寫咗私隱政策，唔等於你處理好客戶資料
不少香港中小企老闆都有同一個錯覺：網站底部有條「私隱政策」連結，就當交咗功課。但實際上，這頁紙同你網站真正收集資料的方式，往往是兩回事。當客戶投訴、或者不幸發生資料外洩，第一樣被翻出來看的，就是這頁紙——它寫得對不對，直接影響你能否解釋清楚自己做了什麼。
更現實的問題是：騙徒冒充客服、準確講出客戶個人資料的個案，近年在香港時有所聞。客戶資料一旦散落在多個地方，而你自己都講不清存放在哪裡、誰有權限，就無從防起。
以下三個位，是我們審視中小企網站時最常見到出錯的地方。不需要大工程，多數可以在一個下午內處理好。
第一位：政策寫的收集方式，同網站實際做法不符
最常見的情況是：私隱政策寫「我們只會收集姓名及電郵」，但網站實際上還有聯絡表單的電話欄、WhatsApp 浮動按鈕、Google Analytics、Facebook Pixel、以及一個 newsletter 訂閱框。這些全部都在收集資料，但政策裡一個字都沒提。
另一個極端是照抄外國範本，裡面寫著「我們遵守 GDPR」、「我們設有資料保護主任（DPO）」。香港中小企一般受《個人資料（私隱）條例》規管，寫上自己沒有的東西，日後只會更難解釋。
具體做法
- 打開網站每一頁，逐一列出所有會收集資料的位置：表單、聊天框、訂閱、埋 code、第三方嵌入（地圖、影片、預約工具）。
- 對照私隱政策，逐項核對有沒有提及。沒有的就補上，寫清楚收集什麼、為何收集、會否轉交第三方。
- 刪走不適用於自己的法規聲明，換成香港《個人資料（私隱）條例》的相應描述。
時間估算：一個 10 頁以內的企業網站，逐頁盤點加修改，大約 2 至 4 小時。如果交由外部處理，一般按頁數或一次性收費，市場上常見為數千元範圍，視乎網站複雜程度。
第二位：資料存放在哪裡，公司內部無人講得清
這是中小企最真實的風險。客戶的查詢電郵留在共用信箱、表單回覆自動轉去某位同事的私人電郵、舊網站的資料庫還掛在已經沒人維護的伺服器上、離職同事的手機仍然收到通知。資料不是「洩漏」了，而是根本沒有人掌握全貌。
這種情況下，就算你私隱政策寫得再好，一旦要回答「客戶資料存放在哪裡、誰可以看」，你都答不上。
具體做法
- 畫一張簡單清單：每一個收集點 → 資料去到哪裡 → 誰有權限 → 保存多久。
- 把客戶資料統一收進公司控制的帳戶，不要用個人電郵或私人雲端硬碟。
- 離職或調職時，即時移除其帳戶權限，並檢查自動轉寄規則。
- 設定保存期限，例如查詢紀錄保留 12 至 24 個月後刪除，並在私隱政策中說明。
這一步不需要技術人員，老闆自己用一張紙就可以開始。完成後，你會第一次清楚知道自己手上究竟有什麼資料。
第三位：客戶查詢與投訴，沒有指定對外窗口
私隱政策通常會寫「如欲查閱或更正個人資料，請聯絡我們」，但實際上沒有寫明聯絡誰、用哪個電郵。結果客戶的查閱要求落在一般查詢信箱，與銷售查詢混在一起，沒有人負責，也沒有人記錄。
這不只是合規問題，也是防騙問題。當有人自稱客戶要求更改資料，如果你沒有既定流程核實身份，就有機會被套取或改動資料。
具體做法
- 指定一個專用電郵地址，例如 privacy@你的網域，並在私隱政策中寫明。
- 訂立簡單核實步驟：查閱或更改資料前，先以登記電話或電郵回撥確認。
- 記錄每一次查閱或更正要求：日期、要求內容、如何核實、由誰處理。
這套流程寫下來不足一頁，但日後無論是客戶投訴還是收到可疑要求，你都有依據回應。
私隱政策不是給律師看的文件，而是你公司如何對待客戶資料的一份說明。寫得對，是因為做法本身清楚；寫得不對，通常反映內部流程根本未整理好。
做完之後，順手檢查兩件事
當以上三項整理好，可以順便做兩個低成本動作。第一，檢查網站是否已啟用 HTTPS，表單提交是否加密傳輸；這是最基本的一層，但仍有中小企網站未做。第二，為公司電郵啟用兩步驗證，尤其是負責接收客戶查詢的帳戶——電郵被盜，往往就是客戶資料外流的起點。
如果你不確定現有網站的表單、第三方工具與資料流向，可以先做一次完整盤點。我們的網站方案與收費頁面列出了各項工作的範圍，你也可以直接聯絡我們，安排一次針對你網站的資料流檢查。
總結
香港中小企的私隱風險，多數不是來自高深的黑客攻擊，而是來自「寫咗但唔對應」、「存放但唔清楚」、「有人問但無人負責」這三種日常疏忽。與其花錢買一堆工具，不如先用一個下午，把私隱政策與網站實際做法對齊，畫出資料流向清單，指定一個對外窗口。這三步成本極低，卻能同時減低資料外洩與被冒充詐騙的風險，也是日後面對客戶查詢時最實在的底氣。