新聞稿
私隐专员公署跟进三宗外佣不当使用雇主个人资料申请贷款的个案 并发布《代理式人工智能篇：保障个人资料私隐》指引
日期: 2026年8月25日
私隐专员公署跟进三宗外佣不当使用僱主个人资料申请贷款的个案
个案(1)
投诉人接获不明的WhatsApp讯息，注意到讯息与其聘用的外佣有关，投诉人就此向该外佣查询。该外佣承认曾向位于菲律宾的财务机构申请贷款，惟无力偿还高昂的利息。该外佣并承认曾向有关财务机构提供投诉人的电话号码，以证明她于香港受聘为外佣。
其后投诉人再接获有关财务机构的WhatsApp讯息，当中财务机构表明投诉人的外佣使用了投诉人的住址作申请贷款之用。有关财务机构不但要求投诉人提醒涉事外佣偿还欠款，更表示如未能在限期前还款，便会派员上门追讨欠款。涉事外佣最终被投诉人解僱。
个案(2)
投诉人在家中信箱收到数封由两间财务机构向其外佣发出的逾期缴款通知书，其后发现涉事外佣于受僱期间向有关财务机构申请贷款。
在投诉人查问下，涉事外佣承认曾在未获投诉人的同意下，向财务机构提交载有投诉人姓名及住址的僱佣合约以作申请贷款之用。投诉人其后解僱涉事外佣。
个案(3)
投诉人的外佣曾于受僱期间向四间财务机构申请贷款，其后因该名外佣拖欠还款，其中一间财务机构于同一日内先后四次致电及发送WhatsApp讯息予投诉人，要求投诉人提醒外佣偿还欠款。
投诉人其后向外佣查问，发现该外佣曾先后向四间财务机构申请贷款。该外佣亦向投诉人承认，她在申请贷款时曾向多间财务机构提供了包括投诉人电话号码及住址在内的个人资料。投诉人相信当中资料亦涉及其姓名。投诉人在得悉事件后将涉事外佣解僱。
个案(1)、(2)及(3)的结果
私隐专员钟丽玲认为涉事外佣取得僱主的姓名、住址及电话号码，原意只为建立与僱主之间的僱佣关系及处理僱佣相关事宜。然而，涉事外佣其后向财务机构提供僱主的个人资料作申请贷款的用途，已经超出原来使用有关资料的目的（即处理与僱主之间的僱佣事务）所需。由于有关用途并非原先收集资料时拟使用的目的或直接相关的目的，因此有关披露构成将相关资料使用于新目的，而涉事外佣并未就此取得僱主自愿给予的明示同意，故此违反《私隐条例》下保障资料第3(1)原则有关使用（包括披露）个人资料的规定。就此，私隐专员已向涉事外佣发出警告信，要求相关外佣日后必须严格遵从《私隐条例》有关使用个人资料的规定。
私隐专员公署跟进三宗外佣不当使用僱主个人资料申请贷款的个案
并发布《代理式人工智能篇：保障个人资料私隐》指引
个人资料私隐专员公署（私隐专员公署）今日公布早前跟进三宗有关外籍家庭佣工（外佣）在僱主不知情或未获僱主同意的情况下提供僱主的个人资料予财务机构以申请贷款的投诉个案，三宗个案中，涉事外佣俱因不当使用僱主的个人资料而违反《个人资料（私隐）条例》（《私隐条例》）的相关规定。另外，私隐专员公署亦于今日发布《代理式人工智能篇：保障个人资料私隐》指引。
三名投诉人均为涉事外佣的僱主，相关外佣在受僱期间向财务机构申请贷款，其后均出现拖欠还款的情况，并先后遭投诉人解僱。在其中两宗个案中，投诉人因外佣的欠款而接获财务机构的WhatsApp讯息及来电，除要求投诉人提醒有关外佣偿还欠款外，有一间财务机构更表示若未能于限期前还款，便会派员上门追讨欠款。在第三宗个案中，投诉人则于信箱收到两间财务机构向其外佣发出的逾期缴款通知书。
三名涉事外佣均承认在申请贷款时曾向本地或外地的财务机构提供投诉人的个人资料，其中一人曾向多达四间财务机构提交相关贷款申请。所涉及的僱主个人资料包括姓名、住址及电话号码。
