私隐条例 2026：广告查询留下的姓名电话怎样合规处理

你付钱投放广告，客人点击后在网站聊天或 WhatsApp 留下姓名、电话和查询内容 — 这一刻开始，你手上的已经是受《私隐条例》规管的个人资料。直接的答案是：合规的关键有三件事 — 按六项保障资料原则收集、保存和使用资料；把「回复查询」与「日后推广」分开处理同意；以及分清哪些规定已经生效、哪些仍只是修例建议。本文以私隐专员公署及政府官方资料为依据，逐项拆解。

---

私隐条例适用于网站聊天和 WhatsApp 收到的客户资料吗？

适用。可识别个人的姓名、电话，以及与其连结的聊天纪录，都可能属于个人资料；判断标准是资料是否与个人有关、能否识别其身分、能否以可查阅的形式处理，而不是资料放在哪个工具（资料来源：政制及内地事务局）。

个人资料私隐条例的正式名称是《个人资料（私隐）条例》（第 486 章），条例于 1996 年 12 月实施，个别条文除外（资料来源：私隐专员公署条例简介）。这是每一间收集客户资料的企业都要遵守的现行法例。

个人资料私隐条例的六项保障资料原则是甚么？

六项保障资料原则涵盖资料的整个生命周期：收集、准确及保留、使用、保安、透明度、查阅及改正（资料来源：私隐专员公署）。下表把每项原则对应到网站聊天和 WhatsApp 查询的日常操作：

（资料来源：私隐专员公署指引；40 日时限见公署常见问题）

有一点常被误解：条例并不是「处理任何个人资料都必须先取得同意」。收集、原定用途、新用途和直接促销各有不同规定；直接促销须另外符合第 6A 部（资料来源：公署直接促销指引）。

回复查询、日后推广、交给其他公司，三种情况有甚么分别？

三者的法律要求完全不同：回复查询属原定用途；本公司日后推广须先通知并取得有效同意；把资料交给其他公司作推广，须事前书面通知并取得书面同意。

（资料来源：公署直接促销指引；口头同意 14 日书面确认见公署个案；第三方书面同意见公署传媒查询回应）

实务上，最常见的错误是把情况一当成情况二：客人为了问价留下电话，企业就把号码加进推广名单。客人主动发讯息查询，并不等于同意日后接收所有推广。另一个误解是「公开找得到的联络资料就可以随便用」：公署在 2025 年公布，一间收数公司从法院文件取得资料后，未依规定通知及取得同意便作直接促销，被判罪成（资料来源：私隐专员公署，2025-06-11）。

违反直接促销规定，最高罚则是多少？

违反直接促销规定，最高可罚款 HK$500,000 及监禁 3 年；违规为得益而向第三方提供个人资料作直接促销，最高可罚款 HK$1,000,000 及监禁 5 年。

这套第 6A 部直接促销规管机制自 2013 年 4 月 1 日起实施（资料来源：私隐专员公署，2013）。HK$500,000 及 3 年的级别适用于违反通知、同意及拒收等规定（资料来源：公署条例简介）；HK$1,000,000 及 5 年的较高级别，针对的是违规「为得益」把资料提供给第三方作直接促销（资料来源：私隐专员公署，2016）。

须留意两点。第一，这些是直接促销条文的刑罚，不能套用到每一种一般私隐违规。第二，较高级别并不是「企业从推广中获利」便一律适用，而是指出售或为得益提供资料给他人推广的行为。收到拒收要求后，企业须停止相关使用。

资料外泄要强制通报吗？72 小时是真的吗？

截至 2026 年，香港私隐条例没有一般的强制资料外泄通报要求；公署的通报页面明言法例没有规定资料使用者须作通报，但建议通报，以便妥善处理事故（资料来源：公署资料外泄事故通报页）。

自愿通报的数字正在上升。公署在 2026 年 2 月 3 日公布，2025 年共接获 246 宗资料外泄事故通报，包括 79 宗公营机构及 167 宗私营机构通报，较 2024 年的 203 宗增加 21%（资料来源：私隐专员公署，2026-02-03）。

至于坊间流传的「72 小时内必须通报」，并没有任何已生效的私隐条例条文支持。政府在 2025 年 1 月回复立法会时，把强制通报、直接规管资料处理者及行政罚款列为修例研究方向（资料来源：政府新闻公报，2025-01-22）；到 2026 年 9 月 23 日，政府仍表示正与公署检视条例及拟订修例建议（资料来源：政府新闻公报，2026-09-23）。这些建议目前没有生效日期，也没有公布具体时限或罚款比例。没有强制通报，不代表可以不理：第 4 原则的保安责任现时已经适用，企业仍应建立事故处理及通报评估流程。

私隐条例哪些已生效、哪些仍是建议？

现行有效的是六项保障资料原则、第 6A 部直接促销规定及 2021 年起底修订；强制通报、行政罚款和直接规管资料处理者仍属建议；第 33 条跨境转移限制虽写在条例内，但尚未实施。

