《私隱條例》與僱員福利資料合規：香港僱主實務指南

重點摘要

僱員福利資料通常把一般的僱傭紀錄與健康、家屬及財務資料結合在一起。因此，一套實用的《個人資料（私隱）條例》合規計劃需要明確的目的、受控的披露、合理的保安措施，以及一套可重複使用的方式回應僱員的要求。

• 將登記參加、索償、報銷及家屬資料視為僱員資料生命周期的一部分。
• 只收集足夠、相關且與已聲明福利目的有關的資料。
• 在僱員登記參加前，解釋資料將如何被使用、披露、儲存及保留。
• 在供應商及承辦商協議中，清楚訂明私隱、保安、存取及刪除責任。
• 定期檢討程序，並保留決策、存取、改正及事故的證據。

了解《個人資料（私隱）條例》如何適用於僱員福利資料

《個人資料（私隱）條例》規管在香港收集、持有、處理、使用及披露個人資料的方式。對僱主而言，福利管理並非獨立的私隱範疇：為醫療保險、彈性福利、健康計劃或家屬而收集資料時，同樣的原則一樣適用。實際問題在於每項活動是否具備適當目的，以及處理方式是否與該目的相稱。在福利工作與更廣泛的人力資源管理並行時，這份有關香港人力資源資料保障的指引亦很有參考價值。

甚麼構成僱員福利資料

僱員福利資料不只包括僱員姓名及資格狀態，還可包括身份資料、聯絡資料、薪酬或報銷資料、登記參加的選項、索償紀錄、醫療單據、家屬資料，以及透過彈性計劃所選福利的資料。即使只是顯示某人曾使用輔導、醫療或預防性護理福利的紀錄，也可能透露個人資訊。

應先逐一列出資料欄位，而不是依賴「人力資源資料」等籠統標籤。逐欄盤點較容易分辨哪些欄位是確立資格、處理付款、管理供應商關係或回答查詢所必需的。這亦會揭示那些在沒有明確運作理由下，被複製到試算表或電郵往來中的欄位。

僱主何時屬於資料使用者

當僱主決定收集僱員福利資料的目的及使用方式時，通常就是資料使用者。即使保險公司、經紀、行政管理人、薪酬服務供應商或科技平台執行了部分工作，這項責任也不會因此消失。僱主仍須了解資料流向，並給予適當指示。

這表示在新的福利流程推出前，人力資源部與採購部應就目的達成共識。供應商或需要資料以確認資格或處理索償，但不應自動取得僱主持有的所有欄位。清晰的責任歸屬亦有助確定由誰處理僱員疑問，以及出現問題時由誰保存證據。

僱員資料與敏感資料如何重疊

《個人資料（私隱）條例》並沒有因為僱員資料與工作相關，就把全部資料列為特別類別。然而，福利紀錄實際上可以相當敏感，因為它們可能透露健康狀況、家庭關係、財務壓力或個人喜好。資料越具揭示性，就越有理由限制存取，並減少不必要的複製。

應盡可能把資格資料與索償詳情分開。經理可能需要知道僱員是否合資格享有某項福利，但沒有業務理由查看診斷、收據或家屬的治療資料。即使需要更全面的法律分析，「按需存取」仍是一項實用的運作原則。

為何福利管理會產生私隱風險

福利計劃涉及多個交接點：登記參加、資格審查、供應商轉介、索償、報銷、薪酬調整、匯報及支援。每次交接都可能產生資料副本、增加擁有存取權限的新用戶，或出現把資料發送給錯誤收件人的機會。人手變通做法往往令這些風險更難被察覺。

周全的評估應同時考慮福利的價值及其帶來的資料負擔。例如，一項健康活動可能需要出席或參與資料，但無需詳細病歷。僱主應能解釋收集每類資料的理由，以及若不收集會有何後果。

繪製僱員福利資料生命周期圖

生命周期圖追蹤資料由首個登記畫面直至最終刪除的整個過程。它應涵蓋僱主的系統，以及供應商平台、檔案傳送、電郵、紙本紀錄、備份及匯報工具。繪製這張圖很有價值，因為私隱漏洞通常出現在系統之間，而非系統之內。