《私隐条例》附表1的保障资料第 3(1)原则订明，如无有关的资料当事人的订明同意（即当事人自愿给予的明示同意），个人资料不得使用（包括披露及转移）于新目的，即原先收集资料时拟使用的目的（或直接相关的目的）以外的目的。
在上述个案中，经考虑个别个案的具体情况及所获得的资料后，个人资料私隐专员（私隐专员）钟丽玲认为涉事外佣均违反《私隐条例》下保障资料第3(1)原则有关使用（包括披露）个人资料的规定。私隐专员已向涉事外佣发出警告信，并要求相关外佣日后必须严格遵从《私隐条例》有关使用个人资料的规定。
私隐专员钟丽玲提醒外佣及财务机构保障僱主个人资料私隐的责任。她指出：「外佣分担家务工作，有助减轻僱主照顾家庭的压力，不少僱主亦充分肯定外佣对家庭的贡献。然而，若外佣在僱主不知情或未同意的情况下使用僱主的个人资料申请贷款，则会为僱主带来不必要的困扰。外佣在使用僱主的个人资料时，必须遵从《私隐条例》的相关规定。与此同时，财务机构亦应提高警觉，避免不当使用僱主的个人资料作贷款申请用途。」
私隐专员公署指出，外佣若在申请贷款过程中被要求提供僱主或其他第三者的个人资料，应先了解有关资料是否必须而并非超乎适度。如外佣拟使用僱主的个人资料申请贷款或作其他与僱佣事务无关的用途，必须事先取得僱主自愿给予的明示同意，外佣不应为取得贷款而随意向财务机构提供僱主的个人资料。
私隐专员公署亦借此机会提醒聘用外佣的僱主：
另外，私隐专员公署已经制作一份以外佣为对象的单张，以中文、英文、菲律宾语及印尼语提醒外佣在使用僱主个人资料前应作审慎考虑，并应保障自己及僱主的个人资料私隐。
下载《保护个人资料私隐：必须事先取得僱主同意 方可使用僱主个人资料》单张：https://www.pcpd.org.hk/english/resources_centre/publications/files/pcpd_obtain_empolyers_consent.pdf
随着人工智能（AI）的应用日趋普及，代理式AI的出现带来变革性改变的同时，亦对保障个人资料私隐带来前所未有的挑战。私隐专员公署今日发布《代理式人工智能篇：保障个人资料私隐》指引（《指引》），旨在为机构提供实务建议，协助他们在善用代理式AI所带来的裨益之余，妥善保障个人资料私隐，符合《私隐条例》的相关规定。《指引》获得数字政策办公室及香港应用科技研究院担任支持机构。
私隐专员钟丽玲表示：「代理式AI有别于传统AI聊天机械人，具备高度自主运作能力，并可代替用户执行多步骤任务，包括管理电邮、进行预约以至处理付款等。国家『十五五』规划提出坚持统筹发展和安全的重大原则，机构在推动创新时，亦必须落实稳健的保障个人资料私隐措施。私隐专员公署发布《指引》，希望借此落实特区政府推动『AI+』的政策方针，推动代理式AI的安全、合法及负责任应用，让社会各界能够安心、放心地采用这项具变革性的科技。」
为衔接国际标准，私隐专员公署在制定《指引》的过程中参考了全国网络安全标准化技术委员会秘书处于2026年7月发布的《网络安全标准实践指南—智能体部署使用安全指引》，以及其他司法管辖区有关使用代理式AI所发布的指引。《指引》是公署发布的《人工智能(AI)：个人资料保障模范框架》的补充指引，而《模范框架》所载的原则一般仍适用于代理式AI的使用。
《指引》阐述代理式AI对个人资料私隐带来的风险，包括广泛的存取权限、资料用途被改变，以及资料的准确性等（详见附件二），并就如何安全及负责任地使用代理式AI以及确保符合《私隐条例》的相关规定提出九项建议：
如何应对代理式AI对个人资料私隐所带来的风险
为落实上述建议，《指引》亦于附件载有安全检查清单，详列用户在评估、准备、部署、使用及停用各阶段可采取的实际步骤，以保障个人资料私隐。
