2026年7月29日 · 13 min read
PDPO 与 AI 客服：香港中小企处理客户资料的合规要点
PCPD 循规審查显示 80% 受查机构使用 AI。本文按《私隐條例》六项原則，拆解香港中小企用 AI 客服处理客户资料、WhatsApp 促销与跨境传输的合规要点。
当香港中小企开始用 AI 客服处理客户查询，对说纪录、客户身分与聊天纪录都属於个人资料，受《个人资料（私隐）條例》规管。直接的答案是：合规的关键在於三件事 — 按六项保障资料原則妥善收集和保留资料、把促销讯息与服務性讯息分开取得同意，以及弄清跨境传输的现况。本文按《私隐條例》与私隐专員公署（PCPD）的指引，拆解中小企用 AI 客服的合规要点。（本文为一般资讯，不构成法律意見。）
AI 客服合规，为甚麼现在特別值得关注？
直接答案：因为使用 AI 的机构越来越多，但管治却未跟上 — 监管机构已开始把目光放在 AI 处理个人资料的合规上。
PCPD 在 2025 年的循规審查（涵蓋 60 间机构）发现，48 间（80%）在日常营运中使用 AI，較 2024 年上升 5%；当中 24 间（50%）透过 AI 系统收集或使用个人资料，並均已提供「收集个人资料声明」（PICS），79% 已订明保留期限（资料来源：私隐专員公署新聞稿，2025-05-08）。另一方面，2024 年的调查显示仅 28% 企业已制定 AI 安全风險政策，近七成（69%）认为营运中使用 AI 会帶来显著私隐风險（资料来源：立法会政制事務委員会文件 CB(2)893/2025(05)，2025）。
这组数字说明：AI 用得越来越多，但「用得合不合规」往往落后於「用不用」。对中小企而言，及早把合规做对，反而是一種竞争优勢 — 客户越来越在意自己的资料怎样被处理。关於 AI 治理的整体框架，可參考 中小企 AI 治理指南。
PDPO 六项保障资料原則怎样应用到 AI 客服？
直接答案：六项原則涵蓋收集、准确与保留、使用、保安、透明度与查阅更正 — 把它們逐项翻譯成 AI 客服的責任，就是一份可執行的合规清单。
《私隐條例》（第 486 章）附表 1 载有六项保障资料原則，属科技中立的原則性法例，适用於所有以 AI 处理客户个人资料的中小企。下表把六项原則对应到 AI 客服的責任：
| 原則 | 內容 | AI 客服責任 |
|---|---|---|
| DPP1 收集目的及方式 | 合法、公平、适度收集 | 只收集回答查询所必需的资料；收集时提供 PICS |
| DPP2 准确性及保留期限 | 确保准确、不过度保留 | 对说纪录设保留期限並定期刪除 |
| DPP3 使用限制 | 不得用於新目的，除非明示同意 | 用於模型训练或促销須另取同意 |
| DPP4 保安 | 採取切实可行保安措施 | 加密、存取控制；以合约规范第三方供应商 |
| DPP5 透明度 | 公开政策及主要用途 | 公开 AI 客服私隐政策、告知资料用途 |
| DPP6 查阅及更正 | 当事人可查阅、更正 | 提供查阅／更正途徑，拒絕須备存理由 |
（资料来源：《个人资料（私隐）條例》附表 1，私隐专員公署）
兩点特別值得中小企留意。其一，DPP2 要求不得保留超过实际所需的时间，AI 对说纪录应设明确保留期限並定期刪除（《私隐條例》第 26 條亦要求刪除已不再需要的个人资料）。其二，DPP4 下，若你聘用第三方 AI 供应商（资料处理者），你作为「资料使用者」仍須以合约或其他方法，确保供应商符合保安及保留要求。这也呼应了经营自有渠道、把资料留在自己手上的好处 — 責任和流程更清晰，可參考 自有渠道 × 第一方数据：不要把客户鎖死在平台。