一張實用的圖表應記錄每項重要資料流的負責人、目的、收件人、存放位置、存取群組、保留期限及處置方法。它亦可區分日常處理與特殊情況，例如有爭議的索償或僱員離職。

識別登記參加時收集的資料

從僱員實際經歷的登記流程開始。記錄每條問題、每項上載、每個勾選方格、每個核實步驟及每個選填欄位。然後問：能否以較少資料或揭示性較低的數值達到相同效果？

登記參加可能需要身份及僱傭資料、所選保險、家屬資料，以及付款或報銷指示。選填的健康或生活方式問題須特別仔細審視，因為方便或好奇並不等同福利管理目的。若某欄位並非確定資格、提供福利或履行已記錄責任所必需，應考慮將其刪除。

記錄收集、使用及披露

就每類資料，寫一段簡短說明，列明其來源、收集原因、使用方式及收件人。除外部供應商外，亦應包括內部收件人，例如人力資源運作、薪酬、財務及支援服務台。文件應描述實際流程，包括任何人手匯出或臨時試算表。

一份簡單的登記冊可以把生命周期與給僱員的通知及給供應商的指示連繫起來。它亦應記錄有關披露屬於日常運作、應僱員指示、索償所需，還是為有限的行政目的而作出。這樣日後的檢討會比籠統地說資料「用於提供福利」更具體。

檢視儲存位置及存取點

建立一份清單，列出所有可查看或複製福利資料的地方。常見例子包括人力資源資訊系統、福利平台、保險公司或行政管理人帳戶、財務平台、共用磁碟、電郵郵箱、下載至本機的檔案及存檔的紙本文件。亦應包括支援帳戶及系統整合，因為它們可提供間接存取。

清單應顯示每個位置由誰存取，以及有人調職或離職時如何移除其權限。它亦應確定資料是否被下載作匯報用途，以及報告是否載有個人層面的資料。數量較少、受控的存取點，通常比大量非正式渠道更容易監察。

訂定保留及刪除期限

保留期限應與業務、合約或法律需要掛鈎，而非無限期地按喜好保留。在可行情況下，為現行登記資料、支持索償的紀錄、付款紀錄、僱員通訊、審計證據及備份分別訂定期限。合適的期限可因紀錄類別而異，應與法律、財務及人力資源持份者確認。

刪除必須切實可行，而不只是政策中的一句條文。應界定由誰啟動刪除程序、涵蓋哪些系統、如何檢查共用檔案，以及在法律保留令或未解決爭議需要保留資料時如何處理。定期進行刪除檢討，亦可減少帳戶或供應商遭入侵時所外洩的資料量。

建立合法而具透明度的收集流程

合規的收集流程在僱員看到登記表格之前便已開始。僱主應確定計劃要提供甚麼、所需的最少資料，並以僱員能理解的語言解釋資料處理方式。透明度不只是通知要求，它亦有助僱員作出知情選擇，並及早發現錯誤。

流程應適用於長期僱員、實習生、相關合約員工，以及由僱員提供資料的家屬。它亦應考慮各種變更，例如新增福利、更換供應商或引入新的匯報目的。

界定清晰的資料收集目的

所寫的目的應具體得足以指導決策。「福利管理」可以是實用的總標題，但應由更精確的活動支撐，例如確認資格、為僱員登記、處理報銷、安排供應商服務或回應福利查詢。

目的聲明亦應劃定界線。若資料是為管理醫療保險而收集，其後用於評核工作表現便需另行分析，而且很可能並不恰當。清晰的目的有助人力資源部在一些看似吸引但無關的用途滲入工作流程前加以拒絕。

提供僱員私隱通知

私隱通知應說明所收集的資料類別、目的、收件人類別，以及僱員的權利和聯絡方法。它應註明資料會否交予保險公司、經紀、行政管理人、付款服務供應商或科技供應商。若資料可能被轉移至香港境外或在境外被存取，通知及相關文件應與實際安排一致。