下载《代理式人工智能篇：保障个人资料私隐》指引：
https://www.pcpd.org.hk/tc_chi/resources_centre/publications/files/pcpd_use_of_agentic_ai.pdf
- 三宗个案的简介（详见附件一）
三名投诉人均为涉事外佣的僱主，相关外佣在受僱期间向财务机构申请贷款，其后均出现拖欠还款的情况，并先后遭投诉人解僱。在其中两宗个案中，投诉人因外佣的欠款而接获财务机构的WhatsApp讯息及来电，除要求投诉人提醒有关外佣偿还欠款外，有一间财务机构更表示若未能于限期前还款，便会派员上门追讨欠款。在第三宗个案中，投诉人则于信箱收到两间财务机构向其外佣发出的逾期缴款通知书。
三名涉事外佣均承认在申请贷款时曾向本地或外地的财务机构提供投诉人的个人资料，其中一人曾向多达四间财务机构提交相关贷款申请。所涉及的僱主个人资料包括姓名、住址及电话号码。
《私隐条例》附表1的保障资料第 3(1)原则订明，如无有关的资料当事人的订明同意（即当事人自愿给予的明示同意），个人资料不得使用（包括披露及转移）于新目的，即原先收集资料时拟使用的目的（或直接相关的目的）以外的目的。
在上述个案中，经考虑个别个案的具体情况及所获得的资料后，个人资料私隐专员（私隐专员）钟丽玲认为涉事外佣均违反《私隐条例》下保障资料第3(1)原则有关使用（包括披露）个人资料的规定。私隐专员已向涉事外佣发出警告信，并要求相关外佣日后必须严格遵从《私隐条例》有关使用个人资料的规定。
私隐专员钟丽玲提醒外佣及财务机构保障僱主个人资料私隐的责任。她指出：「外佣分担家务工作，有助减轻僱主照顾家庭的压力，不少僱主亦充分肯定外佣对家庭的贡献。然而，若外佣在僱主不知情或未同意的情况下使用僱主的个人资料申请贷款，则会为僱主带来不必要的困扰。外佣在使用僱主的个人资料时，必须遵从《私隐条例》的相关规定。与此同时，财务机构亦应提高警觉，避免不当使用僱主的个人资料作贷款申请用途。」
私隐专员公署指出，外佣若在申请贷款过程中被要求提供僱主或其他第三者的个人资料，应先了解有关资料是否必须而并非超乎适度。如外佣拟使用僱主的个人资料申请贷款或作其他与僱佣事务无关的用途，必须事先取得僱主自愿给予的明示同意，外佣不应为取得贷款而随意向财务机构提供僱主的个人资料。
私隐专员公署亦借此机会提醒聘用外佣的僱主：
- 清楚告知外佣，僱主的个人资料只供用作处理僱佣事务相关的用途，如外佣拟将有关资料用于任何其他用途，必须事先取得僱主的同意；及
- 审慎处理由外佣提交供僱主签署的文件，在签署文件前，除应向外佣了解签署的原因外，亦应仔细审阅文件内容，以保障个人资料私隐及自身权益。
另外，私隐专员公署已经制作一份以外佣为对象的单张，以中文、英文、菲律宾语及印尼语提醒外佣在使用僱主个人资料前应作审慎考虑，并应保障自己及僱主的个人资料私隐。
下载《保护个人资料私隐：必须事先取得僱主同意 方可使用僱主个人资料》单张：https://www.pcpd.org.hk/english/resources_centre/publications/files/pcpd_obtain_empolyers_consent.pdf
- 《代理式人工智能篇：保障个人资料私隐》指引
随着人工智能（AI）的应用日趋普及，代理式AI的出现带来变革性改变的同时，亦对保障个人资料私隐带来前所未有的挑战。私隐专员公署今日发布《代理式人工智能篇：保障个人资料私隐》指引（《指引》），旨在为机构提供实务建议，协助他们在善用代理式AI所带来的裨益之余，妥善保障个人资料私隐，符合《私隐条例》的相关规定。《指引》获得数字政策办公室及香港应用科技研究院担任支持机构。
