《亚洲法律杂志》近日发布了2020年亚洲50大律师事务所的排名。本所连续5年再次当选香港第五大本地律师事务所。

本所于1978年创立，拥有170多名经验丰富的律师和工作人员。凭借丰富的本地和国际专业知识，本所致力为客户之个人或商业问题提供创新﹐有效的解决方案。

在过去的一年，香港法律界面对巨大的挑战。在这空前的时代下，本所努力确保与客户的沟通和服务不受影响，同时确保本所员工之情感和身体的健康同样重要。在展望2021年的同时，本所将会继续努力提高服务质素，并随着环境的变化与时并进。

藉此，本所热烈祝贺本所之战略联盟伙伴- 锦天城律师事务所，在所有亚洲本地律师事务所中位列第四。

关于《亚洲法律杂志》

《亚洲法律杂志》是由Thomson Reuters出版的顶尖法律期刊，被认为是亚洲最具影响力的法律媒体之一。 由《亚洲法律杂志》所举办的亚洲50强，旨在根据律师事务所的规模和律师人数来确定亚洲最大律师事务所的排名。

如有任何查询，请联络所郑炎潘律师、劳恒晃律师或傅景元律师。

除香港现有的《个人资料（私隐）条例》（“ PDPO”）外，自2018年5月25日起生效的欧盟GDPR亦因其广泛的地域适用性及可能所施加的沉重罚款，被认为是数据私隐法律的一项重要突破。罚款额度之重— 能体现于近期一宗德国案件中，一间国际零售商因其位于纽伦堡的分支在管控和处理数百员工的个人数据上曾采纳不恰当的措施而遭到罚款3,530万欧元。

数据处理基本原则有那些？

GDPR要求数据管控者及处理者遵守数据处理基本原则并就此承担法律责任。基本原则包括合法、公平和透明、目的限制、数据最少搜集、准确性、存储限制及完整性和保密性[1]。例如，当一间公司要履行遵守数据完整性和保密性原则的义务时，该公司需要建立适当的网络和数据安全措施，实际措施包括在与数据处理者的合同中增加更为严格的数据安全条款。

香港的公司会受到多大程度影响？

GDPR具有域外效力。香港公司在以下情况下可能需要遵守GDPR：

1. 在欧盟没有设置机关[2]，但向欧盟人士提供商品或服务，或监视他们的行为; 或

2. 在欧盟内设有机关，该机关的活动涉及处理个人数据，不论是否确实在欧盟境内处理数据。[3]

数据管控者和处理者在处理从相关活动所搜集到的个人数据时均会受到监管。

受GDPR规管的例子：

• 一家香港的线上销售平台，提供英文作网站语言和以欧盟成员国为运输目的地
• 一个香港的应用程式，可为香港游客在欧盟境内旅行中提供定位服务
• 一家位于欧盟的集团，共享并传输其数据到香港子公司进行存储和分析

然而，只有当与商品和服务供应有关的数据处理活动以欧盟境内人士为目标时，相关的处理活动才会被纳入规管。如果数据处理仅涉及原意为向在欧盟境外人士提供的服务，而即使该服务在境外人士进入欧盟范围时未有中止，相关数据处理活动亦不受GDPR约束。[4]

超出GDPR范围的例子：

• 一个香港的手机新闻应用程式，向香港用户（在订阅服务时提供香港手机号码）提供中文的每日新闻更新。当香港用户进入欧盟领土时，有关新闻更新服务不受GDPR规管。

如果一间公司的数据处理行为低于GDPR标准，这将会带来什么后果？

违反GDPR的行政罚款分为两级，具体取决于违规的类型。较低级别的罚款为最高1000万欧元，或前一个财政年度（对于企业而言）全球总营业额的2％ ，以较高者为准。[5]较高级别的罚款金额为最高2,000万欧元，或前一个财政年度（对于企业而言）全球年度总营业额的4％，以较高者为准。[6]