PCPD 对 AI 有甚麼指引？
直接答案：PCPD 已发出多份針对 AI 的指引，其中《人工智能（AI）：个人资料保障模范框架》（2024）是核心 — 它把 AI 管治拆成策略管治、风險评估、实施管理与持份者沟通四个范疇。
《模范框架》（2024 年 6 月 11 日发佈）是 PCPD 首份針对採购、实施及使用 AI（包括生成式 AI）的机构指引，为亞太区首个同类框架。四个范疇包括：制定 AI 策略及管治架构（含成立管治委員会、員工培训）、进行风險评估及人为监督（风險越高、人为监督越強）、AI 模型定製与系统实施管理（数据准备、测试验证、安全、持续监察、AI 事故应变），以及促进与持份者沟通（资料来源：私隐专員公署，2024-06-11）。
此外，PCPD 在 2025 年 3 月推出《僱員使用生成式 AI 的指引清单》，正是因应 2024 年只有 28% 企业已制定相关政策而设，协助机构制定員工使用生成式 AI 的內部政策。对中小企的可執行重点是：对外公开 AI 客服私隐政策並提供 PICS、设定对说纪录保留期限及自動刪除、与供应商簽订载有保安及保留條款的合约、把促销与服務用途分开取得同意，以及为員工制定生成式 AI 使用指引。
WhatsApp 促销讯息要注意甚麼直接促销规定？
直接答案：WhatsApp 促销讯息属《私隐條例》第 VIA 部「直接促销」规管范围 — 首次促销前須告知並取得同意，並須提供免费的拒收途徑，違规罚則相当重。
「直接促销方法」包括藉电郵「或其他形式的传讯」向指名人士送交资讯，WhatsApp 讯息属此范围。核心规定包括：首次使用个人资料作直接促销前，須以可理解方式告知意图、擬使用的资料種类及促销标的类別，並提供免费的回应途徑；須取得当事人同意（「同意」广义包括「表示不反对」，但緘默不构成同意）；客户可随时免费要求拒收，机构須停止使用其资料。罚則方面，違反自用规定最高罚款 HK$50 萬及监禁 3 年；如为得益向第三方提供资料作直接促销，最高罚款 HK$100 萬及监禁 5 年（资料来源：私隐专員公署，《个人资料（私隐）條例》概览）。
实務上，AI 客服若用於推播促销讯息，必須与「服務性讯息」（如订单通知、服務到期提醒）分开取得同意，並在每則促销讯息提供清晰、免费、易操作的退订途徑。这一点与经营自有渠道息息相关 — 你在自己的通道直接收集同意，責任最清晰。
服務內地客，跨境传输资料合法嗎？
直接答案：目前合法且不受強制限制 — 《私隐條例》第 33 條（限制跨境传输）至今仍未生效，並无公布实施时间表；但若涉及资料由內地流向香港，可考慮採用大湾区标准合同。
具体而言：PDPO 第 33 條未生效，故目前香港並无強制性跨境传输限制，PCPD 建议（非強制）採用《建议合约范本》作尽职審查。內地《个人信息保护法》（PIPL）下，个人信息出境有安全评估、认证、标准合同三條途徑。2023 年 12 月，國家网信办与香港創新科技及工业局发布《粵港澳大湾区（內地、香港）个人信息跨境流動标准合同》，作为大湾区內第四條数据出境途徑，自願採用；先导阶段限银行、徵信、醫療业，2024 年 11 月起扩展至各行各业（资料来源：立法会文件及相关公告，2023–2024）。
对服務內地客的香港中小企而言，把资料由香港传往內地目前不受 PDPO 強制限制；但若资料由內地（九个大湾区城市）流向香港，採用大湾区标准合同可相对简化流程，惟須注意它要求簽署前进行个人信息保护影响评估（PIPIA），属高於 PDPO 的要求。須留意第 33 條的现狀以「目前」为准，未来修例可能改变。