私隐专员钟丽玲表示：「代理式AI有别于传统AI聊天机械人，具备高度自主运作能力，并可代替用户执行多步骤任务，包括管理电邮、进行预约以至处理付款等。国家『十五五』规划提出坚持统筹发展和安全的重大原则，机构在推动创新时，亦必须落实稳健的保障个人资料私隐措施。私隐专员公署发布《指引》，希望借此落实特区政府推动『AI+』的政策方针，推动代理式AI的安全、合法及负责任应用，让社会各界能够安心、放心地采用这项具变革性的科技。」
为衔接国际标准，私隐专员公署在制定《指引》的过程中参考了全国网络安全标准化技术委员会秘书处于2026年7月发布的《网络安全标准实践指南—智能体部署使用安全指引》，以及其他司法管辖区有关使用代理式AI所发布的指引。《指引》是公署发布的《人工智能(AI)：个人资料保障模范框架》的补充指引，而《模范框架》所载的原则一般仍适用于代理式AI的使用。
《指引》阐述代理式AI对个人资料私隐带来的风险，包括广泛的存取权限、资料用途被改变，以及资料的准确性等（详见附件二），并就如何安全及负责任地使用代理式AI以及确保符合《私隐条例》的相关规定提出九项建议：
如何应对代理式AI对个人资料私隐所带来的风险
- 避免过度或任意收集个人资料供代理式AI使用：遵循资料最少化的原则，并就代理式AI为特定目的而可存取的资讯及系统，订立并实施清晰的分隔措施；
- 就代理式AI处理个人资料保持透明度：在收集个人资料声明及私隐政策声明中清楚说明有关使用代理式AI处理个人资料的相关资讯，以提高透明度；
- 确保代理式AI处理的个人资料的准确性：使用思维链、针对特定情境作出微调及人为审核等方法，以减低所生成的输出包含虚构或不准确个人资料的风险；
- 订定适当的保留时限：订定个人资料的最长保留时限，并采取措施适时删除对话纪录、快取资料或长期记忆中所载的个人资料；
- 确保未经同意不会将个人资料用于新目的：清楚界定代理式AI收集及处理个人资料的目的，并明确订明在何等情况下须有人为监督；
- 维护代理式AI系统中个人资料的安全：使用从官方渠道取得的代理式AI软件的最新版本，采取足够措施确保系统安全及数据安全，审慎安装及使用插件（plugins）或技能（skills），授予代理式AI完成任务所需的最小权限，采用大型语言模型安全护栏，并建立机制以确保可追溯性及可审核性；
- 确保查阅及改正资料的权利：选用已采纳「贯彻私隐设计」及「预设私隐」原则的代理式AI系统，确保相关系统能让资料当事人行使查阅资料及改正资料的权利；
- 持续进行风险评估：在使用代理式AI之前，就其安全性及可靠性进行测试，并在使用期间持续评估所涉及的个人资料私隐风险，并采取与风险相称的措施，就可能对个人产生重大影响的决定采取「人在环中」的策略；及
- 分配明确责任及提供培训：建立具足够资源、专业知识及决策权的内部管治架构，在委聘外部服务供应商时采取合约规范方法或其他方法，以确保遵从资料保留及资料保安的相关规定，并为所有相关人员提供足够的培训。
为落实上述建议，《指引》亦于附件载有安全检查清单，详列用户在评估、准备、部署、使用及停用各阶段可采取的实际步骤，以保障个人资料私隐。
下载《代理式人工智能篇：保障个人资料私隐》指引：
https://www.pcpd.org.hk/tc_chi/resources_centre/publications/files/pcpd_use_of_agentic_ai.pdf
私隐专员钟丽玲（右）及助理私隐专员（法律）赖皓茵（左）阐述私隐专员公署跟进三宗外佣不当使用僱主个人资料申请贷款的个案及《代理式人工智能篇：保障个人资料私隐》指引。