公司在什么情况下会被罚款？

如公司不遵守以下规定（非详尽无遗），则可处以较低的罚款：

1. 获取父母的同意下处理儿童的个人数据；

2. 如果不需要识别数据当事人，则匿名处理个人数据；

3. 发出数据泄露通知；

4. 委任数据保护主任；或

5. 其他。[7]

如公司不遵守以下规定（非详尽无遗），则可能处以较高的罚款：

1. 遵守数据处理的基本原则，例如在处理之前获得同意；

2. 保障数据当事人的权利，例如被遗忘权、反对处理权；

3. 通过合法机制将个人数据传输予第三国收取人；或

4. 其他。[8]

欧盟GDPR中的「数据管控者」和「数据处理者」与香港PDPO中的「数据使用者」有何不同？

简而言之，「数据管控者」通常是指决定如何处理个人数据以及出于何种目的处理个人数据的人员或公司，而「数据处理者」是指为管控者处理数据的人员或公司。[9]一间公司可以同时拥有两者身份。

而「数据使用者」则是香港《个人资料（私隐）条例》中所使用的概念。这是一个统称，涵盖GDPR中的「数据管控者」和「数据处理者」。GDPR会同时监管这两种角色，然而香港的PDPO并不直接规管「数据处理者」。

「同意」是在GDPR下数据处理的一个法律基础。这与香港现行获取同意的做法有何等不同？

在香港，客户在网页上剔选同意框的做法通常是与相关公司需要将客户的个人数据用于直接营销有关。客户的同意并不是搜集个人数据的先决条件，但若将搜集到的数据用于其他目的如直接营销时，则需要取得客户的同意。[10]

根据上述的法律原则，公司可选择不同的法律基础来搜集和处理个人数据。取得「同意」是其中之一，亦可能是最普遍的基础，但前提是所取得的「同意」必须是在自由、具体及知情的情况下给予，并且必须是明确的表达。[11]

若干其他GDPR所要求而PDPO并不强制的重要公司措施

以下（非详尽无遗）的措施并非PDPO所强制，但对证明遵守GDPR是有必要的:-

数据保护主任

如果公司的核心活动包括处理有系统大规模监控数据当事人而获得的数据，例如线上追踪，特征分析（即对个人偏好的预测），或处理大量敏感个人数据，则无论公司的规模大小，都必须任命数据保护主任。

数据保护主任负责监察公司对GDPR的遵守情况，并与监管机构联系。

数据泄露通知和补救措施

数据管控者必须在没有不当拖延的情况下就数据泄露（且在可行的情况下，在知悉此事后72小时之内）通知欧盟监管机构，除非该泄露不太可能对个人的权利和自由产生风险。

其他重要的公司措施包括（但不限于）：

• 内部数据保护政策
• 数据保护影响评估
• 在IT系统的设计中纳入私隐考量及预设私隐设定

本文由史蒂文生黄律师事务所的诉讼团队合伙人洪玉晖律师、刘嘉熙律师及卢建华见习律师共同合着。鉴于2019冠状病毒疫情的影响，GDPR对公司处理员工健康数据的潜在影响受到关注。如果你对这方面有任何疑问，请联系洪玉晖律师。

本文仅供参考之用。本文之内容不构成亦不应被视为法律意见。对于任何因根据或倚赖本文件所载资料所作决定，行动或不行动而引致的损失或损害，史蒂文生黄律师事务所概不负责。

本所企业融资部高级律师刘砚枫于2020年10月15日在网上CPD专业进修课程「IPO101：上市项目的基础」担任主讲。刘律师在是次课程中详细解释公司上市资格及合适性、剖释上市项目并涵盖业务架构重组、尽职调查、招股书起草及股份发售等内容。另外，课程亦概述上市流程及首次公开发售前投资。

刘律师就香港市场的企业融资活动，包括在香港联合交易所有限公司上市及首次公开发行、其后的股本发行、供股权发行、可换股债券等向上市申请人、保荐人及／或承销商提供专业意见。刘律师曾参与多个涉及中港两地的合并及收购项目，亦为多家香港上市公司就监管及合规事宜提供顾问服务。

