香港の個人情報保護法を弁護士が解説

香港は、1997年に中国へ返還された後も「一国二制度」の下で、中国本土と異なる資本主義経済とコモンロー（英国由来の判例法）の仕組みを保っています。個人データの保護も、中国本土の法律ではなく、香港独自の個人資料（私隱）条例（以下「PDPO」）が定めています。PDPOは6つの「データ保護原則」を土台とし、細かな義務を条文で並べるより、原則で広く規律する点に特色があります。

日本企業が押さえておきたい違いは3つあります。第一に、漏洩時の通知です。日本では一定の漏えい等について本人への通知と個人情報保護委員会への報告が義務ですが、PDPOに通知の義務はなく、監督機関の個人資料私隱専員公署（PCPD）のガイダンスに沿った任意の通知にとどまります。ただし、漏洩の原因が安全管理の不備にあれば、PCPDの調査や執行通知の対象になります。第二に、香港外への移転を制限するPDPO第33条は、1995年の制定から今も施行されていません。もっとも、移転も収集時に示した目的の範囲に限られます。第三に、ダイレクトマーケティングには、郵便や電話も含めて独自の通知と同意の手続があり、違反には刑事罰があります。

本記事では、PDPOの適用範囲と6つの原則から、漏洩時の対応、越境データ移転、販促とドクシングの規制、従業員データとAIの指針、PCPDの権限と損害賠償までを解説します。

香港のPDPOの適用範囲と個人データの定義

PDPOは1995年に制定され、1996年12月20日に施行された包括的なデータ保護法で、公的部門と民間部門の双方に適用されます。規制を受けるのは「データ利用者（Data User）」で、単独または他者と共同で個人データの収集、保有、処理、利用を管理する者を指します。日本の「個人情報取扱事業者」に近い概念ですが、事業者に限らず個人もデータ利用者になり得ます。

一方、他人に代わって個人データを処理し、自らの目的では処理しない者は「データ処理者（Data Processor）」と呼ばれます。データ処理者はPDPOの直接の規制対象ではありません。そのため、データ利用者が契約などで、委託先であるデータ処理者に必要以上の保持をさせず、適切な安全管理措置を講じさせなければなりません（附則1第2原則第3項・第4原則第2項）。委託先が香港の外にあっても同じです。

PDPO第2条は、個人データを、生存する個人に直接または間接に関係し、そこから本人を特定でき、アクセスや処理ができる形で存在する情報と定義しています。

日本の「要配慮個人情報」に当たる独立した区分は、PDPOにはありません。ただし、PCPDは生体認証データに関するガイダンス（2015年初版、2020年改訂）などで、機微な性質を持つデータにはより高い水準の保護を求めています。

個人データの「収集」の意味については、高等法院上訴法庭（日本の高等裁判所に当たる）が2000年3月28日に判決を下したEastweek事件（Eastweek Publisher Ltd v Privacy Commissioner for Personal Data、[2000] 2 HKLRD 83）が重要です。雑誌社のカメラマンが公道で女性を無断で撮影し、服装を批評する記事に載せた事案で、PCPDは不公正な手段による収集（第1原則第2項違反）に当たると判断しました。上訴法庭は2対1で、撮影者と雑誌社は女性の身元を知らず、特定する意図もなかったとして、個人データの「収集」には当たらないと判断しています。

この判決から、撮影者が本人の身元を知らず、特定する意図もなく撮影・掲載した場合は、個人データの「収集」に当たらないことがあります。ただし、2対1で分かれた判断で、射程は限られます。防犯カメラのように後から個人を特定して使う前提の撮影は「収集」に当たり得るため、設置場所での掲示などで利用目的を知らせておくとよいでしょう。

参考：個人資料私隱専員公署（PCPD）｜The Ordinance at a Glance

参考：香港電子版法例｜Personal Data（Privacy）Ordinance（Cap. 486）

香港のPDPOを支える6つのデータ保護原則

データ利用者は附則1の6つの原則を守る義務を負い、違反すればPCPDの調査や、是正を命じる執行通知の対象になります。日本法が義務を条文ごとに定めるのに対し、香港では、これらの原則とPCPDの実務守則（Code of Practice）やガイダンスがルールの中身を形づくっています。

第1原則の実務で日本企業が注意したいのが、個人情報収集声明（Personal Information Collection Statement、以下「PICS」）です。ウェブサイトの入力フォームや申込書で個人データを集める際は、表の第1原則の事項をPICSで示しておきます。

第3原則の「規定された同意」は、本人が任意に与えた明示の同意で、書面で撤回されていないものをいいます（第2条第3項）。日本では、第三者提供に原則として本人の同意が必要で（個人情報保護法第27条第1項）、オプトアウトや委託・共同利用の例外があります。これに対し香港では、提供先が第三者かどうかではなく目的で判断します。PICSで示した目的と提供先の種類の範囲内なら同意なく提供でき、範囲を超える利用や提供には本人の規定された同意が必要です。なお、犯罪の防止、報道、デューディリジェンスなどの場面では、第8部で一部の原則の適用が除外されます。

