏感个人资料分类制度。多地区业务可以做一份全球隐私政策，但香港章节必须保留本地差异。
七、案例：监管真正关心什么
八达通 Rewards 计划。2010 年 PCPD 对八达通 Rewards 计划的调查，是香港隐私政策写作的经典案例。问题不只是“有没有隐私政策”，而是会员资料被转交给保险和服务公司作直接促销、PICS 字体过小、资料受让方类别过泛、出售或转移资料带来的商业收益未清楚告知，并且收集部分资料是否超乎适度。这个案例告诉企业：会员计划、积分生态和联名营销不能靠小字和宽泛第三方授权处理。
A.S. Watson MoneyBack。PCPD 2012 年调查屈臣氏集团 MoneyBack 会员计划时，同样关注身份证号码部分收集、用途和资料受让方说明不清等问题。对今天的 App 会员、商场积分、小程序优惠券和跨品牌会员联盟来说，启示非常直接：越是营销生态，越要把资料类别、共享对象、促销类别、退出机制和得益安排说清楚。
HKPA / Aegon Direct 健康检查电话营销。该案中，机构以免费体检等形式收集大量个人资料，再出售或转交保险营销。PCPD 认为相关收集和转移存在误导和告知不足，并发出执行通知。今天很多线上获客活动也有类似风险：免费测评、抽奖、白皮书下载、预约体验、优惠券领取，如果真实目的包括销售线索转介或保险、贷款、课程营销，就要前置告知，不能把商业目的藏在活动规则末尾。
“Do No Evil” App。该 App 汇集诉讼、破产、公司董事等公开资料，供用户按姓名或地址查询背景。PCPD 认为，公开资料的再聚合和再利用作背景调查，可能超出原收集目的和资料当事人的合理预期。这个案例对数据产品、风控产品、招聘背景调查、房产平台、二手交易和社区搜索都有启示：资料公开过，不代表可以无限抓取、整合、画像、索引和商业化。
PARKnSHOP、Citibank、KOA 等直接促销定罪。这些案件的共同点是用户已经拒绝或未同意直接促销，但仍收到推广邮件或电话，企业最终被罚。它们说明，隐私政策里的退订条款不是装饰。后台系统要能记录同意来源、时间、版本、渠道、营销类别和撤回状态；营销名单、外呼系统、邮件系统、门店 CRM、第三方营销供应商之间要同步。中小企业不能以系统失误或人为错误作为当然抗辩。
Cathay Pacific 和 HKBN 数据泄露。国泰及港龙约 940 万乘客资料被未授权访问，PCPD 关注漏洞管理、多因素认证、备份加密、资料盘点和身份证号码保留等问题。HKBN 案中，旧数据库在系统迁移后未删除、未加密，远程访问缺少双重认证，导致大量客户资料泄露。这类案件说明，隐私政策只是入口，真正的合规还要落到资料资产清单、最小保留、系统退役、加密、MFA、漏洞修补和事件响应。
网上订餐和发票链接案例。PCPD 个案中，食物外送公司因服务器文件夹访问权限错误，导致客户订单、姓名、地址、电话、邮箱可被公开访问；另有网上商店向客户发送未加密发票链接，用户只需修改链接末几位即可查看他人发票。对网站和小程序开发者来说，教训很具体：订单页、发票页、下载链接、后台接口不能依赖“链接没人知道”；可预测编号、无鉴权接口、前端隐藏字段、API 返回过多资料，都可能成为 DPP4 问题。
境外对照案例。美国 VTech 案中，香港公司伟易达因联网玩具和儿童服务涉及 COPPA 通知、父母同意和安全承诺问题，与 FTC 达成和解并支付 65 万美元。欧盟 Meta 行为广告案提醒企业，不能轻易把行为广告包装成履行服务合同“必要”的处理。中国大陆滴滴案则显示，大型 App 的个人信息、数据安全和国家安全问题可能触发高额罚款、整改和负责人责任。对香港企业而言，这些案例的共同启示是：如果产品跨境服务用户，合规文件不能只按香港本地最低要求写。
八、可直接落地的写作清单
如果现在要为香港网站、App 或小程序重写文件，可以按以下步骤推进。
第一步，做数据地图。列出每个功能收集什么资料、由谁收集、存在哪里、谁能访问、给谁共享、保留多久、删除机制是什么。没有数据地图，隐私政策只能凭想象写。
第二步，拆分 PICS 和 PPS。注册、下单、活动报名、定位授权、身份证明上传、营销订阅、儿童资料收集、商户入驻等关键节点提供简短 PICS；完整 PPS 放在网站页脚、App 设置、小程序资料页和注册路径中。
第三步，重写直接促销条款。把营销资料类别、促销产品类别、是否向第三方提供、是否有得益、同意方式和免费退出方式单独写清楚。不要预勾选，不要把沉默当同意，不要让用户为了使用核心服务被迫同意无关营销。
第四步，披露 App 和小程序权限。每个权限对应一个功能目的。相机用于扫码或上传头像，定位用于门店距离或配送地址，麦克风用于语音客服，通知用于订单状态。拒绝授权后，应说明影响范围，而不是阻断全部服务。
第五步，补第三方 SDK 和供应商清单。至少覆盖云、支付、物流、短信、邮件、推送、地图、客服、分析、广告、崩溃监控、反欺诈、内容审核。供应商合同要包括保密、用途限制、访问控制、分包、跨境、删除返还、外泄通知和审计配合。
第六步，单列跨境和云处理。写清境外存储或处理的类别、地区或接收者类别、安全措施和合同措施。不要误写第 33 条已经强制实施，但要说明企业会参考 PCPD 指引和示范合约条款采取保护。
第七步，落地权利请求。隐私政策写了查阅和改正，就要有真实流程：入口、身份核验、工单、内部响应人、系统检索、导出、改正、拒绝理由、记录留存。账户注销、删除和退订也要可测试。
