《个人资料（私隐）条例》
在这方面的专门法例是《个人资料（私隐）条例》（Personal Data (Privacy) Ordinance）（下称「《条例》」）。
《条例》的特点
(a) 范围：根据国际标准，该《条例》是全面的。它涉及个人资料，而对自动化及人手操作资料不予以区分。它对任何人都具约束力，政府也不例外。个人资料私隐专员公署（下称“公署”）[the Office of the Privacy Commissioner for Personal Data] 是按照《条例》而设立的组织，负责全盘监察《条例》的执行。
(b) 定义：《条例》给下列词语下了定义：
(i) 「资料」— 在任何文件中以任何方式表示的资讯（包括意见的表达），也包括个人的特征；
(ii) 「个人资料」— 任何资料（包括意见的表达）
(1) 直接或间接地与活着的个人（资料当事人）有关；
(2) 藉此可以直接或间接地核实某人的身份；及
(3) 有方法利用某种方式接触或处理该资料。
(c) 保障资料原则：任何控制个人资料的收集、持有、处理或使用的个人（资料使用者），必须按照《条例》内列明的六项保障资料原则进行，如下：
(i) 第1原则—收集个人资料的目的及方式：此原则描绘如何合法和公平地收集个人资料，及当资料使用者收集某个人的个人资料时，必须向该资料当事人提供的讯息。
例子：
保险从业员在收集客户的个人资料时，应向客户提供一份「收集个人资料声明」，清楚说明收集资料的目的、资料可能会转移给什么类别的人、不提供资料所须承受的后果及要求查阅及改正资料的权利。这份声明须附加在投保单等文件上。
(ii) 第2原则—个人资料的准确性及保留期限：个人资料应是准确的、最新的，其保留期限不应超过所需时间。
特别是，如资料使用者聘用（不论是在香港或香港以外聘用）资料处理者，以代该资料使用者处理个人资料，该资料使用者须采取合约规范方法或其他方法，以防止转移予该资料处理者的个人资料的保存时间超过处理该资料所需的时间。「资料处理者」一词指「符合以下两项说明的人：(a)代另一人处理个人资料；及(b)并不为该人本身目的而处理该资料。」对如何符合规定，个人资料私隐专员（「私隐专员」）提出了一些建议（见下面7.2.1(d)）。
例子：
如果寄给客户的邮件经常被退回，这可能表示邮件所用的邮寄地址不准确，保险从业员应停止使用并更新该地址。
(iii) 第3原则—个人资料的使用：除非征得资料当事人的同意，否则该个人资料只能按照收集时的目的、或直接有关的目的来使用。
例子：
一般情况下，保险从业员不得将客户的个人资料披露予其他公司作促销该公司的产品之用，除非事先得到客户的订明同意。
(iv) 第4原则—个人资料的保安：应该对个人资料（包括采用不能切实可行地予以查阅或处理的形式的资料）采取适当的保安措施，以确保个人资料受保障而不受未获准许的或意外的查阅、处理、删除、遗失或使用所影响。
特别是，如资料使用者聘用（不论是在香港或香港以外聘用）资料处理者，以代该资料使用者处理个人资料，该资料使用者须采取合约规范方法或其他方法，以防止转移予该资料处理者作处理的个人资料未获准许或意外地被查阅、处理、删除、遗失或使用。「资料处理者」的定义可在上面(ii)项中找到。对如何符合规定，私隐专员提出了一些建议（见下面7.2.1(d)）。
例子：
保险从业员如果使用窗口式信封邮寄载有客户个人资料的文件，应确保客户的敏感资料（比如身份证号码）不会从信封的窗口显现出来。如果信件只供收件人拆开，保险从业员应考虑在信封面上盖上“私人密件”的字眼，并加以密封。
(v) 第5原则—资讯须在一般情况下可提供：资料使用者必须采取所有切实可行的步骤，以公开他们的个人资料相关政策和做法、所持个人资料的种类及使用这些个人资料的主要目的。
例子：
制定及储存「隐私政策声明」，列明持有的个人资料的类别、个人资料的使用目的及有关政策和做法，更可在保险公司的网页内展示该等政策和做法。
(vi) 第6原则—查阅个人资料：资料当事人有权查阅及更正其个人资料。
例子：
客户有权要求保险人提供出现在他的保单内的个人资料的复印件。
(d) 如外判个人资料的处理予资料处理者应如何符合保障资料第2及第4原则的规定：私隐专员向资料使用者建议采用以下方法以符合有关规定（资料来源：香港个人资料私隐专员公署网站）：
(i) 透过合约规范方法
资料使用者主要透过合约方法，以保障委托予资料处理者处理的个人资料。实务上，资料使用者通常会与资料处理者订立服务合约，列明互相的权利和责任。资料使用者如果外判个人资料的处埋予资料处理者的话，为了符合保障资料第2及第4原则的规定，可在服务合约中加入额外条款或与资料处理者另订合约。
