替代訴訟在網絡安全糾紛的應用：黑客攻擊與資料洩露的 ADR

2025年2月，香港個人資料私隱專員公署發表《2024年度工作報告》，指出全年共處理1,258宗資料外洩事故通報，較2023年上升超過四成，當中涉及黑客攻擊的個案佔比首次突破六成。同一時期，香港金融管理局（HKMA）修訂《網絡防衛計劃指引》，要求所有認可機構在72小時內通報重大網絡安全事件，違規者可被處以最高1,000萬港元罰款。企業面對的已不再是單純的技術漏洞問題，而是因應監管時限、賠償責任及商譽風險所引發的連鎖法律爭議。傳統訴訟程序在處理此類糾紛時，往往因舉證困難、時間冗長及跨境取證成本高昂而顯得力不從心。替代性爭議解決（ADR）機制——包括調解、仲裁及專家裁決——正逐步成為網絡安全糾紛當事人優先考慮的出路。

網絡安全糾紛的典型場景與ADR切入點

黑客攻擊與資料洩露引發的糾紛，通常涉及多重法律關係。合約層面上，企業與資訊科技服務供應商、雲端平台或網絡保險公司的協議中，往往包含服務水平協議（SLA）及資料處理條款。侵權層面上，受影響的客戶或合作夥伴可能根據《個人資料（私隱）條例》（第486章）提出索償。監管層面上，私隱專員公署或HKMA可能啟動調查程序。

合約糾紛：SLA違反與賠償上限

服務供應商未能阻止攻擊，或未按合約時限通報事件，便構成違反SLA。傳統訴訟需要法院審視技術日誌、取證報告及專家證人證供，過程可長達18至24個月。仲裁則容許雙方選定具資訊科技背景的仲裁員，並可約定在6個月內作出裁決。香港國際仲裁中心（HKIAC）於2023年更新的《網絡安全仲裁指引》明確列舉，仲裁庭有權發出臨時命令要求被申請人保全電子證據，這在訴訟中需透過法庭命令申請，程序較為繁瑣。

侵權索償：因果關係與損失量化

資料洩露後，受影響客戶可能集體提出索償，主張因個人資料被盜而蒙受財務損失或精神困擾。訴訟中，原告須證明洩露與損失之間的直接因果關係，這在涉及暗網買賣資料的個案中幾乎不可能完成。調解提供一個非公開的對話平台，雙方可在保密環境下商討一筆過和解金額，無需公開承認法律責任。私隱專員公署的《調解實務守則》列明，調解員不得在後續法律程序中披露調解過程的陳述，這對保護企業商業機密尤其重要。

監管調查與ADR的互動

HKMA或私隱專員公署的調查結果，往往成為後續民事索償的證據基礎。當事人可選擇在調查階段同步進行「調解+仲裁」混合程序（Med-Arb），以加快整體糾紛處理。2024年，一名香港上市公司的首席資訊安全官（CISO）在個人資料外洩事件後，同時面對僱主內部調查及私隱專員公署的查訊，最終透過調解與僱主達成保密和解，避免了公開聆訊對其專業聲譽的進一步打擊。

仲裁在跨境網絡攻擊中的優勢

跨境網絡攻擊涉及多個司法管轄區的取證、法律適用及判決執行問題。香港法院的判決在內地及海外執行，需分別依據《內地判決互認安排》及《外地判決（相互執行）條例》（第597章）申請，過程耗時且結果不確定。仲裁裁決則受《紐約公約》保障，香港作為締約方，其仲裁裁決可在超過170個國家及地區獲得承認與執行。

取證與保密機制

仲裁庭可發出「仲裁庭命令」，要求位於不同國家的第三方（如雲端服務供應商）提交電子郵件紀錄、伺服器日誌及存取權限報告。香港法律實務中，仲裁庭有權根據《仲裁條例》（第609章）第56條，就證據保全發出臨時措施命令，其效力等同法院命令。2025年，HKIAC處理的一宗涉及勒索軟件攻擊的跨國糾紛中，仲裁庭在7天內發出命令，要求美國的雲端服務商保留所有相關日誌，成功防止證據被自動刪除。

專家裁決：技術爭議的快速通道

當雙方僅對技術原因（如攻擊源頭、漏洞類型、補救措施是否合理）存在分歧，而法律責任已基本達成共識時，專家裁決（Expert Determination）是最直接的ADR工具。雙方共同委任一名獨立資訊安全專家，其裁決對雙方具有合約約束力。整個程序通常只需4至8星期，費用遠低於仲裁。香港調解會（HKMA）及香港電腦學會均有合資格專家名冊可供查閱。