第八步，重构用户协议。把合同条款和隐私授权分开。关键收费、自动续费、退款、封号、内容授权、免责、争议解决和协议变更都要显著、合理、可解释。消费者服务尤其不要依赖“最终解释权”“概不负责”“随时修改且无需通知”这类条款。
第九步，做版本管理。每次隐私政策和用户协议更新都应保留版本号、生效日期、修改摘要、通知记录和用户同意记录。发生争议时，企业要证明用户当时看到并接受的是哪个版本。
第十步，做产品验收。合规文件发布前，法务、产品、研发和运营应一起走一遍真实流程：注册、下单、定位、上传、授权、营销订阅、退订、注销、客服、退款、删除请求、数据导出。文件里写得到，系统里做不到，就是未来的风险点。
九、一个推荐的文件结构
隐私政策建议目录：1. 我们是谁及本政策适用范围；2. 我们收集的个人资料；3. 收集和使用目的；4. Cookies、SDK 和类似技术；5. 直接促销；6. 个人资料共享、转移和委托处理；7. 跨境传输和云服务；8. 资料保留和删除；9. 资料保安；10. 资料外泄处理；11. 用户查阅、改正、退订和注销；12. 儿童和青少年资料；13. 第三方链接和服务；14. 政策更新；15. 联系我们。
用户协议建议目录：1. 服务主体和适用范围；2. 账号注册、使用和安全；3. 服务内容和变更；4. 用户行为规范；5. 用户内容和知识产权；6. 费用、付款、退款和自动续费；7. 第三方服务；8. 服务暂停、终止和账户注销；9. 免责声明和责任限制；10. 通知和协议变更；11. 适用法律和争议解决；12. 联系方式；13. 隐私政策链接。
最终要记住的是，香港隐私政策不是“少写点就风险小”，也不是“写得越宽越安全”。监管真正看的是：你是否在收集时说清楚，是否只为合理目的收集足够但不过度的资料，是否按原目的使用，是否对直接促销取得所需同意，是否能让用户查阅和改正，是否采取切实可行的安全措施，是否在系统、供应商和运营流程中真正执行。用户协议也是同样逻辑：不是把平台权利写到最大就最安全，而是让条款清楚、显著、合理，并能经得起产品流程和消费者场景检验。
参考资料
[1] Office of the Privacy Commissioner for Personal Data, Hong Kong. The Personal Data (Privacy) Ordinance at a glance[EB/OL]. [2026-05-22]. https://www.pcpd.org.hk/english/data_privacy_law/ordinance_at_a_Glance/ordinance.html
[2] Hong Kong e-Legislation. Personal Data (Privacy) Ordinance (Cap. 486)[EB/OL]. [2026-05-22]. https://www.elegislation.gov.hk/hk/cap486
[3] PCPD. Guidance on Preparing Personal Information Collection Statement and Privacy Policy Statement[EB/OL]. [2026-05-22]. https://www.pcpd.org.hk/misc/dpoc/files/pics_and_pps.pdf
[4] PCPD. Guidance on Direct Marketing[EB/OL]. [2026-05-22]. https://www.pcpd.org.hk/english/resources_centre/publications/files/GN_DM_e.pdf
[5] PCPD. Guidance on Personal Data Protection in Cross-border Data Transfer[EB/OL]. [2026-05-22]. https://www.pcpd.org.hk/english/resources_centre/publications/guidance/files/GN_crossborder_e.pdf
[6] PCPD. Recommended Model Contractual Clauses for Cross-border Transfer of Personal Data[EB/OL]. [2026-05-22]. https://www.pcpd.org.hk/english/resources_centre/publications/files/guidance_model_contractual_clauses.pdf
[7] PCPD. Guidance on Data Breach Handling and Data Breach Notifications[EB/OL]. [2026-05-22]. https://www.pcpd.org.hk/english/resources_centre/publications/files/guidance_note_dbn_e.pdf