透过合约，可对资料处理者施加多种类的责任，其中包括：
(1) 列明资料处理者所须采取的保安措施，以保障受托的个人资料，并要求资料处理者遵从保障资料原则，以保障有关个人资料；
(2) 资料处理者不再需要就受托目的处理有关个人资料时，必须适时交还、销毁或删除有关资料；
(3) 除了受托进行的目的之外，资料处理者不得为其他目的而使用或披露有关个人资料；
(4) 资料使用者有权审核及视察资料处理者如何处理和储存个人资料；及
(5) 违反合约所须承担的后果。
(ii) 透过其他方法
资料使用者间或不能和资料处理者订定保障受托个人资料的合约。就此，《条例》提供了弹性，容许以“其他方法”遵从规定。《条例》并没有订明“其他方法”一词的定义。一般来说，资料使用者可以采用非合约形式的监督和审核机制，以监察资料处理者依从保障资料规定的情况。
(iii) 其他良好行事方式的建议
隐私专员进一步建议资料使用者在聘用资料处理者代其处理个人资料时采用以下良好行事方式：
(1) 资料使用者处理个人资料的做法应具透明度，并在收集当事人的个人资料时，以清楚易明的语言告知其个人资料可能会转移予资料处理者处理。
(2) 如资料处理者不是在香港，资料使用者应确保其合约可以在香港和在资料处理者所处当地执行。一些技术及法律词彙（比如「个人资料」），可能会在不同司法管辖区而有不同的意义，因此，必须明确界定这些词彙，以符合香港的规定。
(3) 资料使用者和资料处理者均应保存所有被转移作处理的个人资料的适当记录。
(4) 在转移个人资料进行系统测试前，资料使用者必须考虑资料处理者是否可以使用匿名或虚拟资料以替代真实资料，也可达到相同目的。
(e) 直接促销：《条例》新增了第6A部，内容涉及在直接促销中使用个人资料及提供个人资料以供用于直接促销，有关部分的生效日期为二零一三年四月一日。
(i) 第6A部的释义：在此部中——
“直接促销”被界定为包括下列行为：透过直接促销方法，要约提供货品、设施或服务，或为该等货品、设施或服务可予提供而进行广告宣传；
“直接促销方法”指——
(1) 藉邮件、图文传真、电子邮件或其他形式的传讯，向指名特定人士送交资讯或货品；或
(2) 以特定人士为致电对象的电话通话；
“促销标的”，就直接促销而言，被界定为包括：被要约提供或就其可予提供而进行广告宣传的任何货品、设施或服务。
(ii) 资料使用者将个人资料用于直接促销前必须采取指明行动
资料使用者如拟在直接促销中使用某资料当事人的个人资料，或拟提供该个人资料给他人于直接促销中使用，则须向该资料当事人提供某些证明资讯（见下），并向他提供一个途径，让他可透过该途径表达他是否反对上述的拟进行的使用或提供。
资料使用者如拟在直接促销中为本人的目的而使用资料当事人的个人资料，他可以口头或书面方式向资料当事人提供上述证明资讯。不过，如要向另一位资料使用者提供个人资料（无论是为得益与否），则须以书面方式向该资料当事人提供证明资讯。
“订明资讯”包括拟使用或提供的个人资料的种类、该资料拟就甚么类别的促销标的而使用，及（如适用的话）拟向其提供该资料作直接促销的人的类别。如该资料是拟为得益而提供的，资料使用者必须告知资料当事人该资料是拟如此提供的。
资料使用者必须以易于阅读和理解的方式呈示证明资讯。
(iii) 为生效日期前的个人资料设定不溯既往安排
如资料使用者在新条文生效前，曾经根据旧有规定把资料当事人的个人资料用于直接促销，则新规管机制下要求资料使用者通知资料当事人其个人资料会被用于直接促销的规定便不适用。如资料使用者在新条文生效前曾经在关乎某类别促销标的的直接促销中使用资料当事人的任何个人资料，则这项不溯既往的安排适用于新条文生效当日或之后继续在关乎同一类别的促销标的的直接促销中使用资料当事人的任何个人资料。
(iv) 如未获资料当事人同意或表示不反对，资料使用者不得将个人资料用于直接促销，或提供予他人作直接促销
只在资料使用者已向资料当事人提供证明资讯和回应途径，并收到资料当事人回复表示同意或不反对的情况下，资料使用者才可将资料当事人的个人资料用于直接促销，或提供予他人作直接促销。
如资料使用者拟在直接促销中为本身目的而使用资料当事人的个人资料，并以口头或书面方式向资料当事人提供证明资讯，则资料当事人可以相应地以口头或书面方式向资料使用者表示同意或不反对。如回复是以口头方式作出，则资料使用者在把个人资料用于直接促销之前，必须在收到该回复的日期起计14天内，以书面方式向资料当事人确认可种类的个人资料和许可种类的促销标的。