如阁下有任何查询或想了解更多详情，请联络本所刘砚枫律师。

本所很荣幸获得第十九届《亚洲法律杂志》(Asian Legal Business) 香港法律大奖2020之十二项奖项提名：
入围名单包括:

• BDO年度家庭事务律师事务所
• 年度民事诉讼律师事务所
• 年度刑事诉讼律师事务所
• 年度争议解决 (精品律师事务所)
• 年度劳工和就业律师事务所
• 年度私人财富律师事务所
• 年度房地产律师事务所
• 年度监管与调查律师事务所
• 年度税务与信托律师事务所
• 年度交易精品律师事务所
• 年度争议解决律师- 徐凯怡律师
• 年度女律师（律师事务所）-徐凯怡律师

香港法律大奖为《亚洲法律杂志》所颁发之最为盛大及历史悠久的奖项。该奖项旨在表彰法律界精英于过去一年的杰出表现及交易项目。结果将于2020年11月27日的颁奖典礼上宣布。

请按此查看香港法律大奖的所有提名。

如阁下有任何查询或想了解更多详情，请联络本所郑炎潘律师、劳恒晃律师或傅景元律师。

2020年9月17日下午，本所合伙人，诉讼及争议解决部主管徐凯怡律师受Legal Plus邀请，担任「Legal Plus 意见领袖线上论坛：国际仲裁意见领袖线上论坛」 (Legal Plus Leaders Web-forums: International Arbitration Leaders Web-forum) 演说嘉宾。

本次线上论坛由Legal Plus主办，徐律师与来自亚洲、欧洲和中东地区的法律从业者、企业法总等参会人士分享如何运用内地与香港仲裁互助保全安排，最大化地收回债权利益 (Maximizing Recovery Through the Use of PRC-Hong Kong Interim Measures Arrangement in International Arbitration)。

如阁下想了解更多详情，请联络本所合伙人徐凯怡律师 (heidi.chui@sw-hk.com)。

自2019 冠状病毒病（以下简称「COVID-19」）全球大流行以来，为检测和追踪COVID-19的措施引起了公眾对资料保护和个人隐私的日益关注。这些措施的目的是为了帮助公众渡过难关及尽快恢复正常生活，但与此同时，实行此等措施的代价又会是什么？本文参考香港个人资料私隐专员公署（以下简称「私隱署」）自COVID-19大流行以来发表的数篇媒体声明和回应，总结《个人资料（私隐）条例》（以下简称「《私隱條例》」）如何平衡私隐权与公共健康及安全。

《私隱條例》简介
《私隱條例》均适用于公私营机构。所有资料使用者在处理个人资料时，一般应遵守六项保障资料原则（以下简称「保障资料原则」）：

1. 收集目的及方式；
2. 准确性、储存及保留；
3. 使用；
4. 保安措施；
5. 透明度；及
6. 查阅及更正。

私隐权 与 健康及生命

私隐权是一项重要权利，然而受《私隱條例》保护的利益必须与其他重要权利或公共利益相平衡。《私隱條例》提供在特定情况下一些对合规性要求的豁免。以下条文于涉及重大公众健康考量时适用：

• 《私隱條例》第59条豁免与公众或社会利益有关的健康事宜，可免受限制使用资料的规管；及
• 「生存的权利」载于（i）《香港人权法案条例》第二条 及（ii）《公民权利和政治权利国际公约》第6条，指人人皆有天赋之生存权。此种权利属绝对性，并凌驾于其他可能与其有冲突的基本人权，包括私隐权。

私隐问题的考虑

1. 强制检疫措施

政府将收集被检疫人士的位置资料以监察他们有否遵守隔离条件。在收集此类资料前，政府将根据保障资料原则1向被检疫人士说明收集的目的和方式，并征得他们的同意提供其个人资料和从其移动设备收集信息 (如使用视像通话中所牵涉的资料)。

