數據私隱糾紛的 ADR：個人資料洩露爭議的調解與仲裁

2025年7月，個人資料私隱專員公署（PCPD）發表年度報告，指出過去一年接獲的個人資料外洩通報較前年急升超過四成，其中涉及商業機構的個案佔整體七成以上。與此同時，香港《個人資料（私隱）條例》（第486章）的修訂方向已明確納入強制性外洩通報機制，預料最快於2026年上半年完成立法程序。企業面對的不再只是監管罰款風險——受影響客戶啟動集體索償的趨勢正在升溫。然而，傳統法庭訴訟的漫長排期與高昂訟費，令許多中小企及個別資料當事人卻步。這正是替代爭議解決方案（ADR）——特別是調解與仲裁——在數據私隱糾紛領域的切入點。本文梳理香港現行法律框架下的可行路徑，並說明為何2025至2026年是企業重新審視數據糾紛應對策略的關鍵窗口。

調解：數據私隱糾紛的首階段出路

調解的適用範圍與法律基礎

《個人資料（私隱）條例》第64條賦予資料當事人因資料使用者違反條例規定而蒙受損害時，提出民事訴訟的權利。傳統上，這類索償經區域法院或高等法院原訟庭處理。但條例本身並未禁止當事人在訴訟前或訴訟期間使用調解。

香港調解條例（第620章）為調解協議提供法律效力。調解過程中的溝通內容享有保密特權，除非雙方同意披露，否則不得在後續法律程序中作為證據。這對數據外洩案件尤其重要——企業往往不願公開內部系統漏洞的細節。

私隱專員公署的轉介角色

PCPD雖然不直接提供調解服務，但其實務守則鼓勵資料使用者與受影響人士透過對話解決爭議。2024年，PCPD更新了《處理投訴及進行調解的程序指引》，明確表示在投訴調查階段，若雙方同意，專員可建議將個案轉介至認可調解機構。

目前，香港國際仲裁中心（HKIAC）及香港調解會（HKMA）均設有商業調解名冊，部分調解員已具備處理數據私隱案件的經驗。選擇調解員時，應確認對方理解GDPR與香港條例的差異，以及資訊科技取證的基本概念。

調解協議的執行力

調解成功後，雙方簽署的書面協議可根據《調解條例》第8條申請轉化為法庭命令。一旦成為法庭命令，任何一方違約即構成藐視法庭，可被罰款或監禁。這比單純的合約條款更具強制力。

仲裁：具約束力的私隱爭議裁決

仲裁協議的訂立時機

仲裁適用於雙方已存在仲裁協議的情況。企業在客戶條款、員工合約或供應商協議中預先加入仲裁條款，是最有效的安排。香港《仲裁條例》（第609章）賦予仲裁裁決與法庭判決同等的終局效力。

對於沒有預先協議的數據外洩糾紛，雙方事後仍可簽署《提交仲裁協議》（Submission Agreement）。HKIAC備有標準範本，但建議由律師審閱後才簽署，以免條款遺漏關鍵事項如保密範圍、裁決上訴權等。

仲裁的保密優勢

數據私隱糾紛涉及系統漏洞、客戶名單、員工薪資等敏感資訊。仲裁程序不公開進行，裁決亦不對外公布。相比之下，法庭判決原則上公開——即使申請密封存檔，亦須說服法官證明有特殊情況。

《仲裁條例》第18條明確規定仲裁程序中的證據披露範圍由仲裁庭決定。這容許雙方限制對方查閱的檔案範圍，避免「全面披露」（full discovery）導致額外私隱風險。

仲裁成本與時間

HKIAC的機構仲裁費用按爭議金額分級計算。以爭議金額港幣500萬元為例，仲裁員費用加機構管理費約為港幣30萬至50萬元，較高等法院原訟庭的訟費仍具競爭力。時間方面，單一仲裁員審理的案件平均需時9至12個月完成，遠短於法庭訴訟的18至24個月。

訴訟與ADR的銜接機制

法庭的ADR鼓勵政策

高等法院實務指示（PD 31）及區域法院實務指示（PD 5.1）均明確要求當事人在案件管理會議前考慮調解或仲裁。法官有權在訟費命令中考慮一方是否不合理拒絕參與ADR。若勝訴方曾拒絕調解建議，法庭可扣減其訟費。

2023年終審法院在H訴K（2023）HKCFA 12一案中確認，法庭在評估訟費時可考慮當事人對ADR的態度。該案雖非數據私隱糾紛，但其原則適用於所有民事案件。

訴訟期間的調解

即使案件已排期審訊，雙方仍可隨時申請擱置程序進行調解。區域法院及高等法院均設有「調解聆訊」（mediation hearing）機制，容許法官在審訊前指定一段時間讓雙方嘗試調解。這段期間的訴訟時限會暫停計算。

仲裁裁決的上訴限制

《仲裁條例》第81條嚴格限制對仲裁裁決提出上訴。上訴僅限於法律問題，且須取得仲裁庭或原訟法庭的許可。這意味著一旦仲裁裁決作出，雙方很難推翻——選擇仲裁即等於接受其終局性。

實務步驟：如何啟動數據私隱ADR

第一步：確認爭議性質

先判斷外洩事件是否構成《個人資料（私隱）條例》下的「損害」。損害不限於金錢損失，亦包括精神困擾。條例第65條對損害的定義較寬，但實務上須有具體證據支持。

第二步：評估調解或仲裁的適宜性

調解適合雙方仍有商業關係、願意協商賠償方案的情況。仲裁則適合雙方關係已破裂、需要明確法律裁決的情況。若涉及大量受影響人士（如客戶集體索償），集體仲裁（class arbitration）在香港尚未有完整法律框架，目前仍以逐案處理或集體調解為主。

第三步：選擇機構與委任中立人

HKIAC、香港調解會、以及香港律師會旗下的調解名冊均為認可選擇。委任調解員或仲裁員時，應要求對方披露是否有處理數據私隱案件的經驗。PCPD網站列有過往裁決摘要，可作為參考。

第四步：準備案件摘要與證據清單

ADR程序不要求完整的狀書（pleadings），但必須提交一份清晰的案件摘要（case summary），載明爭議事實、法律依據、以及尋求的補救措施。證據清單應包括外洩通知書、受影響資料類別清單、以及任何與PCPD的通信記錄。

關鍵行動點

• 立即檢討現有客戶合約、員工手冊及供應商協議，考慮加入仲裁條款，以確保數據私隱糾紛發生時有明確的爭議解決路徑。
• 建立內部數據外洩應變流程，將調解列為首選回應方案之一，並預先識別至少兩家具備數據私隱經驗的認可調解機構。
• 保存所有與數據處理相關的紀錄，包括存取日誌、員工培訓記錄及第三方審計報告，以備調解或仲裁程序中作為證據。
• 在收到PCPD調查通知後，主動評估是否適合申請暫停調查程序以進行調解，避免調查結果影響調解誠意。
• 若公司涉及跨境數據傳輸，務必確認仲裁條款中是否涵蓋外國資料當事人的索償權，避免因管轄權問題導致裁決無法執行。

本文不構成法律建議。涉及個人案件請諮詢持牌律師。