在收集資料時使用淺白易明的語言，並另附較詳盡的政策供參考。流程有重大改變時應更新通知，而僱主應保留各個版本，以便證明在某一時間曾向僱員告知甚麼。更全面的《個人資料（私隱）條例》人力資源指引，可協助團隊在處理通知的同時考慮存取及保安問題。

處理同意及其他法律依據

某些選擇性福利或涉及同意，但不應把同意視為萬能答案。僱主必須考慮目的、僱傭關係、所涉資料，以及任何其他適用的法律或合約依據。徵求同意時應具體、易於理解，並在適當情況下與無關條款分開。

不應強迫僱員為取得核心僱傭福利而同意選擇性的資料處理。若僱員撤回同意，機構應清楚這在運作上的影響，並解釋任何後果，但不應誇大。應保留通知、所提供的選擇及所作決定的紀錄。

處理選擇性福利及自願計劃

選擇性福利須清楚區分「選擇參加福利」與「同意不必要的資料使用」。僱員可以選用某項健康服務，而無須授權僱主接收其健康活動的詳細資料。若供應商提供參與度報告，而僱主不需要個人詳情，應要求只提供匯總或有限度的結果。

推出前，先以一小組貼近現實的情景測試僱員的使用流程。問一問：當有人拒絕某項福利、更改選擇、新增家屬或停止參與時，僱主會看到甚麼？這些情況往往會揭示隱藏的披露，並有助確保計劃真正屬自願性質。

管控向福利服務供應商及供應商的披露

外部供應商可令福利更易提供，但每次披露都會擴大機構須管控的範圍。僱主應了解哪一方就資料作出決定、哪一方按指示行事，以及哪一方可為其本身已記錄的目的使用資料。合約、通知、技術設計及日常流程都應互相吻合。

供應商審查在簽約後仍應持續。供應商可能會引入新的次處理者、更改託管地點、增加匯報功能或改變支援模式。這些變更會影響所共享的資料，應觸發有紀錄的檢討，而非自動接受。

挑選保險公司、經紀及行政管理人

挑選準則應涵蓋價格及服務水平以外的範疇。應詢問供應商需要哪些資料、能否接受有限欄位、如何核實收件人、紀錄保留多久，以及如何協助處理查閱或改正資料要求。要求取得足夠詳細的資料，以了解供應商的實際運作模式，包括支援及分判安排。

供應商應能解釋其事故處理流程，並提供適當保安措施的證明。僱主亦應測試實際事項，例如移除帳戶、安全交換檔案，以及合作關係結束時交還或刪除資料。精美的建議書不能取代實際運作的證據。

界定資料使用者及資料處理者的責任

各方應記錄由誰決定每項活動的目的，以及由誰執行。這項區分會影響指示、通知、權利處理、事故上報及問責。若安排涵蓋索償、付款、健康活動及數據分析，便應就不同服務分別處理。

不要假設一個標籤可以解決所有問題。供應商可能在某項服務下按僱主指示處理資料，而在另一情況下為另行記錄的目的使用有限資料。工作協議應以人力資源、採購、資訊保安及供應商都能理解的語言描述這些界線。

在供應商合約中加入私隱條款

福利合約應涵蓋准許的目的、資料類別、存取控制、保密、分判商、事故通報、協助處理僱員要求、保留、刪除、審計證據及資料轉移安排。合約亦應訂明當僱主的指示與擬議用途有衝突，或服務有所改變時，應如何處理。

在有助提高清晰度的情況下，可使用附表或資料處理附加協議，但不應依賴與實際流程不符的範本。合約條款應清楚訂明僱主批准新分判商的程序，以及事故後須提供的證據。條款亦應保留僱主以適當方式核實合規情況的權利。

管理跨境資料轉移及雲端平台

雲端託管及區域支援可能代表資料在香港境外儲存或被存取。應先繪製資料存放位置及存取途徑，再評估適用的合約及運作保障措施。若支援人員、備份或供應商在其他地方運作，僱員通知不應暗示資料只在本地處理。

保安承諾應具體得足以評估。例如，MixCare Health表示其平台採用角色為本的存取控制、端對端加密、區域資料駐留、持續保安監察、每年滲透測試及審計追蹤。這些已記錄的措施並不免除僱主的責任，但為採購及資訊保安團隊提供了具體的核查要點，可對照擬議的福利工作流程加以核實。