第6原則に基づくデータアクセス請求には、受領から40日以内に応じなければなりません（第19条第1項）。

香港での情報漏洩時の対応とサイバーセキュリティ規制

日本では、令和2年改正（令和4年（2022年）4月施行）により、一定の漏えい等が起きた場合に、本人への通知と個人情報保護委員会への報告が義務づけられました（個人情報保護法第26条）。令和8年（2026年）7月公布の改正では、本人通知の一部緩和が予定されています（未施行）。

香港のPDPOには、PCPDへの漏洩通知を義務づける規定がありません。政府は2020年1月、漏洩通知の義務化（例として5営業日以内にPCPDへ通知）や行政制裁金の導入、データ処理者の直接規制などを含む改正の方向を立法会の委員会に示しました。しかし、2026年10月時点でも改正法案は提出されておらず、成立の見通しは立っていません。

参考：香港立法会｜Review of the Personal Data（Privacy）Ordinance（2020年1月20日）

とはいえ、義務がないからといって備えを怠るのは危険です。PCPDは「データ漏洩への対応とデータ漏洩通知に関するガイダンス（Guidance on Data Breach Handling and Data Breach Notifications）」（2010年初版、2023年6月に第3次改訂）で、漏洩が起きたら、必要な情報の即時収集、漏洩の封じ込め、損害リスクの評価、PCPDと本人への通知の検討、記録の5段階を速やかに踏むよう勧めています。

第4原則（安全管理）に違反したかどうかは、主に漏洩前に講じていた措置で判断されます。PCPDが2025年1月23日に公表したオックスファム香港の事案では、ランサムウェア攻撃で約55万人の個人データが影響を受けました。PCPDは、旧式のファイアウォール、多要素認証の未導入、不要な個人データの長期保持を挙げて第4原則と第2原則の違反を認定し、執行通知を出しています。実務では、日本と同じ水準の安全管理と漏洩対応の手順を整え、PCPDや本人に通知するかを速やかに判断できるようにしておきます。日本本社から提供・委託したデータが香港で漏洩した場合は、日本側で個人情報保護法第26条の報告・通知が必要になることもあります。

参考：PCPD｜Guidance on Data Breach Handling and Data Breach Notifications

また、香港では2026年1月1日に重要インフラ（コンピュータシステム）保護条例（Cap. 653）が施行されました。対象は、エネルギーや銀行・金融、通信・放送など8分野で、当局から書面で指定を受けた重要インフラの運営者です。指定を受けた運営者は、セキュリティ管理体制の整備やリスク評価に加え、コンピュータシステムのセキュリティインシデントを報告しなければなりません（中核機能に影響するものは12時間以内、それ以外は48時間以内）。指定を受けた日本企業の香港拠点は、PDPOの任意の通知とは別に、この法定の報告義務を負います。

香港と日本・中国本土の間の越境データ移転

PDPO第33条は、香港外への個人データの移転を原則として禁じる規定です。例外は、告示で指定された地域への移転、本人の書面による同意、データ利用者による合理的な予防措置とデューディリジェンスなどに限られます。ただし、この条文は1995年の制定以来、施行されていません。

そのため、香港から日本本社へ個人データを移すこと自体は、現時点では第33条に違反しません。ただし、移転そのものが第3原則の「利用」に当たるため、PICSで示した目的と提供先の種類に日本本社が含まれていなければ、本人の規定された同意が必要です。委託先の管理義務（第2原則第3項・第4原則第2項）も海外の委託先に及びます。

PCPDは2014年12月に越境移転のガイダンス（Guidance on Personal Data Protection in Cross-border Data Transfer）を、2022年5月にそれを補う「推奨モデル契約条項」のガイダンスを公表しています。モデル条項には、データ利用者どうしの移転用と、データ利用者からデータ処理者への移転用の2種類があり、日本本社が自らの目的でもデータを使うなら前者、香港子会社の委託で処理するだけなら後者が目安です。モデル条項に法的拘束力はありませんが、日本の個人情報保護法第28条で求められる措置とあわせて、1本のグループ内データ移転契約にまとめると管理しやすくなります。

参考：PCPD｜Guidance on Recommended Model Contractual Clauses for Cross-border Transfer of Personal Data