私隐专员钟丽玲讲解三宗个案的详情。
私隐专员钟丽玲提醒机构应审慎及负责任地使用代理式AI，并保障个人资料私隐。
助理私隐专员（法律）赖皓茵讲解《代理式人工智能篇：保障个人资料私隐》指引的建议。
－完－
附件一
有关三名外佣不当使用僱主个人资料
个案摘录
个案摘录
个案(1)
投诉人接获不明的WhatsApp讯息，注意到讯息与其聘用的外佣有关，投诉人就此向该外佣查询。该外佣承认曾向位于菲律宾的财务机构申请贷款，惟无力偿还高昂的利息。该外佣并承认曾向有关财务机构提供投诉人的电话号码，以证明她于香港受聘为外佣。
其后投诉人再接获有关财务机构的WhatsApp讯息，当中财务机构表明投诉人的外佣使用了投诉人的住址作申请贷款之用。有关财务机构不但要求投诉人提醒涉事外佣偿还欠款，更表示如未能在限期前还款，便会派员上门追讨欠款。涉事外佣最终被投诉人解僱。
个案(2)
投诉人在家中信箱收到数封由两间财务机构向其外佣发出的逾期缴款通知书，其后发现涉事外佣于受僱期间向有关财务机构申请贷款。
在投诉人查问下，涉事外佣承认曾在未获投诉人的同意下，向财务机构提交载有投诉人姓名及住址的僱佣合约以作申请贷款之用。投诉人其后解僱涉事外佣。
个案(3)
投诉人的外佣曾于受僱期间向四间财务机构申请贷款，其后因该名外佣拖欠还款，其中一间财务机构于同一日内先后四次致电及发送WhatsApp讯息予投诉人，要求投诉人提醒外佣偿还欠款。
投诉人其后向外佣查问，发现该外佣曾先后向四间财务机构申请贷款。该外佣亦向投诉人承认，她在申请贷款时曾向多间财务机构提供了包括投诉人电话号码及住址在内的个人资料。投诉人相信当中资料亦涉及其姓名。投诉人在得悉事件后将涉事外佣解僱。
个案(1)、(2)及(3)的结果
私隐专员钟丽玲认为涉事外佣取得僱主的姓名、住址及电话号码，原意只为建立与僱主之间的僱佣关系及处理僱佣相关事宜。然而，涉事外佣其后向财务机构提供僱主的个人资料作申请贷款的用途，已经超出原来使用有关资料的目的（即处理与僱主之间的僱佣事务）所需。由于有关用途并非原先收集资料时拟使用的目的或直接相关的目的，因此有关披露构成将相关资料使用于新目的，而涉事外佣并未就此取得僱主自愿给予的明示同意，故此违反《私隐条例》下保障资料第3(1)原则有关使用（包括披露）个人资料的规定。就此，私隐专员已向涉事外佣发出警告信，要求相关外佣日后必须严格遵从《私隐条例》有关使用个人资料的规定。
附件二
代理式AI对个人资料私隐所带来的风险
- 广泛的存取权限：代理式AI的预设存取权限一般较高。若存取权限设定缺乏严格限制，代理式AI可能接触到大量个人资料，不仅会增加第三方未经授权查阅或复制个人资料的风险，亦可能因代理式AI错误理解用户指令而导致资料遭意外删除；
- 系统漏洞：代理式AI可能获授予高度的存取权限，可接触多个系统及资料来源，一旦在系统设计或安全控制上出现漏洞，将对个人资料的保安构成重大风险；
- 插件（plugins）或技能（skills）漏洞：未经严格安全审核的插件或技能可能夹带恶意程式码，黑客可借此入侵并接管用户帐户，甚至控制整个电脑系统，从而导致个人资料外洩；
- 资料用途改变：由于代理式AI经常从多个资料来源汇集及重新整合个人资料，而部分代理式AI系统可能使用个人资料训练大型语言模型，个人资料可能被用于超出原先收集资料拟使用的目的或直接有关的目的；及
- 多重代理系统的风险：使用多重代理系统可能增加安全风险，不准确的个人资料亦可能透过各智能体之间的互动而层层传递，对资料当事人造成不公平或有损其利益的后果。