香港 PDPO 個人資料收集同意書範本教學：從零建立合規表單

1## 收集個人資料聲明
2
3[公司名稱]（「本公司」）致力保障閣下的個人資料私隱。本聲明旨在告知閣下，
4本公司在收集閣下個人資料時的政策及做法。
5
6### 1. 收集目的
7本公司收集閣下的個人資料（包括但不限於姓名、電郵地址、電話號碼及通訊地址），
8將用於以下目的：
9- (a) 處理閣下的服務申請或查詢；
10- (b) 與閣下就服務相關事宜進行溝通；
11- (c) 向閣下發送本公司的產品及服務推廣資訊（須經閣下另行同意）；
12- (d) 遵從適用法律及監管要求。
13
14### 2. 資料轉移
15本公司可能將閣下的個人資料提供予以下人士：
16- (a) 為本公司提供技術支援或數據處理服務的第三方服務供應商；
17- (b) 任何相關的政府部門或監管機構。
18
19### 3. 自願性質
20閣下有權拒絕提供個人資料。然而，若閣下未能提供所需資料，
21本公司可能無法處理閣下的申請或提供相關服務。
22
23### 4. 查閱及更正權利
24根據《個人資料（私隱）條例》，閣下有權查閱及更正本公司所持有的閣下個人資料。
25如欲行使上述權利，請以書面形式聯絡：
26
27私隱主任
28[公司名稱]
29地址：[詳細地址]
30電郵：[email protected]
31
32本公司可能就處理查閱資料的要求收取合理費用。
33
34### 5. 跨境轉移
35閣下的個人資料可能被轉移至香港以外的地區進行處理。
36本公司將採取合理步驟確保該等資料受到與《個人資料（私隱）條例》
37相若水平的保障。

1## Personal Information Collection Statement (PICS)
2
3[Company Name] ("we", "our") is committed to protecting your personal data privacy.
4This statement informs you of our policies and practices regarding
5the collection of your personal data.
6
7### 1. Purpose of Collection
8We collect your personal data (including name, email address, phone number,
9and correspondence address) for the following purposes:
10- (a) Processing your service applications or enquiries;
11- (b) Communicating with you on service-related matters;
12- (c) Sending promotional materials about our products and services
13      (subject to your separate consent);
14- (d) Compliance with applicable laws and regulations.
15
16### 2. Classes of Transferees
17Your personal data may be disclosed to:
18- (a) Third-party service providers who provide technical support or
19      data processing services to us;
20- (b) Any relevant government department or regulatory authority.
21
22### 3. Voluntariness
23You are not obliged to provide your personal data. However, failure to
24provide the required data may result in our inability to process your
25application or provide the relevant services.
26
27### 4. Access and Correction Rights
28Under the PDPO, you have the right to access and correct your personal data
29held by us. Please direct such requests in writing to:
30
31Data Privacy Officer
32[Company Name]
33Address: [Full Address]
34Email: [email protected]
35
36A reasonable fee may be charged for processing data access requests.

1// components/ContactForm.tsx
2'use client';
3
4import { useForm } from 'react-hook-form';
5import { useState } from 'react';
6
7interface FormData {
8  name: string;
9  email: string;
10  phone?: string;
11  message: string;
12  acknowledgedPICS: boolean;   // PDPO DPP1: 確認已閱讀收集聲明
13  consentMarketing: boolean;   // PDPO DPP3 / s.35C: 直接促銷同意
14}
15
16export default function ContactForm() {
17  const { register, handleSubmit, formState: { errors } } = useForm<FormData>();
18  const [submitted, setSubmitted] = useState(false);
19
20  const onSubmit = async (data: FormData) => {
21    // 記錄同意時間戳與 IP（用於合規審計）
22    const payload = {
23      ...data,
24      consentTimestamp: new Date().toISOString(),
25      consentSource: 'web_contact_form_v2',
26      locale: 'zh-HK',
27    };
28
29    const res = await fetch('/api/contact', {
30      method: 'POST',
31      headers: { 'Content-Type': 'application/json' },
32      body: JSON.stringify(payload),
33    });
34
35    if (res.ok) setSubmitted(true);
36  };
37
38  if (submitted) return <p>感謝提交！我們將盡快回覆。</p>;
39
40  return (
41    <form onSubmit={handleSubmit(onSubmit)} className="space-y-4">
42      <div>
43        <label htmlFor="name">姓名 *</label>
44        <input
45          id="name"
46          {...register('name', { required: '請輸入姓名' })}
47        />
48        {errors.name && <span className="text-red-500">{errors.name.message}</span>}
49      </div>
50
51      <div>
52        <label htmlFor="email">電郵地址 *</label>
53        <input
54          id="email"
55          type="email"
56          {...register('email', {
57            required: '請輸入電郵地址',
58            pattern: {
59              value: /^[^\s@]+@[^\s@]+\.[^\s@]+$/,
60              message: '電郵格式不正確',
61            },
62          })}
63        />
64        {errors.email && <span className="text-red-500">{errors.email.message}</span>}
65      </div>
66
67      <div>
68        <label htmlFor="message">查詢內容 *</label>
69        <textarea
70          id="message"
71          {...register('message', { required: '請輸入查詢內容' })}
72        />
73      </div>
74
75      {/* PICS 確認 — 非 opt-in，而是確認已閱讀通知 */}
76      <div className="border p-4 rounded bg-gray-50">
77        <p className="text-sm mb-2">
78          請閱讀我們的
79          <a href="/privacy/pics" target="_blank" className="underline">
80            收集個人資料聲明
81          </a>
82          。
83        </p>
84        <label className="flex items-start gap-2">
85          <input
86            type="checkbox"
87            {...register('acknowledgedPICS', {
88              required: '請確認已閱讀收集個人資料聲明',
89            })}
90          />
91          <span className="text-sm">
92            本人確認已閱讀並理解上述收集個人資料聲明。
93          </span>
94        </label>
95        {errors.acknowledgedPICS && (
96          <span className="text-red-500 text-sm">
97            {errors.acknowledgedPICS.message}
98          </span>
99        )}
100      </div>
101
102      {/* 直接促銷同意 — 必須為 opt-in，預設不勾選 */}
103      <div>
104        <label className="flex items-start gap-2">
105          <input
106            type="checkbox"
107            {...register('consentMarketing')}
108            // 重要：不設 defaultChecked，符合 PDPO s.35C
109          />
110          <span className="text-sm">
111            本人同意接收 [公司名稱] 的產品推廣及市場資訊。
112            本人可隨時透過電郵 privacy@example.com 撤回同意。
113          </span>
114        </label>
115      </div>
116
117      <button type="submit" className="btn-primary">
118        提交
119      </button>
120    </form>
121  );
122}

