個人資料私隱條例與偵探調查：委託人要知道的六項原則
簡短答案：私家偵探社處理可辨認在世個人的資料時，不能只靠「調查需要」四個字。香港的六項資料保障原則要求資料有合法目的、足夠但不過量、保持準確、限制保存和用途、妥善保安，並保持政策透明及處理查閱更正權利。
簡短答案：私家偵探社處理可辨認在世個人的資料時，不能只靠「調查需要」四個字。香港的六項資料保障原則要求資料有合法目的、足夠但不過量、保持準確、限制保存和用途、妥善保安，並保持政策透明及處理查閱更正權利。
《個人資料（私隱）條例》同時適用於私營和公營機構，而且以原則為本。個別案件或許涉及特定豁免，但私隱專員公署明確指出，資料使用者不應例行依賴豁免，而要逐案證明適用。以下把六項原則放回偵探調查的實際流程理解。
DPP1：收集目的和方法
個人資料只應為與資料使用者職能或活動直接相關的合法目的收集，數量須必要、足夠但不過量，方法亦要合法和公平。
對委託人的意義
不要因為手機內有大量資料便全部交出。先定義調查問題，再挑選直接相關的時間線、相片和文件。要求對方解釋每項敏感資料為何需要。
對偵探社的意義
初步諮詢應採取資料最少化，不應用空泛表格收集與服務無關的身份、家庭或財務內容。從當事人直接收集資料時，亦要留意告知目的、是否必須提供、可能轉交的對象及查閱更正安排。
DPP2：資料準確及保存期限：
資料使用者要採取切實可行步驟確保個人資料準確，並且不保存超過達成用途所需的時間。已不再需要的資料，原則上應按適用要求刪除。
調查報告如何落實？：
- 把已確認、待確認及第三者轉述分開；
- 姓名、日期或地點出現錯誤時保留更正紀錄；
- 不要用數年前的相片直接推斷現時身份；
- 為原始資料、工作副本、報告和備份設定不同保存期。
DPP3：只限原有或直接相關用途
個人資料不應在未有適當同意下，用於收集時沒有說明、亦不直接相關的新目的。調查資料交付給委託人後，也不應任意變成社交媒體內容、公開指控、宣傳案例或另一宗案件的資料庫。
如果報告原定只交律師審閱，後來想在公司內廣泛傳閱，應先重新評估目的、必要性和收件人。服務合約最好寫明獲授權用途。
DPP4：資料保安
資料使用者須採取切實可行步驟，防止個人資料遭未獲准或意外查閱、處理、刪除、喪失或使用。偵探調查常見的保安風險包括電話遺失、錯誤傳送報告、共享連結沒有權限限制，以及外判人員保存副本。
可採取的實務措施
- 案件以編號管理，避免在檔名暴露敏感身份；
- 報告和密碼分開傳送；
- 只讓需要工作的人員取得相應資料；
- 外出裝置設鎖，紙本文件不留在車內或公共地方；
- 外判或雲端處理以合約和權限控制；
- 建立錯誤傳送、遺失或外洩的通報程序。
把「有用」和「有必要」分開問
某項個人資料或許對理解背景有用，卻未必是回答委託問題所必要。例如要核實某日是否到場，不代表需要收集整個家庭的財務、醫療和多年行程。開始前逐項寫下資料用途，若刪去它仍能作同一決定，就應考慮不收集或先作遮蓋。
這個判斷亦適用於公開資料。社交平台、公司登記或網頁曾經公開，不代表可以脫離原脈絡無限整理和再披露。偵探社應說明搜尋範圍、核實日期和報告接收人，委託人則避免把公開當成沒有私隱影響。
DPP5：政策透明：
資料使用者應採取步驟，公開其個人資料政策和做法、持有的資料種類及主要用途。對私家偵探社而言，保密需要與透明並存：不能公開案件內容，但應讓客人知道公司通常怎樣收集、保存、使用和刪除資料。
網站私隱政策、委託條款和保密協議應互相一致。如果網站說案件完成即刪除，但合約又保留無限期使用權，便需要澄清。
DPP6：查閱及更正
資料當事人一般享有要求查閱和更正其個人資料的權利，但條例亦有程序、拒絕情況和其他細節。偵探社不宜承諾任何查閱要求都必然接受或拒絕；應建立識別、評估、回覆和保存紀錄的程序。
委託人如發現報告內自己的聯絡資料或案件描述有誤，應盡快提出並保留修訂版本。至於涉及第三者、法律權益或豁免的要求，應按個別情況處理。
資料處理者不等於責任消失
偵探社可能使用外判人員、雲端平台、影片處理或文件儲存服務。私隱專員公署指出，當資料使用者聘用資料處理者時，仍要透過合約或其他方式確保其符合保存期限和資料保安要求。把檔案交到第三方平台，不會自動把責任一併轉走。
關於豁免：不是一張預先簽好的通行證
條例在特定情況下設有豁免，例如與防止或偵查罪行、法律要求或行使及維護香港法律權利相關的情況。但豁免是否適用要看具體事實和條文，並由主張一方證明。委託人不應因為調查可能與爭議有關，便假設所有收集和使用方式都獲豁免。
資料最少化可以直接用一個刪除測試實行
資料最少化可以由交付次序開始，而不必一次傳送完整檔案。初步可用案件代號、一頁事件摘要和遮去無關欄位的索引評估可行性；待偵探社說明某份原件會回答哪個問題、由誰接收及保存多久，才開放相應部分。若只需要確認人物外貌，便不把同一文件上的完整證件號碼一併傳送。分階段披露讓委託人仍可控制敏感內容，也迫使每次新增資料都有清楚理由。
準確性亦不能忽略。舊地址、轉述姓名或社交平台相片要標明日期與來源，不能因出現在客戶檔案便當成現況。若報告會交律師或公司決策者，工作副本可遮去無關第三者，而原檔限制在更小範圍。案件目的完成後，再檢查哪些內容仍有爭議保存需要，其餘按紀錄刪除，避免一宗短期核實變成永久人物檔案。資料表可另設「最後核對日期」，讓過時內容在下一次被引用前先觸發更新，而非悄悄沿用。
委託私家偵探時的私隱檢查表
- 收集資料的具體目的寫清楚了嗎？
- 每項資料是否必要，而非只因容易取得？
- 來源、日期和準確程度有沒有標示？
- 誰能查看，會否交外判或第三方平台？
- 報告可交給誰、用於甚麼目的？
- 工作副本、原始檔、報告和備份保存多久？
- 發生錯誤、外洩、查閱或更正要求時如何處理？