以實際保障措施保護僱員福利資料

保安措施應反映資料的敏感程度及被濫用的後果。福利平台可能同時儲存一般的資格紀錄及健康與財務詳情，因此單一而寬鬆的權限群組甚少適用。行政上的方便須與限制可見範圍及保持問責的需要取得平衡。

保安措施最好從一開始便融入流程，而非在事故發生後才補加。存取控制、加密、監察、員工培訓、供應商監督及經測試的應變程序應互相配合。文件紀錄同樣重要：在調查或檢討期間，無法證明的保安措施難以評估。

實施角色為本的存取控制

按工作職責而非職級設定角色。人力資源管理員可能需要管理登記，財務部可能需要付款資料，而經理可能只需要概括的資格結果。索償或醫療詳情應只限有明確運作需要的人員存取。

應使用個人帳戶、高強度身份驗證、提升權限須經批准，並在職責變動時及時移除權限。定期檢討權限，並在架構重組、更換供應商或員工長假後再作檢討。如平台支援，應記錄管理活動，以便調查異常存取。

保護健康、家屬及財務資料

在有受控平台或安全傳送方式可用時，不應以一般電郵傳送健康及家屬資料。財務資料亦應同樣審慎處理，特別是涉及銀行資料、報銷金額或薪酬識別碼時。應限制下載、保護終端裝置，並確保紙本紀錄妥善存放及銷毀。

資料最少化既是保安措施，亦是私隱原則。若報告可使用員工編號或匯總數據，便不要發布姓名及索償詳情。MixCare Health 所記錄的保安方針包括八層架構、零信任模式、加密、角色為本控制及審計追蹤；僱主仍應確認這些措施如何應用於其本身的設定及用戶。

監察存取並防止未經授權使用

監察應集中於有意義的訊號，例如反覆存取職責範圍以外的紀錄、大量下載、異常登入地點或試圖繞過審批。警報需要有負責人及上報途徑，否則只會淪為被忽略的通知。存取檢討應測試權限是否仍與現時職責相符。

員工培訓應涵蓋誤發電郵、網絡釣魚、共用登入憑證、螢幕截圖，以及談論同事健康狀況等範疇。簡單易用的錯誤報告流程很有價值，因為及早披露可減輕損害。主管應明白好奇心並非業務目的，非正式的存取仍屬存取。

為資料外洩及事故作好準備

事故應變計劃應指定負責評估、控制、調查、溝通及記錄事故的人員，包括人力資源、法律、資訊保安、傳訊、相關供應商及高層決策者。計劃應涵蓋裝置遺失、帳戶被入侵、檔案誤發、供應商事故及不當的內部存取。

以貼近現實的福利情景進行桌面演練。測試團隊能多快識別受影響紀錄、停止存取、保存證據、聯絡供應商，以及決定是否需要作出通報或採取其他步驟。演練後，根據參與者找不到或做不到的地方更新計劃。

支援僱員權利及持續合規

若紀錄、責任歸屬及程序在收到要求前已經清晰，便較容易支援僱員行使權利。僱員可能查詢與其有關的資料、要求查閱、質疑錯誤或對披露提出關注。一致的流程既能保障個人，亦可減少不同團隊給出矛盾答案的機會。

持續合規並非每年一次的政策工作。福利會改變，人員會調職，供應商會更換系統，而僱員使用計劃的方式亦可能揭示新的資料流向。因此，定期檢討應把法律要求與實際運作證據連繫起來。

回應查閱資料要求

設立一個集中接收要求的渠道，並培訓人力資源、薪酬、經理及供應商及時轉交要求。在不收集不必要資料的前提下核實要求者身份，然後搜尋要求所涵蓋的系統及供應商。記錄要求範圍、已進行的搜尋、回覆內容，以及任何依法拒絕或刪去資料的依據。

回覆應易於理解，並區分僱員本人的資料與其他人的資料。若紀錄由供應商持有，僱主應清楚由誰統籌搜尋，以及如何安全地交付結果。香港《個人資料（私隱）條例》的相關指引可作為處理僱員查閱問題的實用參考。