逆に、日本から香港へ顧客や従業員のデータを提供する場合は、日本の個人情報保護法第28条（外国にある第三者への提供）がかかります。香港は、個人情報保護委員会が日本と同等の水準にあると認めた国・地域（EUと英国）に含まれません。そのため、香港の制度などの情報を本人に示したうえで同意を得るか（同条第1項・第2項）、香港の受領者が日本法に沿った措置を続ける体制を契約などで整え、本人から求められればその措置の内容を説明する必要があります（同条第1項・第3項）。香港子会社は同じグループでも「外国にある第三者」に当たり、委託や共同利用の形でもこの規制は外れません。一方、香港支店は同じ法人の一部なので第三者には当たりません。

さらに、香港と中国本土の広東省9都市（大湾区）の間では、移転の手続を簡単にする標準契約（粤港澳大湾区（内地、香港）個人情報越境流動標準契約）が2023年12月13日に発表されました。当初は銀行、信用調査、医療の3分野に限られていましたが、2024年11月1日から全業種に広がっています。この標準契約を結び、本土側は広東省インターネット情報弁公室、香港側はデジタル政策弁公室に届け出れば、中国本土の個人情報保護法に基づく通常の手続より簡単に移転できます。ただし、使えるのは大湾区の本土9都市と香港の当事者に限られ、標準契約で受け取ったデータは大湾区の外（日本本社など）へ提供できません（標準契約第3条第7項）。日本本社での利用を前提とする場合は、本土の通常の手続を別に検討する必要があります。

参考：PCPD｜Guidance on Cross-boundary Data Transfer: Standard Contract for Cross-boundary Flow of Personal Information Within the Guangdong-Hong Kong-Macao Greater Bay Area（Mainland, Hong Kong）

香港のダイレクトマーケティング規制とドクシングの刑事罰

日本企業が香港で消費者向けの事業をする際、法的リスクが高いのがダイレクトマーケティングの規制です。2012年の改正で加わり、2013年4月1日に施行されたPDPO第6A部は、個人の氏名や連絡先を使って販促をする場合の手続を定めています。

データ利用者は、販促に使う前に、使うデータの種類と販促する商品・サービスの種類を本人に知らせ、本人の同意を得なければなりません（第35C条・第35E条）。この同意には「異議がない旨の表示」も含まれますが（第35A条）、PCPDのガイダンスは、本人が何も応答しないことは同意に当たらないとしています。そのため、本人が無料で意思を示せる手段（チェックボックスや返信フォームなど）を用意します。初めて販促に使うときは、無料で配信停止（オプトアウト）を求められる旨を知らせなければならず（第35F条）、本人が停止を求めたら従う義務があります（第35G条）。

グループ会社への顧客データの共有も、販促に使わせるなら第三者への提供に当たり、利益目的でなくても本人への書面の通知と書面の同意が必要です（第35J条・第35K条）。日本の特定電子メール法（特定電子メールの送信の適正化等に関する法律）は電子メールなどの広告に事前の同意を求めますが、第6A部は郵便や電話も含め、個人データを使う販促全般に及びます。メールやSMSによる販促には、PDPOとは別に非應邀電子訊息條例（Unsolicited Electronic Messages Ordinance、Cap. 593）も適用され、配信停止の仕組みなどが求められます。香港向けの同意取得の流れは、日本とは別に設計しておく必要があります。

加えて、2021年10月8日に施行された改正で、他人の個人データをさらすドクシング（起底）が犯罪になりました。本人の同意なく個人データを開示し、本人や家族に嫌がらせなどの「特定の危害」を与える意図があった場合（またはそのおそれを顧みなかった場合）、法定刑の上限は罰金10万香港ドルと拘禁2年です（第64条第3A項）。実際に特定の危害が生じた場合は、罰金100万香港ドルと拘禁5年が上限です（同条第3C項）。

この改正で、PCPDには犯罪捜査の権限（資料の提出要求、捜索、逮捕など）と、一部の犯罪を自ら訴追する権限が与えられました。ドクシングの内容の削除を求める停止通知（Cessation Notice）は香港外のサービス提供者にも送達でき（第66M条第2項）、従わなければ犯罪となり得ます（第66O条）。自社のSNSや掲示板サービスが香港の利用者に使われている日本企業は、停止通知に速やかに対応できる体制を整えておくべきです。

香港での従業員データの管理とAIに関するガイダンス

香港で現地スタッフを雇用する場合、従業員の個人データは、採用から退職後までの扱いを定めたPCPDの「人的資源管理に関する実務守則」（2001年施行）に沿って扱います。

近年PCPDが問題視しているのが、雇用主の身元を隠したまま応募者に履歴書などを送らせる「ブラインド広告」です。PCPDは2024年6月から9月にかけて13のオンライン求人サイトで2万2,270件の求人広告を確認し、23件のブラインド広告を見つけました。香港で応募者の個人データを直接求める求人広告には、企業名か、人材紹介会社を通すならその会社名を明記し、第1原則に沿ったPICSを示しておく必要があります。

参考：PCPD｜Media Statement：Compliance Check on Blind Recruitment Advertisements（2024年9月19日）