如资料使用者向他人提供资料当事人的个人资料（无论是为得益与否），则须在提供资料前收到资料当事人的书面回复表示同意或不反对资料使用者的做法。
(v) 资料使用者须在首次使用个人资料于直接促销时通知资料当事人
一如既往，资料使用者在首次使用个人资料于直接促销时，必须通知资料当事人他有权拒绝资料使用者继续使用他的个人资料于直接促销。违者最高刑罚为罚款五十万港元及监禁3年。
(vi) 资料当事人可以要求资料使用者停用在直接促销中使用其个人资料或提供其个人资料予他人作直接促销
资料使用者必须依从由资料当事人随时提出的停止使用其个人资料于直接促销的要求。
资料当事人可以随时要求资料使用者一方面停止提供其个人资料予他人作直接促销，另一方面通知获如此提供资料当事人的个人资料的任何人，停止在直接促销中使用该资料；而资料使用者必须依从如此的要求。
(vii) 刑罚
违反新规管机制下的规定即属犯罪。如违反行为涉及为得益而提供个人资料，最高刑罚是罚款一百万港元及监禁5年。至于其他违反行为，最高刑罚是罚款五十万港元及监禁3年。
(f) 披露未经资料使用者同意而取得的个人资料的罪行
(i) 罪行及刑罚：任何人披露未经资料使用者同意而取自该资料使用者的某资料当事人的个人资料，并出于以下意图的，即属犯罪：(a)获取金钱得益或其他财产得益，不论是为了令该人或另一人受惠而获取，或(b)导致该资料当事人蒙受金钱损失或其他财产损失。
如任何人披露未经资料使用者同意而取自该资料使用者的某资料当事人的任何个人资料，而该项披露导致该当事人蒙受心理伤害，该人亦属犯罪。
以上各项罪行的最高刑罚均是罚款一百万港元及监禁5年。
(ii) 免责辩护：在为任何上述罪行而提起的法律程序中，《条例》给被控告的人提供以下免责辩护：
(1) 他合理地相信，有关披露对防止或侦测罪行属必要；
(2) 任何成文法则、法律规则或法院命令规定作出或授权作出有关披露，或根据任何成文法则而规定作出或授权作出有关披露；
(3) 他合理地相信有关资料使用者已同意有关披露；或
(4) 他是为订明新闻活动的目的，或是为与该新闻活动直接相关的活动的目的，而披露该个人资料；而有合理理由相信，发表或播放该个人资料，是符合公众利益的。
(g) 违反《条例》：
如遇涉嫌违反《条例》，资料当事人可向私隐专员投诉，并向犯错的资料使用者提起诉讼，要求对触犯《条例》导致资料当事人蒙受损失（包括感情的伤害）作出补偿。
如所指控的违反源自资料使用者把资料当事人的个人资料的处理外判予资料处理者，将造成复杂的情况。对资料当事人的个人资料私隐遭受侵犯，资料处理者不必承担直接的法律责任；受屈的资料当事人可以要求资料使用者，就其授权的资料处理者的错误行为承担责任。
当资料当事人就资料处理者的错误行为或做法侵犯了资料当事人的个人资料私隐，对资料使用者作出控诉时，资料使用者与资料处理者订定的合约，如包含了关乎资料保障的具体条文的话，便可被接纳为证明资料使用者已经符合了保障资料第2及第4原则的证据。资料使用者也可根据任何规定资料处理者负责保障资料的合约条款，向资料处理者提起诉讼。
对《条例》的可能违反中，除了那些容许资料当事人寻求民事纠正的违反之外，还有其他类型的违反，其中一种是不遵从私隐专员送达的执行通知。
(h) 豁免：隐私权不是绝对的。明显地，罪犯无权利望享受完全的保密；因社会上正常的商业活动和社交生活的缘故，须要在普遍或特定的情况下，向拥有合法知情权的人提供某些资讯。《条例》订明的豁免项目包括：
(i) 为家居或娱乐目的而持有的个人资料获概括性豁免；
(ii) 某些由僱主持有的与僱佣有关的个人资料，不必依从关乎当事人查阅权利的规定；
(iii) 在引用《条例》中关于当事人查阅要求及限制资料用途的规定时，如私隐权益可能对公众或社会利益构成损害，则无须依从有关规定。这些利益包括保安、防卫和国际关係、罪案的防止或侦查、犯罪者的拘捕检控或拘留、评税或收税、健康、法律专业保密权、新闻活动、统计和研究、人类胚胎等方面。
(i) 方便资料使用者和保险从业员使用的小册子：除了《条例》以外，还建议保险从业员阅读包括下列在内由有关的规管机构发出的指引和小册子，以取得个人资料的收集和使用等方面的实用指引：
(i) 《保险从业员如何保障客户的个人资料》（由公署及香港保险业联会共同发行）；
(ii) 《妥善处理客户个人资料：给保险业界的指引》（由公署发出）；及
(iii) 《直接促销新指引》（由公署发出）。