查詢政府承辦商處理市民個人資料及公共服務設備攝錄影像的保存期限
個人資料私隱專員：
個人資料私隱專員公署：
本人希望就政府部門委聘承辦商提供公共服務期間，收集、處理及保存市民個人資料的安排作一般性查詢。
政府承辦商在提供服務期間，可能會收集市民的姓名、電話號碼、地址、預約資料、申請紀錄、交易或服務紀錄等個人資料；部分設置於公共地方的自助服務設備、智能設備或其他公共服務設施，亦可能設有 CCTV、攝錄鏡頭或其他影像感應裝置。
本人希望公署澄清以下一般原則：
01. 《個人資料（私隱）條例》是否有就政府承辦商保存市民個人資料訂明一般最長保存期限？
02. 如法例沒有固定保存年期，政府部門及承辦商應根據甚麼客觀準則決定保存30日、6個月、1年、數年或更長時間是否合理及必要？
03. 如承辦商只代表政府部門處理個人資料，政府部門是否應在合約中明確訂明資料保存期限、刪除期限、備份資料處理、合約完結後資料交還或刪除，以及分包商或雲端服務供應商的責任？
04. 當原本收集個人資料的服務已完成，而亦沒有投訴、爭議、法律程序或其他具體需要時，承辦商是否原則上應刪除或匿名化相關資料，而不能純粹因「日後可能有用」而無限期保存？
05. 如承辦商以審計、投訴處理、合約管理、保安或法律責任為理由延長保存期，是否應有明確文件記錄保存目的、保存年期及相關理據？
06. 政府部門是否有責任定期審核承辦商實際執行的資料保存政策，而不應只依賴承辦商自行聲稱已刪除資料？
另外，就設置於公共地方的自助設備、終端設備或其他公共服務設施上的 CCTV／攝錄鏡頭：
07. 如鏡頭會攝錄可識別人士的容貌、活動或行為，相關影像是否屬《個人資料（私隱）條例》下的個人資料？
08. 如鏡頭只用作保安、設備監察、防破壞或處理爭議，在沒有事故或投訴的情況下，影像是否應在較短及事先訂明的期限內自動刪除？
09. 公署有否就設於公眾地方或公共服務設施的 CCTV 提供一般建議保存期限，例如7日、14日、30日或其他期間？如沒有固定日數，營運者應如何證明其保存期限屬必要及合乎比例？
10. 如有關攝錄系統由政府承辦商、分包商、資訊科技服務供應商或雲端服務供應商操作，政府部門是否應在合約中訂明影像的保存期限、存取權限、下載權限、audit log、備份刪除及合約終止後的處理安排？
11. 如影像會傳送至中央後台系統、remote monitoring platform、cloud 或其他第三方系統，市民是否應獲告知資料使用者身份、收集目的、保存期限、資料接收者及查詢方法？
12. 如攝錄範圍超出設備實際操作區域，並持續攝錄大量並非使用該設備的途人，公署會以甚麼準則判斷是否屬過度收集？
13. 如系統具備高清錄影、人物追蹤、人臉偵測、人臉辨識或其他 AI 影像分析功能，資料使用者是否應在部署前進行私隱影響評估，並清楚記錄實際啟用的功能？
14. 備份、archive、disaster recovery copy 內的個人資料或 CCTV 片段，是否同樣受保存期限及刪除原則規管？
15. 如市民希望了解某政府公共服務系統或設備實際保存其個人資料或影像多久，應首先向政府部門、承辦商，還是兩者提出查詢？
本人現時只是希望了解政府公共服務外判及公共設施設備的一般資料保障原則，並非要求公署就任何指定政府項目或承辦商作出個案判斷。
如公署有相關指引、案例或建議的資料保存、CCTV管理及承辦商監管做法，亦請提供相關資料供參考。
謝謝。
市民
DC
多謝 閣下的電郵。我們將會作出跟進，並給 閣下回覆。
請注意，你可自願向公署提供 閣下的個人資料，而所提供的個人資料只會用於與處
理 閣下在電郵內所述的事宜有關的目的。你所提供的個人資料可能會披露予公署因
處理有關事宜而接觸的人士或機構。閣下有權查閱及更正公署所持有 閣下的個人資
料。查閱或更正資料要求應以書面向保障資料主任提出，電郵或寄往公署於網址所列
的地址。請注意，公署須在或可在《個人資料（私隱）條例》第20條指明的情況下拒
絕依從查閱資料要求，例如，若查閱資料屬公署在調查過程中所得知的資料，而披露
該資料會構成違反《個人資料（私隱）條例》第46(1)條的保密條款。
(以上為電腦自動發出的認收訊息。)
個人資料私隱專員公署
Thank you for your email. We shall follow up on your email and reply to
you in due course.