[8] PCPD. Guidance Note on Data Security Measures for Information and Communications Technology[EB/OL]. [2026-05-22]. https://www.pcpd.org.hk/english/resources_centre/publications/files/guidance_datasecurity_e.pdf
[9] PCPD. Best Practice Guide for Mobile App Development[EB/OL]. [2026-05-22]. https://www.pcpd.org.hk/english/resources_centre/publications/files/Best_Practice_Guide_for_Mobile_App_Development_20151103.pdf
[10] PCPD. Collection and Use of Personal Data through the Internet: Points to Note for Data Users Targeting at Children[EB/OL]. [2026-05-22]. https://www.pcpd.org.hk/english/resources_centre/publications/files/guidance_children_e.pdf
[11] PCPD. Report on the Octopus Rewards Programme[EB/OL]. [2026-05-22]. https://www.pcpd.org.hk/english/publications/files/OctopusReport_e.pdf
[12] PCPD. Investigation Report: A.S. Watson Group (Hong Kong) Limited MoneyBack Programme[EB/OL]. [2026-05-22]. https://www.pcpd.org.hk/english/publications/files/R12_3890_e.pdf
[13] PCPD. Investigation Report: Cathay Pacific Airways Limited and Hong Kong Dragon Airlines Limited[EB/OL]. [2026-05-22]. https://www.pcpd.org.hk/english/news_events/media_statements/press_20190606.html
[14] PCPD. Investigation Report: Hong Kong Broadband Network Limited[EB/OL]. [2026-05-22]. https://www.pcpd.org.hk/english/enforcement/commissioners_findings/investigation_reports/files/PCPD_Investigation_Report_R19-5759_Eng.pdf
[15] 中央网络安全和信息化委员会办公室. 中华人民共和国个人信息保护法[EB/OL]. (2021-08-20)[2026-05-22]. https://www.cac.gov.cn/2021-08/20/c_1631050028355286.htm
[16] Cyberspace Administration of China. 促进和规范数据跨境流动规定[EB/OL]. (2024-03-22)[2026-05-22]. https://www.cac.gov.cn/2024-03/22/c_1712776611775634.htm
[17] Personal Data Protection Commission Singapore. Personal Data Protection Act and Data Protection Obligations[EB/OL]. [2026-05-22]. https://www.pdpc.gov.sg/overview-of-pdpa/the-legislation/personal-data-protection-act
[18] Federal Trade Commission. Complying with COPPA: Frequently Asked Questions[EB/OL]. [2026-05-22]. https://www.ftc.gov/business-guidance/resources/complying-coppa-frequently-asked-questions
[19] California Office of the Attorney General. California Consumer Privacy Act (CCPA)[EB/OL]. [2026-05-22]. https://www.oag.ca.gov/privacy/ccpa
[20] European Union. Regulation (EU) 2016/679, General Data Protection Regulation[EB/OL]. [2026-05-22]. https://eur-lex.europa.eu/eli/reg/2016/679/oj