AI 客服合规，会不会很复杂、很貴？
直接答案：不会 — 合规的核心是流程与透明度，而非昂貴的法律工程；中小企把幾件基本功做好，已能符合大部分要求。
不少老闆一聽「合规」就以为要请律師、做大型评估。事实上，《私隐條例》是原則性、科技中立的法例，对中小企的要求落到实处，多数是可操作的基本功：講清楚收集甚麼资料、用来做甚麼、保留多久、怎样刪除，以及让客人可以查阅更正。把这些写进一份简单清晰的私隐政策、设好对说纪录的保留与刪除、把促销同意分开处理，已能复蓋大部分风險。与其視合规为负擔，不如把它当成贏取信任的方式 — 在客人越来越在意私隐的今天，「我們怎样处理你的资料」講得清楚，本身就是卖点。
香港中小企 AI 客服合规清单
直接答案：把六项原則、直接促销规定与跨境现况，落成一份可逐项勾选的清单。
- 公开私隐政策並提供 PICS。 在 AI 客服收集资料时或之前清楚告知用途。
- 设定保留期限並自動刪除。 对说纪录不过度保留，定期清理。
- 分开促销与服務同意。 促销前另取同意，每則促销提供免费退订。
- 规管第三方供应商。 以合约确保供应商符合保安与保留要求。
- 保留人为监督。 对高风險决策保留人手把关，並设无縫转介。
- 弄清跨境现况。 服務內地客时，按需要评估大湾区标准合同与 PIPIA。
Omago 是一个会做事的 AI agent 平台，协助中小企在 WhatsApp、Telegram 与网站对说中自動处理查询；把上述合规要怎样做好，就能在自動化的同时妥善保障客户资料。关於 AI 客服处理客户私隐的通用做法，另見 AI 时代，中小企怎样保障客户资料私隐。
常見问题
AI 客服的对说纪录要保留多久？
《私隐條例》DPP2 及第 26 條要求不得保留超过实际所需的时间，並須刪除已不再需要的个人资料。AI 对说纪录应设明确保留期限並定期刪除，具体时限視乎收集目的而定。
用 WhatsApp 发促销讯息要客户同意嗎？
要。WhatsApp 促销讯息属《私隐條例》第 VIA 部直接促销范围，首次促销前須告知並取得同意，並提供免费拒收途徑。違反自用规定最高罚款 HK$50 萬及监禁 3 年。
把客户资料传去內地合法嗎？
目前合法且不受 PDPO 強制限制，因为第 33 條至今未生效。若资料由內地流向香港，可考慮採用大湾区标准合同（須先进行 PIPIA）。第 33 條现狀以「目前」为准，未来或有变。
用第三方 AI 供应商，合规責任在谁？
中小企作为「资料使用者」仍須负責。DPP4 要求你以合约或其他方法，确保作为资料处理者的供应商符合保安及保留要求。
PCPD 的《AI 模范框架》要求甚麼？
它把 AI 管治拆成四个范疇：制定策略及管治架构、风險评估及人为监督、AI 模型定製与系统实施管理，以及与持份者沟通。风險越高，人为监督应越強。
资料来源：《个人资料（私隐）條例》（第 486 章）附表 1 六项保障资料原則及第 26、33 條；私隐专員公署新聞稿（2025 循规審查 60 间机构、80% 使用 AI、50% 经 AI 收集个人资料均提供 PICS、79% 订明保留期限，2025-05-08）；私隐专員公署《人工智能（AI）：个人资料保障模范框架》（2024-06-11）及《僱員使用生成式 AI 的指引清单》（2025-03）；私隐专員公署《條例》概览（直接促销罚則 HK$50 萬／3 年、HK$100 萬／5 年）；立法会文件 CB(2)893/2025(05)（2024 年 28% 企业有 AI 安全政策、69% 視为私隐风險）；大湾区标准合同相关公告（2023–2024）。本文为一般资讯，不构成法律意見。