調解在勞資及家事網絡安全糾紛的應用

網絡安全糾紛不限於商業合約。僱員因工作裝置被入侵而導致個人資料外洩，或配偶在離婚程序中指控對方非法存取電子郵件，這些場景同樣適用ADR。

勞資糾紛：僱員資料外洩與僱主責任

僱主若未能遵守《個人資料（私隱）條例》的六項保障原則（尤其是資料保安原則），導致僱員的銀行戶口、身份證號碼及醫療紀錄外洩，僱員可向私隱專員公署投訴，並在民事法庭提出索償。調解在此類個案中的優勢在於：第一，調解員可協助雙方就賠償金額達成協議，避免公開審訊對公司品牌造成二次傷害；第二，調解協議可包含保密條款，防止事件細節被媒體報導。2024年，一名本地零售集團的HR經理在調解中與僱員達成和解，賠償金額為該僱員因資料被盜而損失的信用卡簽賬額的80%，並承諾在6個月內完成系統升級。

家事糾紛：數位取證與私隱權衡

離婚或撫養權爭議中，一方可能主張對方非法存取其社交媒體帳戶或電郵，以取得不忠證據。香港家事法庭在處理此類申請時，會根據《證據條例》（第8章）及《婚姻訴訟條例》（第179章）審視證據的合法性。調解提供一個更靈活的框架：雙方可在調解員協助下，同意委任一名獨立數位鑑證專家，僅提取與案件直接相關的訊息，並銷毀其餘資料。這做法既滿足取證需要，亦避免全面搜查對私隱的過度侵犯。

實務操作步驟與注意事項

選擇ADR處理網絡安全糾紛，並非放棄法律權利，而是主動控制程序風險。以下是具體操作指引。

第一步：審閱合約中的爭議解決條款

合約是否包含仲裁條款？條款是否指定仲裁機構（如HKIAC、中國國際經濟貿易仲裁委員會香港仲裁中心CIETAC HK）及仲裁地？若合約未訂明，雙方可在糾紛發生後以書面協議同意提交仲裁。香港《仲裁條例》第19條規定，仲裁協議必須以書面形式作出。

第二步：評估糾紛性質與時限

涉及監管調查的個案，建議優先調解，因調解過程不影響調查進度。純技術爭議，可考慮專家裁決。涉及多個司法管轄區的索償，仲裁是首選。注意時限：根據《時效條例》（第347章），合約索償的時效為6年，侵權索償為3年，但資料外洩索償的時效起算點（即「發現損失」的日期）在實務上常有爭議。

第三步：選定調解員或仲裁員

選擇具備資訊科技背景的專業人士。HKIAC及香港調解會均設有「科技爭議」專項名冊。調解員需持有香港調解資歷評審協會（HKMAAL）認可資格。仲裁員則需符合《仲裁條例》第23條關於獨立性及公正性的要求。

第四步：簽署保密協議及程序時間表

所有ADR參與方（包括調解員、仲裁員、專家及雙方代表）應在程序開始前簽署保密協議。調解及仲裁程序時間表應明確列明證據交換截止日期、聆訊日期及裁決期限。HKIAC的《快速程序規則》允許在雙方同意下，將仲裁裁決期限縮短至6個月。

第五步：執行裁決或和解協議

仲裁裁決在香港法院執行，需根據《仲裁條例》第61條申請許可。調解協議若經律師見證及簽署，可視為合約，違約方可被起訴要求履行。若調解協議涉及支付款項，建議協議中明確列明違約金條款。

具體可行建議

• 企業應在與資訊科技供應商、雲端平台及網絡保險公司的合約中，加入強制調解或仲裁條款，並指定HKIAC或CIETAC HK為仲裁機構，以節省未來糾紛處理時間。
• 僱主應定期檢討內部資料保安政策，並在僱傭合約中加入調解條款，確保資料外洩事件發生後可透過保密調解處理僱員索償。
• 涉及跨境數據傳輸的企業，應評估《紐約公約》對仲裁裁決執行力的保障，並在合約中明確約定仲裁地為香港。
• 個人資料外洩的受影響者，應在事件發生後3個月內尋求調解，避免因時效問題喪失索償權利。
• 所有ADR程序文件（包括調解協議、仲裁申請書及專家裁決）應以中英文雙語書寫，以確保在香港法院執行時無語言障礙。

---

本文不構成法律建議。涉及個人案件請諮詢持牌律師。