Please be advised that it is voluntary for you to supply your personal
data to us. All personal data submitted will only be used for purposes
which are related to the matters raised in your email. The personal data
submitted may be disclosed to parties who will be contacted by us in the
handling of your email. You have the right to request access to and
correction of your personal data held by us. Request for access or
correction should be made in writing to the Data Protection Officer using
this email address or the address of our office shown in our website.
Please note that we shall or may refuse to comply with a data access
request in the circumstances specified in section 20 of the Personal Data
(Privacy) Ordinance, for example, where the requested data relates to the
disclosure of information obtained in an investigation by us, when such
disclosure would constitute a contravention of the secrecy provision of
section 46(1) of the Personal Data (Privacy) Ordinance.
(The above message is generated by an auto-reply programme to acknowledge
receipt of your email.)
Office of the Privacy Commissioner for Personal Data
[1]PCPD Banner
References
Visible links
1. https://www.pcpd.org.hk/
公署檔號: 202615801
先生／女士：
多謝閣下2026年8月25日的電郵。公署現綜合回覆如下：
《個人資料（私隱）條例》（《私隱條例》）的相關條文
《私隱條例》旨在保障資料當事人[1]^^[1]在個人資料方面的私隱。根據《私隱條例
》第2(1)條，「個人資料」是指與一名在世人士有關的資料，並且從該資料可識辨該
名人士的身分，而有關資料的存在形式令予以查閱及處理均是切實可行的。所有資料
使用者[2]^^[2]在收集及處理個人資料時，必須遵守《私隱條例》及當中附表1的六
大保障資料原則[3]^^[3]。
個人資料的收集
就收集個人資料方面，保障資料第1原則訂明資料使用者須以公平及合法的方式，收
集與其職能活動直接有關及不超乎適度的個人資料。此外，資料使用者凡從資料當事
人收集個人資料，必須採取所有切實可行的步驟，以確保資料當事人在有關資料的收
集之時或之前，獲告知他是有責任或可自願提供有關資料及若果他不提供便會承受的
後果、有關資料的用途及可能轉移予甚麼類別的人士，以及資料當事人可要求查閲和
改正自己的資料的權利及途徑（即處理向有關資料使用者提出的該等要求的個人的姓
名(或職銜)及其地址）。資料使用者應就有關收集個人資料行為訂定《收集個人資料
聲明》，以告知資料當事人上述事項。
個人資料的保留期間
就個人資料保留期間方面，根據《私隱條例》第26(1)條及保障資料第2(2)原則，假
如資料使用者所持有的個人資料已不能履行及／或已完成當初被收集的目的（包括任
何直接有關的目的），該資料使用者便需將該資料刪除，除非保留該資料是有法例依
據或符合公眾利益。
另一方面，根據保障資料第2(3)原則，如資料使用者聘用資料處理者[4]^^[4]以代該
資料使用者處理個人資料，該資料使用者須採取合約規範方法或其他方法，以防止轉
移予該資料處理者的個人資料的保存時間超過處理該資料所需的時間。
個人資料的保安
在個人資料保安方面，保障資料第4(1)原則訂明資料使用者須採取所有切實可行的步
驟，以確保由其持有的個人資料受保障而不受未獲准許的或意外的查閱、處理、刪除
、喪失或使用所影響。
另一方面，根據保障資料第4(2)原則，如資料使用者聘用資料處理者以代該資料使用
者處理個人資料，該資料使用者須採取合約規範方法或其他方法，以防止轉移予該資
料處理者作處理的個人資料未獲准許或意外地被查閱、處理、刪除、喪失或使
用[5]^^[5]。