改正不準確的福利資料

家屬姓名、資格日期、銀行資料或保險選擇出錯，都可能造成行政上及個人的損害。應提供簡單的改正途徑，並在更新相關系統前核實有關更改。若資料已披露予供應商，應通知相關收件人，讓其紀錄亦得以改正。

保留原有問題、改正內容、批准人及已更新系統的紀錄。不要只因不準確的資料出現在舊試算表或電郵中便保留它。只保留合法紀錄保存或處理爭議所需的內容，並清楚標示歷史資料。

處理僱員投訴及查詢

僱員應有一個聯絡點可為他們解釋計劃內容，而無須自行周旋於多個供應商之間。常見問題包括為何需要某個欄位、誰可查看索償資料、家屬資料會否被共享，以及如何停止選擇性服務。答覆應與通知內容及系統的實際運作一致。

若投訴顯示有過度收集、未經授權披露、歧視或反覆出現的存取問題，應上報處理。除個別結果外，亦應記錄投訴主題。一連串相近的問題可能反映通知不夠清晰，或登記流程所要求的資料比僱員預期的多。

審核合規情況及更新程序

審核可抽查登記紀錄、存取日誌、供應商報告、刪除事件、改正要求及事故演練。審核應測試已記錄的目的是否與所收集的欄位相符，以及權限是否與現時角色相符。與人力資源及支援人員面談亦很有用，因為非正式的變通做法未必會出現在系統文件中。

就大型僱主而言，MixCare Health表示為亞太區擁有200名或以上僱員的機構提供可度身訂造的僱員福利計劃，包括數據分析、合規及人力資源系統整合。僱主在評估這類平台或其他供應商時，同樣的審核問題仍然適用：收集了甚麼、為何需要、誰可存取，以及如何長期證明有關安排合理。

每次檢討都應以負責人、限期及對剩餘風險的決定作結。流程改變時，應更新通知、合約、培訓、存取群組及保留規則。這樣便能建立一套與時並進的合規計劃，而不是一份直至下次事故發生前都無人理會的政策。

結論

香港僱員福利資料的《個人資料（私隱）條例》合規，需要對整個資料流程實施切實管控，由首條登記問題直至刪除及僱員支援。若僱主能界定目的、盡量減少收集、審慎管理供應商、限制存取並測試應變程序，便可把私隱保障融入可靠的福利管理之中，而非留待最後一刻才作法律檢查。

常見問題

《個人資料（私隱）條例》是否適用於僱員福利資料？
是。當僱員福利資料能識別個人身份時，便屬個人資料，其收集、持有、使用及披露應按《個人資料（私隱）條例》及其保障資料原則進行評估。

僱主應收集哪些福利資料？
僱主應收集足夠且與明確目的相關的資料，例如確認資格、為僱員登記、處理索償、付款或管理供應商服務。選填欄位應另行評估。

僱主可否與保險公司或經紀共享僱員資料？
若披露與已記錄的目的相關，並具備適當透明度及保障措施，便可共享資料。僱主應限制所共享的欄位，並透過適當安排界定供應商的責任。

健康資料是否應與一般人力資源紀錄分開存放？
分開存取通常是明智做法，因為健康資料可能特別具揭示性。系統設計應確保只需要資格或付款資料的人員不會自動看到醫療或索償詳情。

僱員福利資料應保留多久？
沒有單一期限適用於所有紀錄。保留期限應反映目的、法律或合約要求、處理爭議的需要、審計要求及機構的刪除能力，並在適當情況下分別訂定期限。

發生福利資料事故後，僱主應怎樣做？
控制事故、保存相關證據、評估可能受影響的資料及人士、讓內部及外部相關團隊參與，並決定是否需要作出通報或採取其他補救措施。應記錄整個應變過程，並進行事後檢討以汲取教訓。

僱員如何行使其資料權利？
僱主應提供清晰的聯絡渠道，處理查閱、改正及私隱查詢。流程應核實身份、搜尋相關系統及供應商、在適用要求內作出回應，並準確記錄所採取的行動。