1CREATE TABLE consent_records (
2  id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
3  email VARCHAR(255) NOT NULL,
4  name VARCHAR(255),
5  pics_acknowledged BOOLEAN NOT NULL DEFAULT false,
6  pics_version VARCHAR(20) NOT NULL,          -- e.g. 'v2.1'
7  marketing_consent BOOLEAN NOT NULL DEFAULT false,
8  consent_timestamp TIMESTAMPTZ NOT NULL DEFAULT NOW(),
9  consent_source VARCHAR(100) NOT NULL,       -- e.g. 'web_contact_form_v2'
10  ip_address INET,
11  user_agent TEXT,
12  locale VARCHAR(10) DEFAULT 'zh-HK',
13  withdrawn_at TIMESTAMPTZ,                   -- 撤回同意的時間
14  created_at TIMESTAMPTZ NOT NULL DEFAULT NOW()
15);
16
17-- 建立索引以加速查閱要求的查詢
18CREATE INDEX idx_consent_email ON consent_records(email);
19CREATE INDEX idx_consent_timestamp ON consent_records(consent_timestamp);

1本公司擬使用閣下的姓名及電郵地址，向閣下推廣以下類別的產品及服務：
2- 數碼轉型顧問服務
3- 網站開發及電商解決方案
4- 數據分析及自動化工具
5
6如閣下同意本公司使用閣下的個人資料作上述直接促銷用途，
7請在下方剔選表示同意。
8
9☐ 本人同意 [公司名稱] 使用本人的姓名及電郵地址
10  向本人發送上述類別的產品及服務推廣資訊。
11  本人可隨時以書面方式撤回此同意。

1// utils/getPICSVersion.ts
2type Region = 'HK' | 'SG' | 'TW' | 'AU';
3
4interface PICSConfig {
5  version: string;
6  locale: string;
7  crossBorderDisclosure: string;
8  applicableLaw: string;
9}
10
11export function getPICSConfig(region: Region): PICSConfig {
12  const configs: Record<Region, PICSConfig> = {
13    HK: {
14      version: 'pics-hk-v2.3',
15      locale: 'zh-HK',
16      crossBorderDisclosure: '閣下的個人資料可能被轉移至新加坡及台灣進行處理。',
17      applicableLaw: 'Hong Kong PDPO (Cap. 486)',
18    },
19    SG: {
20      version: 'pics-sg-v1.5',
21      locale: 'en-SG',
22      crossBorderDisclosure:
23        'Your data may be transferred to Hong Kong and Taiwan for processing.',
24      applicableLaw: 'Singapore PDPA 2012',
25    },
26    TW: {
27      version: 'pics-tw-v1.2',
28      locale: 'zh-TW',
29      crossBorderDisclosure: '您的個人資料可能傳輸至香港及新加坡進行處理。',
30      applicableLaw: '個人資料保護法',
31    },
32    AU: {
33      version: 'pics-au-v1.0',
34      locale: 'en-AU',
35      crossBorderDisclosure:
36        'Your data may be transferred to Hong Kong and Singapore for processing.',
37      applicableLaw: 'Australian Privacy Act 1988',
38    },
39  };
40
41  return configs[region];
42}

1// eslint custom rule concept (simplified)
2// 檢查促銷同意 checkbox 是否有 defaultChecked={true}
3// 建議在 CI/CD pipeline 中加入此檢查