公署的回應
與個人資料的保留有關的查詢
由於不同資料使用者收集及使用個人資料的情況不盡相同，因此《私隱條例》沒有訂
明一個固定的資料保留期限。資料使用者應按其運作的實際所需、收集個人資料的原
來目的，以及符合其他法定要求或公眾利益而決定保存個人資料的期限，惟不應超過
達致原來收集目的實際所需的時間（不論個人資料被儲存在什麼地方）。資料使用者
亦不應純粹因「日後可能有用」而無限期保存個人資料。資料使用者如按其運作的實
際所需而延長個人資料的保存期限（例如處理潛在訴訟），《私隱條例》下雖無明文
規定必須備存相關書面理據，但作為良好行事方式，資料使用者仍應備存延長保存個
人資料的目的、時期及相關理據。
若資料使用者委託第三方承辦商處理個人資料（例如承辦商向資料使用者提供及/或
維修閉路電視，並可查閱載有個人資料的閉路電視影像），便須根據保障資料第2(3)
及4(2)原則採取合約或其他方法，以(i)確保承辦商處理的個人資料不會被保留超過
所需的時間；及(ii)防止轉移予該資料處理者作處理的個人資料未獲准許或意外地被
查閱、處理、刪除、喪失或使用。
閉路電視的安裝、使用及閉路電視影像的保留
一般而言，使用閉路電視是否受《私隱條例》所規管，視乎當中是否涉及收集個人資
料。假如有關設備只被用作實時監察而沒有啟動攝錄功能，則此情況會因不涉及以紀
錄形式存在的資料而不在《私隱條例》的管轄範圍內。即使該閉路電視已啟用攝錄功
能，倘若有關設備只是用作一般保安用途，而非針對某特定人士進行拍攝，則同樣不
屬收集個人資料，《私隱條例》因而亦不適用。
不過，若果安裝者啟動閉路電視的攝錄功能，並透過有關裝置的錄像用作識別個別人
士的身分[6]^^[6]，便有機會涉及收集個人資料而受《私隱條例》的規管。在此情況
下，安裝者作為資料使用者，須在收集及處理個人資料時遵守《私隱條例》及當中的
保障資料原則，當中包括須以合法和公平的方式收集個人資料，並須以切實可行的方
式告知受影響的人士已啟動該裝置的攝錄功能並受到該裝置的監察，例如在受監察範
圍內的當眼位置張貼顯眼的告示，提醒受影響人士。有關告示應包括閉路電視系統操
作者的資料、監察的特定目的、相關的閉路電視影像可能轉移予甚麼類別的人士，以
及負責處理個人資料私隱問題的人士的聯絡資料，以符合保障資料第1(3)原則的規定
。
《私隱條例》並無列明閉路電視在哪一種情況下收集個人資料會被視為超乎適度，有
關情況是否涉及違反保障資料第1(1)原則的規定，將視乎個別個案的所有情況及因素
而決定。
有關閉路電視影像的保留期限方面，在達到收集目的後，資料使用者應盡快從閉路電
視系統刪除所收集的資料（不論資料被儲存在什麼地方）。例如，如沒有事故發生，
安裝作保安用途的閉路電視所攝錄的影像應定期以可靠方式刪除，以合符《私隱條例
》第26(1)條及保障資料第2(2)原則的規定。
私隱影響評估
資料使用者在使用閉路電視前，應先對保障個人資料私隱方面產生的影響及風險作出
私隱影響評估。雖然《私隱條例》沒有明文規定資料使用者須進行此評估，但它已被
廣泛接受為私隱循規的工具。因此，作出私隱影響評估可以協助資料使用者在落實此
項措施前識別及發現有關的私隱問題，尤其是對個人資料私隱方面，以達致避免或減
低此項措施所帶來的不利影響。資料使用者可參閱公署發出的[7]《私隱影響評估
》[8]^^[7]，以進一步了解私隱影響評估的相關內容及細節。
如閣下希望了解某政府公共服務系統或設備的個人資料保留政策，可直接向相關的資
料使用者查詢。假如有資料當事人能提供資料證據證明有資料使用者在收集其個人資
料時違反《私隱條例》的規定，可向公署作出[9]投訴。公署在收到投訴後，會按公
署的[10]《處理投訴政策》跟進有關個案。
閣下可參考公署發出的《[11]閉路電視監察及使用航拍機指引》，以了解安裝及使用
閉路電視時需注意的保障私隱事宜。
閣下可瀏覽公署網頁以參閱《私隱條例》的全文。敬請留意隨電郵附上的「重要訊息
」，其為本回覆不可或缺的一部分。
個人資料私隱專員
（黃家晉 代行）
個人資料私隱專員公署
香港灣仔皇后大道東248號大新金融中心13樓1303室
電話：(852) 2827 2827 傳真：(852) 2877 7026
網址：[12]https://www.pcpd.org.hk
重要訊息
個人資料私隱專員公署（公署）為負責監察及執行香港法例第 486章《個人資料（私
隱）條例》（《私隱條例》）的獨立機構。
《私隱條例》旨在保障個人資料私隱。根據《私隱條例》第2(1)條，「個人資料」是
指與一名在世人士有關的資料，並且從該資料可識辨該名人士的身份，而有關資料的
存在形式令予以查閱及處理均是切實可行的。
基於公署的調查角色，公署不會就某一個案提供法律意見，而只會就《私隱條例》的
條文對查詢作一般性的回覆。如閣下對《私隱條例》的條文有任何法律疑問，公署建
議閣下徵詢法律顧問的意見。
公署不會對使用本回覆或其中任何資料所採取的任何行動或作出的決定引起合約上、
侵權法或其他方面損害（包括但不限於業務損失或溢利損失）承擔賠償。
請注意，本回覆僅供參考，在任何情況下均不影響個人資料私隱專員依據《私隱條例
》行使任何權力及履行任何職能。