また、PCPDは2024年6月11日に「人工知能：個人データ保護モデルフレームワーク」を公表しました。企業がAIシステムを調達、導入、利用する際にPDPOを守るための指針で、4つの領域から成ります。経営陣が主導してAI戦略と社内体制を整えること、プライバシーへのリスクを評価し、リスクの高い利用では人間が関与すること、学習などに使う個人データを最小限にしてテストやインシデント対応の計画を整えること、AIの利用目的やデータの扱いを従業員や顧客に分かりやすく説明することです。

2025年3月31日には、従業員による生成AIの利用について社内ルールを作るためのチェックリスト（Checklist on Guidelines for the Use of Generative AI by Employees）も公表されています。いずれも法的拘束力はありませんが、香港拠点でAIツールを導入する場合や、香港の顧客データを自社のAIで処理する場合は、これらに沿った体制を整えておきましょう。

参考：PCPD｜Artificial Intelligence: Model Personal Data Protection Framework

香港のPCPDの権限と損害賠償による救済

香港のデータ保護違反には、PCPDによる執行、裁判所での損害賠償による救済、刑事罰があります。PCPDは、本人からの苦情を受け付けるほか、自らの職権でも調査できます。また、データ利用者の同意なく得た個人データを、利益を得る目的や本人に損害を与える目的で開示することは犯罪で、罰金100万香港ドルと拘禁5年が上限です（第64条第1項）。従業員が顧客データを持ち出す場面などで問題になり得ます。

調査の結果、PDPOの違反が認められると、PCPDは執行通知を出します（第50条）。PDPOには、EUの一般データ保護規則（GDPR）のように監督機関が直接制裁金を科す仕組みはありません。この点は日本の現行法も同じで、個人情報保護委員会の勧告・命令を経て、命令違反に刑事罰が科される構造は香港に近いと言えます（日本では令和8年の改正で課徴金制度の導入が決まっています。未施行）。執行通知に従わなければ犯罪となり、初回の有罪判決で罰金5万香港ドルと拘禁2年、違反が続く場合は1日1,000香港ドルの罰金が上限です（第50A条）。

PDPO第66条は、データ利用者の違反で損害を受けた個人に、民事訴訟で損害賠償を求める権利を認めています。この「損害」には財産的な損失だけでなく、精神的損害（感情の傷害）も含まれます（同条第2項）。データ利用者は、違反を避けるために合理的に必要な注意を尽くしたことを証明すれば責任を免れます（同条第3項）。一方、PCPDは訴えを起こそうとする本人を援助できます（第66B条）。

この規定が使われた例に、区域法院（日本の地方裁判所に当たる）が2021年2月19日に判決を下したTsang Po Mann事件（Tsang Po Mann v Tsang Ka Kit and Another、[2021] HKDC 208）があります。被告の夫婦（原告の叔父とその妻）は、自宅の防犯カメラの映像から原告の静止画を切り出し、苦情の文言を添えて、原告が教員として勤める小学校に匿名で郵送しました。裁判所は夫婦をデータ利用者と認め、防犯目的の映像を本人の同意なく別の目的に使ったことは第3原則に違反すると判断しました。そのうえで第66条に基づき、精神的損害の賠償として7万香港ドルの支払いを命じています。

親族間の事案ですが、身近な防犯カメラの映像でも、目的外に使えば損害賠償の責任を負うことが分かります。企業も、防犯カメラの掲示やPICS、社内規程に利用目的を示し、それ以外に使うときは本人の同意を得る必要があります。

参考：HKLII｜Tsang Po Mann v Tsang Ka Kit and Another（2021年・区域法院）

まとめ

香港の個人データ保護は、PDPOの6つの原則を土台に、ダイレクトマーケティングの規制、ドクシングの刑事罰、大湾区の標準契約などが加わって形づくられています。日本法との大きな違いは、漏洩通知がPDPO上の義務ではないこと（重要インフラ条例の報告義務は別にあります）、香港外への移転を制限する第33条が未施行であること、提供の可否を提供先ではなく収集時に示した目的で判断すること、販促に第6A部の通知と同意の手続があることです。

もっとも、備えを省けば、PCPDの調査や執行通知、第66条に基づく損害賠償請求を招くおそれがあります。まず日本本社が香港のデータを自らの目的で使うのかを決め、それに合わせてPICS、日本本社との移転契約、販促の同意の取り方、漏洩対応と従業員データ・AIの社内ルールを整えておきましょう。

当事務所では、香港をはじめとする海外での事業展開をご検討の日本企業の皆様に対し、香港のモデル条項と日本の個人情報保護法第28条を踏まえたグループ内データ移転契約の作成、販促の同意の取り方の見直し、漏洩発生時の日本と香港の双方での対応などについてサポートいたします。