私隱署亦提请公众注意《私隱條例》的第59（1）条中就保障资料原则3（即资料使用）所提供的豁免。当中指出，在相当可能会对资料当事人或任何其他人的身体或精神健康造成严重损害的情况下，资料使用者可毋须得到资料当事人的同意而向第三者披露当事人的身体健康或精神健康有关的个人资料。

2. 普及社区检测计划

该计划将收集个人资料（包括姓名、身份证号码或出生登记编号及本地流动电话号码）。该计划须获得参加者同意有关个人资料的使用，且该使用须符合目的明确及有限制使用的原则。个人资料将以「有需要知道」的原则处理，并于计划完成后的一个月删除。

3. 使用社交媒体上的资料以追踪潜在的 COVID-19带病毒者

虽然从公共领域上取得的资讯一般受《私隱條例》规管，但其将会受到与其有冲突的权利或利益（例如生存的权利）所约束。根据《私隱條例》第59（2）条，在相当可能会对资料当事人或任何其他人的身体或精神健康造成严重损害的情况下，资料使用者可毋须得到资料当事人的同意而向第三者披露关乎某资料当事人的身分或位置的个人资料。因此，如当局怀疑有人与感染者有密切接触而密切监察他们的行踪，包括他们曾到访的场所和接触过的人士，以防COVID-19在社区内进一步传播，此举乃符合公众利益。

政府有充分的法律及正当合理的基础，以不同设备、应用程式、软件或超级电脑，收集及使用于网上或实体形式所取得的资料，以追踪COVID-19的病人或潜在带病毒者。有关做法合符相关人士以及公众利益。

4. 于工作场所收集体温数据

雇主有法律及企业责任保障雇员及来访者的健康。为了保障雇员及来访者的健康，雇主收集他们的体温测量数据或属COVID-19医学症状的有限资讯，一般而言属合理的做法。雇主应向雇员说明如何处理收集到的资料。自我申报机制较无差别地收集健康数据的全面强制机制更为可取。

雇主收集雇员和来访者的体温测量或医疗状况属合理和正当。在满足《私隱條例》下的通知要求后(即向雇员提供《收集个人资料声明》，以告知雇员所收集的资料及其目的及资料可能会转移给哪类人士)，雇主可以要求雇员完成申报个人健康数据。根据《私隱條例》第59条，如仅为了追踪和治疗感染者，及因有迫切需要追踪其紧密接触者，雇主可向政府或卫生机构披露他人的身份、健康状况及位置资讯。

5. 在家工作安排

个人资料的保障不应妨碍在家工作安排，但雇主及雇员在远离有专业管理的工作环境下处理转移或使用文件和数据时要格外小心。

雇主应建立资讯系统以确保资料由办公室安全传送至家中的同时，雇员亦应小心留意有关网络保安以防资料外泄。

6. 于处所收集的体温数据/个人资料

私隱署指出处所营运者有合理依据收集来访者的个人资料。然而，处所营运者应致力提高收集的个人资料的使用的透明度和可解释性。同时，私隱署亦再度指出个人资料私隐权并非绝对的权利，它受个人生存权和公众利益约束。收集的资料必须是必要、适当及与达到的目的相称。

为符合保障资料原则，营运者应向来访者详细解释资料收集资料的目的，让来访者自行决定是否容许收集其生物辨识资料。如来访者拒绝提供相关资料，营运者可以拒绝来访者进入以保障其员工和其他人的健康。

总结

在面对疫症大流行时，公众必须谨记个人资料私隐权并没有完全被忽略。但是，保障资料原则不应妨碍抗疫措施。 私隱署已认可政府为平衡私隐权和公共卫生需要方面所采取的措施。企业所有者和个人应继续在切实可行的范围内遵从保障资料原则，并尽最大努力遵守《私隱條例》下的要求。

如就私隐权事宜有任何查询或需要更多资料，请联络本所刘砚枫律师或胡恩婷律师。

于本文中提供的一切资料仅供参考，不构成任何法律意见，资料亦受制于适用规定及法例不时的更新与修改。若需取得相关法律意见，须咨询法律顾问。