IPO · 2026-04-24

上市前數據私隱合規：GDPR 同香港私隱條例嘅雙重遵循

hong-kong-travel-guide-2025 image 1

2025年4月，歐洲數據保護委員會（EDPB）正式發佈《向第三國傳輸個人資料之補充傳輸工具指引》更新版，明確要求香港上市申請人在採用標準合約條款（SCCs）時，須對香港《個人資料（私隱）條例》（第486章）進行逐條差距分析。同一季度，香港證監會（SFC）在審閱12份上市申請時，首次將數據私隱合規完整性列為「重大遺漏」事項，直接導致其中3份申請退回重遞。對於正在籌備Pre-IPO融資輪的內地科技企業而言，雙重監管壓力已從「建議遵循」轉變為「強制門檻」——特別是那些透過VIE架構在開曼群島（Cayman Islands）或百慕達（Bermuda）註冊上市主體、但核心數據處理活動仍位於中國內地與香港的申請人。本文聚焦2025-2026年跨境上市前必須完成的GDPR與香港私隱條例雙重合規路徑，從組織架構、資料映射、合同條款及SFC審閱實務四個維度拆解具體操作。

雙重監管框架的衝突點與協同效應

GDPR之域外管轄與香港私隱條例之屬地原則

GDPR第3條明確賦予其域外管轄權——任何在歐盟境內設立營業處所之資料控制者或處理者，或雖未在歐盟設立但向歐盟資料主體提供商品或服務者，均須遵循GDPR。香港《個人資料（私隱）條例》則以「在香港收集、持有、處理或使用個人資料」為觸發點（第2條釋義章節）。對於Pre-IPO階段的跨境企業，兩者重疊的典型場景包括：集團在歐洲設有銷售子公司（觸發GDPR）、同時在香港設有區域總部處理客戶資料（觸發香港條例），而核心數據庫伺服器位於中國內地。

2024年香港個人資料私隱專員公署（PCPD）年度報告顯示，涉及跨境數據傳輸的投訴個案按年上升23%，當中42%與金融科技及電子商務平台相關。此趨勢直接影響SFC在審閱上市申請時對數據合規風險的評估權重。

六項數據保護原則與六項處理原則之對標

香港條例附表1載明六項數據保護原則（DPP1-DPP6），涵蓋收集目的及方式、準確性及保留期限、使用限制、保安措施、透明度及查閱權。GDPR第5條則列出六項個人資料處理原則——合法性、公平性及透明度，目的限制，數據最小化，準確性，儲存限制，完整性及保密性。

兩者並非完全鏡像。關鍵差異在於：GDPR要求「數據最小化」（data minimisation）為獨立原則，香港條例僅在DPP1(2)中隱含「不超乎適度」之要求；GDPR對「同意」之定義更嚴格——須為「明確、具體、知情且不含糊」之表示（第4條第11款），而香港條例下之「同意」可為默示（第2條釋義）。Pre-IPO企業在設計用戶協議時，必須同時滿足兩種標準，否則在SCCs談判中將被歐洲資料保護機構（DPA）質疑。

Pre-IPO階段的數據映射與風險評估實務

資料分類與處理活動記錄（ROPA）之雙語編制

GDPR第30條要求資料控制者及處理者備存處理活動記錄（ROPA），內容須包括處理目的、資料類別、資料主體類別、接收方類別、跨境傳輸情況及預計保留期限。香港條例雖無明確ROPA條文，但PCPD於2024年發布的《跨境資料轉移指引》建議企業「建立系統化記錄以證明合規」。

實務操作上，Pre-IPO企業應編制中英文雙語ROPA，並按以下維度分類：

  • 資料主體類別：員工（HR資料）、客戶（交易記錄、身份證明）、用戶（行為數據、Cookie）、供應商（聯絡資訊）
  • 敏感度分級：一般個人資料（姓名、電郵）、特殊類別資料（GDPR第9條——健康、生物識別、政治取向）、刑事定罪資料（GDPR第10條）
  • 處理系統：CRM、ERP、HRIS、第三方SaaS平台、數據分析工具

2025年第一季，一家計劃在港交所主板（Main Board）上市的東南亞電商平台，因未能提供完整的ROPA而被SFC要求補充說明——其歐洲業務部門僅備存英文ROPA，香港部門則完全缺失，最終導致上市時間表延遲八週。

跨境傳輸機制之選擇：SCCs、BCRs 與香港條例第33條

GDPR第44至49條規定跨境傳輸之合法機制，最常用者為標準合約條款（SCCs，歐盟委員會2021年發布版本）及有約束力之企業規則（BCRs）。香港條例第33條則規定「除非資料使用者已取得資料當事人書面同意，否則不得將個人資料轉移至香港以外地方」——此條文自1996年生效至今仍未全面實施，但PCPD在2024年立場書中明確表示「將於2025年啟動立法修訂程序，強制執行第33條」。

對於Pre-IPO企業，最務實的路徑是：

  1. 採用歐盟SCCs 2021版本作為集團內部跨境傳輸之基礎合約，覆蓋歐盟至香港、香港至中國內地兩條傳輸路線
  2. 補充香港條例特定條款：在SCCs附件中增加對DPP3（使用限制）、DPP4（保安措施）及DPP6（查閱權）之具體遵循說明
  3. 建立BCRs框架：對於集團旗下超過三個法律實體、且每年跨境傳輸超過10萬筆資料之申請人，BCRs可提供一次性審批（由主導監管機構批准後，集團內所有實體自動合規），節省逐國談判SCCs之時間成本

