香港《私隱條例》通話錄音核對清單

作者：，Genium Group 聯合創辦人 · 發佈於

根據 DPP1,錄音方須在收集資料時或之前告知資料當事人收集目的,因此來電者須在錄音開始前聽到相關說明。因此,AI 語音電話代理必須將《私隱條例》通話錄音合規要求嵌入每個來電和去電流程。

《私隱條例》通話錄音中的個人資料

當語音錄音、來電顯示、通話記錄及服務備註能識別個人身份時,均屬《個人資料(私隱)條例》下的個人資料。根據私隱專員公署的條例簡介,保障資料第 1 原則(DPP1)規定只能為與資料使用者職能直接相關的合法目的收集資料。診所、律師事務所及物流營運商在通話期間經常收集姓名、醫療詳情或送貨地址,因此整個音訊檔案及任何衍生記錄均屬規管範圍。當代理在未將範圍限於既定目的的情況下錄音,便會出現過度收集。香港 AI 電話合規要求團隊在系統啟用前,必須將通話期間收集的每項資料欄位對應至已記錄的目的。

AI 語音通話披露必須涵蓋音訊本身及任何元資料。來電者在預約時提供地址,便會建立連結身份與位置的記錄。若該記錄之後用於分析儀表板,這種二次使用便會觸發 DPP3。某些詮釋將聲紋本身視為生物識別資料,儘管私隱專員公署尚未就此發出具約束力的裁決。團隊應採用最嚴格的解讀,將每個元素視為個人資料。

錄音前的披露要求

DPP1 要求在開始錄音時或之前作出清晰通知,DPP5 則要求公開你的私隱政策及實務。通知必須說明收集目的及可能接收資料的人士類別。對於《私隱條例》通話錄音,這意味著告知來電者對話會被錄音以作服務質素、培訓或解決爭議之用。披露必須使用來電者所用的語言。僅以英語作一般性提示,在來電者使用粵語時並不符合規定。

實際時機是通話接通的一刻,在任何實質對話開始之前。網站上的書面通知只有在來電者已經看到的情況下才符合 DPP1;否則在通話開始時的口頭披露是強制性的。因此,香港通話錄音同意流程會結合簡短的口述說明及讓來電者選擇退出或要求進一步資訊的選項。未能在首個合理時機作出此通知,會使資料使用者面臨 DPP1 下的投訴(可參閱私隱專員公署有關銀行錄音通知不足的個案)。

同意規則及新用途限制

對於原有收集目的,單憑通知已足夠。DPP3 禁止在未經資料當事人訂明同意下,將個人資料用於新目的。使用過往錄音訓練 AI 模型構成新目的。因此,任何重用《私隱條例》通話錄音資料以改善模型的計劃,均需在收集時或之後透過選擇加入取得單獨同意。將通話錄音用於直接促銷亦需根據條例中單獨的直接促銷條文取得明確同意(詳見私隱專員公署對直接促銷規則的簡介)。

一般服務質素監察屬原有目的範圍。當診所錄音以核實預約詳情時,該用途已被初始通知涵蓋。當同一錄音用於訓練聲音克隆模型或輸入行銷分群引擎時,便跨越了界線。在這些情況下,供應商資料處理者《私隱條例》關係並不能保護資料使用者;取得同意仍是收集資料的機構的責任。

《私隱條例》音訊保留期限及刪除

DPP2 要求個人資料不得保留超過所需時間。《私隱條例》音訊保留期限並無固定法定期限,但私隱專員公署的執法行動顯示,無審查的無限期儲存會引發調查。對大多數香港中小企而言,可辯護的政策是將解決爭議錄音保留 24 個月,將質素監察檔案保留 90 天,之後進行安全刪除。政策必須記錄在案,刪除程序必須可供審核。

AI 系統使刪除變得複雜,因為即使原始音訊檔案已移除,通話記錄及嵌入可能仍會存在。因此,香港 AI 電話合規要求資料使用者在與任何 AI 供應商的合約中指定刪除時間表。定期審核可確認音訊及衍生資料均按時清除。過度保留仍是錄音通話環境中最常見的《私隱條例》違規之一。

供應商資料處理者《私隱條例》責任

當外部供應商轉錄、儲存或分析錄音時,香港企業仍是資料使用者,供應商則充當資料處理者。因此,合約必須包含 DPP2 及 DPP4 要求的標準處理者條款:保安、存取限制、違規通知及合約結束時的資料歸還或刪除(典型條款可參閱私隱專員公署有關外判處理個人資料的單張)。資料使用者不能將取得同意或設定保留期限的責任轉移給處理者。

許多 AI 語音平台預設保留資料以改善模型。香港公司若接受這些條款而不作修訂,將對任何隨後的 DPP3 違規負責。在簽署前,法律審查必須確認處理者協議明確禁止重用錄音作培訓用途,除非已取得單獨同意。香港診所 AI 接待員操作指南及香港 AI 語音代理與傳統接聽服務比較均詳述這些合約條款如何在實際部署中實施。

結論

香港的《私隱條例》通話錄音合規取決於適時披露、目的限制、記錄保留及涉及供應商時明確分配資料使用者責任。在設計階段嵌入這些控制措施的企業可避免最常見的執法觸發點。

取得合規核對清單,了解我們的AI 語音電話代理如何開箱即用地處理《私隱條例》通話錄音流程。

常見問題

在香港錄音通話是否需要同意?

根據 DPP1,開始錄音前需要作出通知。只有當錄音將用於新目的(例如 AI 模型訓練或直接促銷)時,才需要訂明同意。一般服務及質素監察可僅依賴清晰披露。此區分很重要,因為在沒有新同意的情況下重用錄音會違反 DPP3。

錄音通話前我必須披露甚麼?

必須告知來電者錄音目的及可能接收資料的人士類別。披露應在通話開始時以來電者使用的語言進行。典型說明會聲明通話被錄音以作服務質素及解決爭議之用。網站上的書面通知可作補充,但不能取代口頭聲明。

根據《私隱條例》,我可以保留錄音通話多久?

《私隱條例》音訊保留期限受 DPP2 規管:資料不得保留超過所需時間。常見的做法是將爭議檔案保留 24 個月,將質素監察檔案保留 90 天。保留時間表必須記錄在案,刪除必須可核實。無審查的無限期儲存已引發私隱專員公署調查。

處理通話錄音的供應商是資料處理者還是資料使用者?

決定錄音的香港企業仍是資料使用者,供應商則是資料處理者。因此,合約必須將保安、存取及刪除職責分配給處理者,而資料使用者則保留同意及目的限制的責任。允許在無單獨同意下進行模型訓練的處理者協議會為資料使用者帶來法律責任。

錄音通話可以重用於訓練 AI 模型嗎?

重用於訓練構成 DPP3 下的新目的,需要訂明同意。最初的服務質素通知並不涵蓋模型訓練。任何允許此類重用的供應商合約必須修訂,或必須在每次通話時取得單獨的選擇加入同意。若無此步驟,重用行為便會違反條例。

Voice agents · AI receptionist for clinics: PDPO call flow in Hong Kong · Answering Service Hong Kong: AI Voice Agent vs Traditional · Ai agents · Cantonese AI voice agent: English model failures in Hong Kong · Property Voice Agent Hong Kong Measured Case · Retell vs Vapi: An 8-Criteria Production Teardown · More articles · Talk to our team