════════════════════════════════════════════════════════════════════════
From: [13][ATI #1621 email]
<[14][ATI #1621 email]> on behalf of DC
<[15][ATI #1621 email]>
Sent: 25 August 2026 08:34
To: Privacy Commissioner for Personal Data
<[16][email address]>
Subject: 公開資料要求 - 查詢政府承辦商處理市民個人資料及公共服務設備攝錄影
像的保存期限
[You don't often get email from
[17][ATI #1621 email]. Learn why this is
important at [18]https://aka.ms/LearnAboutSenderIdentific... ]
個人資料私隱專員：
個人資料私隱專員公署：
本人希望就政府部門委聘承辦商提供公共服務期間，收集、處理及保存市民個人資料
的安排作一般性查詢。
政府承辦商在提供服務期間，可能會收集市民的姓名、電話號碼、地址、預約資料、
申請紀錄、交易或服務紀錄等個人資料；部分設置於公共地方的自助服務設備、智能
設備或其他公共服務設施，亦可能設有 CCTV、攝錄鏡頭或其他影像感應裝置。
本人希望公署澄清以下一般原則：
01. 《個人資料（私隱）條例》是否有就政府承辦商保存市民個人資料訂明一般最長
保存期限？
02. 如法例沒有固定保存年期，政府部門及承辦商應根據甚麼客觀準則決定保存30日
、6個月、1年、數年或更長時間是否合理及必要？
03. 如承辦商只代表政府部門處理個人資料，政府部門是否應在合約中明確訂明資料
保存期限、刪除期限、備份資料處理、合約完結後資料交還或刪除，以及分包商或雲
端服務供應商的責任？
04. 當原本收集個人資料的服務已完成，而亦沒有投訴、爭議、法律程序或其他具體
需要時，承辦商是否原則上應刪除或匿名化相關資料，而不能純粹因「日後可能有用
」而無限期保存？
05. 如承辦商以審計、投訴處理、合約管理、保安或法律責任為理由延長保存期，是
否應有明確文件記錄保存目的、保存年期及相關理據？
06. 政府部門是否有責任定期審核承辦商實際執行的資料保存政策，而不應只依賴承
辦商自行聲稱已刪除資料？
另外，就設置於公共地方的自助設備、終端設備或其他公共服務設施上的 CCTV／攝
錄鏡頭：
07. 如鏡頭會攝錄可識別人士的容貌、活動或行為，相關影像是否屬《個人資料（私
隱）條例》下的個人資料？
08. 如鏡頭只用作保安、設備監察、防破壞或處理爭議，在沒有事故或投訴的情況下
，影像是否應在較短及事先訂明的期限內自動刪除？
09. 公署有否就設於公眾地方或公共服務設施的 CCTV 提供一般建議保存期限，例
如7日、14日、30日或其他期間？如沒有固定日數，營運者應如何證明其保存期限屬
必要及合乎比例？
10. 如有關攝錄系統由政府承辦商、分包商、資訊科技服務供應商或雲端服務供應商
操作，政府部門是否應在合約中訂明影像的保存期限、存取權限、下載權限、audit
log、備份刪除及合約終止後的處理安排？
11. 如影像會傳送至中央後台系統、remote monitoring platform、cloud 或其他第
三方系統，市民是否應獲告知資料使用者身份、收集目的、保存期限、資料接收者及
查詢方法？
12. 如攝錄範圍超出設備實際操作區域，並持續攝錄大量並非使用該設備的途人，公
署會以甚麼準則判斷是否屬過度收集？
13. 如系統具備高清錄影、人物追蹤、人臉偵測、人臉辨識或其他 AI 影像分析功能
，資料使用者是否應在部署前進行私隱影響評估，並清楚記錄實際啟用的功能？
14. 備份、archive、disaster recovery copy 內的個人資料或 CCTV 片段，是否同
樣受保存期限及刪除原則規管？
15. 如市民希望了解某政府公共服務系統或設備實際保存其個人資料或影像多久，應
首先向政府部門、承辦商，還是兩者提出查詢？
本人現時只是希望了解政府公共服務外判及公共設施設備的一般資料保障原則，並非
要求公署就任何指定政府項目或承辦商作出個案判斷。
如公署有相關指引、案例或建議的資料保存、CCTV管理及承辦商監管做法，亦請提供
相關資料供參考。
謝謝。
市民
DC
-------------------------------------------------------------------
請將此電子郵件地址用於對此請求的所有回覆：
[19][ATI #1621 email]
[20]對個人資料私隱專員的公開資料請求的地址[email protected]是否錯
誤？如是，請使用以下表格聯絡我們：
[21]https://apc01.safelinks.protection.outlo...
免責聲明：本訊息及其後的回應將會在網上公開。以下是我們的私隱及版權政策：
[22]https://apc01.safelinks.protection.outlo...
如果你認為此服務對資訊自由權（FOI）官員很有用，請讓你的網絡管理員從你組織
的FOI頁面鏈接到我們。