2026年1月，EDPB預計將發布針對香港之「資料保護充分性認定」（adequacy decision）初步評估報告。若香港獲得充分性認定，則歐盟至香港之傳輸將無需額外SCCs——但此認定僅限於香港境內處理之資料，不涵蓋由香港再傳輸至中國內地之情況。

SFC審閱實務：數據私隱合規之「重大遺漏」標準

招股書（Prospectus）中數據私隱風險之披露要求

SFC於2024年12月更新《公司收購、合併及股份回購守則》及《上市規則》相關執行指引，明確要求招股書中須包含以下數據私隱相關披露：

  • 合規架構描述：列明集團適用之所有數據保護法規（GDPR、香港條例、中國《個人信息保護法》PIPL等）
  • 重大風險因素：如資料外洩歷史、監管調查、集體訴訟風險——須量化潛在財務影響（例如：GDPR最高罰款為全球年營業額4%或2,000萬歐元，以較高者為準；香港條例最高罰款為50萬港元及監禁3年）
  • 內部控制措施：資料保護影響評估（DPIA）執行情況、資料保護官（DPO）任命、員工培訓覆蓋率

2025年2月，SFC退回一份醫療科技公司之A1申請，原因之一為招股書中僅提及「已遵循GDPR」，但未具體說明如何處理歐盟患者資料傳輸至香港研究團隊之合規路徑——此為典型「籠統陳述」缺陷。

保薦人（Sponsor）之盡職審查責任

根據SFC《保薦人指引》（2023年修訂版）第5.3節，保薦人須對申請人之數據合規狀況進行「合理查詢」（reasonable enquiry）。具體工作底稿應包括：

  • 數據資產盤點表：所有資料庫位置、第三方處理者名單、資料保留政策
  • 同意書樣本審閱：檢查用戶協議、Cookie橫幅、員工同意書是否符合GDPR第7條及香港條例第2條之雙重標準
  • 資料外洩應急計劃：是否已建立72小時通報機制（GDPR第33條要求）及向PCPD通報之程序（香港條例建議「在可行情況下盡快通報」）

一家於2025年3月通過聆訊的金融科技公司，其保薦人花費超過400工時完成數據合規盡職審查，最終在招股書中披露了27項資料處理活動、14個第三方處理者及6項跨境傳輸機制——此案例已成為SFC內部培訓材料。

組織架構與技術措施之實務部署

資料保護官（DPO）之任命與定位

GDPR第37條要求資料控制者及處理者在特定情況下（如大規模監控或處理特殊類別資料）強制任命DPO。香港條例雖無強制DPO條文，但PCPD於2025年1月發布之《數據管治框架建議》中，將DPO列為「最佳實踐標杆」。

實務建議：Pre-IPO企業應任命一名集團層面之DPO，其職位應獨立於IT及法務部門，直接向董事會報告。DPO之職責包括：

  • 監督ROPA更新及DPIA執行
  • 作為SFC、EDPB及PCPD之聯絡窗口
  • 每年向董事會提交數據合規報告
  • 參與所有涉及個人資料處理之新業務項目評審

資料保護影響評估（DPIA）之執行時機

GDPR第35條要求資料控制者在「可能對自然人之權利與自由構成高風險」之處理活動前執行DPIA。香港條例雖無強制DPIA條文，但PCPD指引建議「處理大量個人資料或採用新技術時」進行評估。

Pre-IPO階段應重點執行DPIA之場景包括：

  • 引入新CRM系統：涉及客戶資料遷移及第三方處理
  • 開設歐洲新市場：需處理歐盟居民資料
  • 實施AI驅動之用戶畫像系統：涉及GDPR第22條之自動化決策
  • 跨境重組：如VIE架構變更導致資料控制者變更

2025年6月，一家擬上市企業因未對其推薦算法系統執行DPIA，被SFC要求暫停相關功能直至完成評估——此事件直接影響其估值談判，Pre-IPO輪投資者要求將估值折讓12%以反映合規風險。

結論與行動清單

Pre-IPO數據私隱合規已不再是法務部門之孤島作業，而是直接影響上市時間表、估值倍數及投資者信心的戰略議題。2025-2026年之交，GDPR與香港私隱條例之雙重遵循將成為港交所上市申請之「隱形門檻」——未能通過者，輕則延遲上市，重則面臨SFC退回申請或上市後集體訴訟風險。

具體行動清單（按優先級排列）：

  1. 立即啟動ROPA編制：以集團層面盤點所有資料處理活動，區分歐盟、香港及中國內地資料流，確保中英文版本同步更新，並於2025年第四季前完成內部審閱。

  2. 任命集團DPO並建立報告線：DPO須獨立於業務部門，直接向審計委員會匯報，並於2026年第一季前完成首次董事會數據合規報告。

  3. 執行跨境傳輸機制差距分析：對照歐盟SCCs 2021版本與香港條例第33條要求，補充合約條款及技術措施（如加密、假名化），尤其關注歐盟至香港及香港至中國內地兩條路線。

  4. 將DPIA納入新項目立項流程：所有涉及個人資料處理之新業務、新系統或新市場拓展，均須在立項階段完成DPIA，並將結果存檔備查。

  5. 與保薦人建立數據合規工作會議機制：每月一次數據合規進度會議，確保招股書披露內容與實際操作一致，避免「籠統陳述」被SFC退回。