第 33 条尚未实施，并不代表把资料传到海外 CRM 或云端便没有任何责任；其他保障资料原则仍然适用。公署在 2022 年 5 月 12 日发出《跨境资料转移指引：建议合约条文范本》，属自愿采用的保障工具（资料来源：私隐专员公署，2022-05-12）。另一份文件是《粤港澳大湾区（内地、香港）个人信息跨境流动标准合同》，其便利措施于 2023 年 12 月 13 日公布（资料来源：私隐专员公署，2023-12-13）。两者用途不同，大湾区标准合同也不是所有境外传输的通用免责工具，使用前要核对转移双方、地区、资料范围等适用条件。

用 AI 回复客户查询，公署有甚么指引？

公署发出了两份与 AI 直接相关的文件：2024 年 6 月 11 日的《人工智能（AI）：个人资料保障模范框架》，以及 2025 年 3 月 31 日的《雇员使用生成式AI的指引清单》。两者都是管治建议和最佳常规，不是另立一部 AI 法例。

《模范框架》涵盖四个范畴：AI 策略与管治、风险评估及人为监督、AI 模型及系统的实施管理，以及与持份者沟通（资料来源：私隐专员公署，2024-06-11）。《指引清单》则协助机构制定员工使用生成式 AI 的内部政策：列明准用工具、可输入的资料、输出用途、核实生成内容的责任，以及何时转交人员处理（资料来源：私隐专员公署，2025-03-31）。

落到网站聊天和 WhatsApp 查询，可执行的重点是：AI 回复只用于处理查询这个原定用途；不把客人资料任意用于无关用途；高风险或客人不满的对话转交真人；与 AI 服务商约定保留、保安、删除及分包安排。开始使用前要定好哪些内部政策，可参考 AI 治理指南：开 AI 客服前要定的 8 项政策。

投放广告的企业，可以怎样逐步做好合规？

把以下八个步骤做好，已涵盖大部分网站聊天和 WhatsApp 查询的日常风险：

1. 画出资料流。 聊天工具、表格、CRM、员工手机及外判商。
2. 只收必要资料，附上收集声明。
3. 分开回复与推广。 推广前先通知并取得有效同意。
4. 保留同意纪录。 口头同意 14 日内书面确认。
5. 建立拒收名单， 同步到所有发送工具。
6. 管好服务商和员工的 AI 使用。
7. 设立事故处理流程。
8. 指定联络人处理查阅及改正要求。

把查询集中在自己的网站入口，资料流也较易管理，做法可参考 官网 AI 对话入口：把浏览者变成查询与落单。

Omago 是为投放广告的企业而设的 AI 销售代理，在网站、WhatsApp 和 Telegram 即时回答查询、收集需求并安排预约，月费 US$49–99，详见 收费方案。它不能代替你的私隐政策、同意纪录或法律意见，合规责任仍在你作为资料使用者的一方。想看看它怎样回答，可以贴上你的网站地址，问它一条你的客人会问的问题。

---

常见问题

客人在 WhatsApp 留了电话，可以发优惠给他吗？

不能直接发。客人为查询而留下电话，回复该查询属原定用途；用同一个号码发推广属直接促销，须先说明拟用资料及促销类别并取得同意，沉默不是同意。违反相关规定最高可罚款 HK$500,000 及监禁 3 年。

直接促销一定要书面同意吗？

本公司自用推广不一定要书面同意，但口头同意须在 14 日内发出书面确认。若把资料交给其他公司作其推广，则须事前书面通知并取得书面同意。

香港资料外泄是否一定要 72 小时内通报？

不是。截至 2026 年，私隐条例没有一般强制通报要求，公署建议自愿通报。强制通报仍属政府拟订中的修例建议，没有生效日期，也没有公布具体时限。

客户姓名电话放在海外 CRM，私隐条例怎样规定？

限制跨境转移的第 33 条尚未实施，但其他保障资料原则仍然适用，包括保安、保留期及对服务商的合约控制。公署 2022 年的建议合约条文范本可作参考。

资料来源：私隐专员公署条例简介（1996 年 12 月实施；直接促销最高 HK$500,000 及监禁 3 年）；公署六项保障资料原则及指引；公署常见问题（查阅 40 日）；政制及内地事务局；公署直接促销指引及 2013 年公告；公署 2016 年说明（HK$1,000,000／5 年）；公署个案（口头同意 14 日）及 2017 年传媒查询回应；公署定罪公告（2025）；公署 2025 年工作报告（246 宗通报，2026）；公署资料外泄通报页；政府新闻公报（2025、2026）；公署起底修订公告（2021）；电子版香港法例第 486 章第 33 条；公署建议合约条文范本（2022）及大湾区标准合同便利措施（2023）；公署 AI 模范框架（2024）及雇员生成式AI指引清单（2025）（查核日期 2026-10-20）。本文为一般资讯，不构成法律意见。