收到個資查閱要求怎麼追？收件、核實與回覆狀態表

香港企業收到個人要求查閱資料，常見困難不是找不到信，而是前台、部門和資料持有人各自處理，最後說不清收件日、核實進度、搜尋範圍及回覆由誰負責。查閱資料要求關乎當事人本人的個人資料，不等於索取整份公司檔案；建議用一張狀態表連接收件、核實、搜尋、遮蓋及回覆證據。本文依香港個人資料私隱專員公署（PCPD）資料整理，實際要求仍要逐案核對官方指引。

如何辨認查閱資料要求？

不要只看信件標題或表格名稱。來信只要實際要求機構確認是否持有某人的個人資料，或交付該資料的副本，就應交由指定窗口初步辨認；例如求職者問「請提供我面試評核中記錄的資料」、客戶要求查詢與本人帳戶交易有關的紀錄，都值得轉入查閱要求流程。相反，索取公司註冊證、整份客戶檔案、同事的資料或一般公開文件，未必是這項權利所涵蓋，應拆開辨認每一項所求內容，不要把不同請求混成一個「交文件」任務。

收件人不必先替請求者下法律結論，但要保留原信、附件和收件渠道，將主旨改寫為中性摘要：誰要求、要查誰的資料、想查哪類資料、要求確認持有與否或索取副本、涉及的大概期間。PCPD 的 OPS003 表格可協助說明範圍；其指引列出未採用指定表格可能構成拒絕理由，但若來信已清楚、完整，不能只為表格形式而忽略內容。遇到「所有與我有關的東西」這類籠統說法，標成「待澄清」，具體詢問資料類型、期間或事件。這能避免把個人資料查閱誤當成向銀行或會計師交付公司檔案，也避免搜尋人員無邊界翻查。收件窗口應立即轉交負責人，別等到部門自行判斷後才建檔。PCPD 查閱資料要求指引及OPS003 表格與相關資料可用來核對要求範圍和格式。

可以拿幾個具體紀錄作辨認：對話郵件中的稱呼和聯絡內容、系統保存的帳戶互動、某人工作評核的個人部分，都可能承載個人資料；合同全文、公司決策理由或他人資料則須另行分辨。若一封投訴同時要求復核處分和索取本人紀錄，先把索取個資的部分獨立立案，回覆其他商務爭議可沿原流程處理。

收件時間誰來登記？

讓第一個接觸來信的窗口負責開案，通常比讓各部門自行登記可靠。窗口收到郵件、網上表單、紙本或轉寄訊息時，當日建立唯一案件編號，記錄實際收到日期、時間、渠道、寄件者聯絡方式、資料當事人、摘要、附件清單及接手人。保留原始訊息與附件的唯讀副本，並註明是否經同事轉交；不要把「轉到私隱負責人那天」錯當成機構最初收到日期。若無法即時判定是否完整，先照實記錄原始收件日，再另列待釐清項目及跟進日期。

指定一位案件負責人維護主表，一位主管或私隱聯絡人處理升級；搜尋部門只更新自己負責的列，避免多人改同一欄而覆蓋紀錄。設定以收件日為基準的 40 個曆日監察期限，並加上內部較早的檢視提醒，預留身份核實、澄清、部門搜尋、遮蓋和覆核時間。若範圍不清，PCPD 指引指出需澄清至可處理的完整要求，時限起算可能受完整性影響；窗口應保留每次往來及完整要求確認日，按指引判斷，不要默默改寫最初收件日。週末、假日或負責人休假也不能讓案件從清單消失。每次交接記錄交出人、接手人、時間及下一步，主管定期查看無負責人、逾內部期限、等待外部資料和接近回覆期限的案件，及早調整人手或升級處理。

若同一要求先到通用信箱、隔日才由客戶服務轉交，也要記兩個時間點並標明最初收件憑證；讓主管檢視時能還原為何案件何時進入流程。附件若密碼保護或無法開啟，記錄問題、通知對方的時間和暫定處理方式，避免只留下附件名稱。

身份與代表權如何確認？

在搜尋或披露資料前，先確認提出要求的人是資料當事人，或能代表當事人行事的合資格人士。本人提出時，對照已有可信紀錄及合理所需的身份證明；不要把「有客戶編號」直接當作身份已核實，也不要未判斷風險便要求交出過多證件資料。若要求者替他人提出，分開核實要求者身份、資料當事人身份，以及兩者的關係或授權依據；按個案索取合理文件，例如有效授權或可證明代表資格的資料，並讓覆核者確認文件所涵蓋的對象、資料類別和有效範圍。

可在狀態表記「身份待核實／已核實」、核實日期、核實方式、核實人、待補項及覆核人；身份文件應放在權限受控位置，主表只留必要索引或結果，避免複製身份證號碼到一般部門共用表。若文件不一致、授權範圍不明或聯絡渠道可疑，暫停披露並用已核實渠道向本人確認；不要把待核實資料散發給搜尋部門。收到補件後記錄日期，再由負責人確認是否足以續辦。PCPD 表格說明，資料使用者可要求合理所需的身份證明；代表他人申請時，也可要求證明資料當事人身份及代表資格。身份未能合理確認時，不應冒險交付，須把具體缺口和已採取的核實步驟寫明，並由熟悉私隱規定的人覆核後再決定下一步。

核實不等於每種文件都真實，也不代表應長期保留完整證件。判斷只需足以防止錯誤披露：例如從既有帳戶聯絡方式回撥，或由受控管道核對證明文件必要欄位。若尚未核實，列出缺少的證據和安全補交方式；若身份資料已在組織內，優先核對既有資料，避免要求重複傳送敏感副本。

內部找資料由誰負責？

案件負責人先把請求拆成可搜尋項目，再按資料可能存放的位置分派。例：要求查看某段期間的招聘評核資料，可分派人力資源部搜尋申請表、評核紀錄和相關郵件，系統管理人員確認招聘平台或封存系統的保管範圍；要求查看客戶服務互動，則可能由客服、帳戶管理及相關系統持有人分別核對。每個搜尋任務都要附上人名或識別線索、資料類型、日期範圍、可能系統、排除項和回報期限，避免只傳一句「找一下他的資料」。

部門回報時提供搜尋位置、使用的線索、查找日期、結果、未能查到的原因、命中資料數量或檔案索引，以及是否含第三者資料。沒有結果也要寫明查過哪些系統、由誰確認、是否仍有外判處理者或離線封存位置待查；案件負責人據此決定要否追加搜尋，而不是把「尚未回覆」當作「沒有資料」。若資料由供應商代存，通知內部合約或系統負責人按既有安排查詢，並追蹤回覆，不要向供應商直接披露超出必要的個資。搜尋完成後，再由指定人員區分當事人自己的個人資料、非個人資料和他人的個人資料；通常交付的是所要求的個人資料副本，不必然是整份承載資料的文件。對第三者識別內容應評估可否遮蓋後提供，並保留遮蓋理由及核准紀錄。這樣既能覆蓋分散資料，也能讓覆核者重現搜尋路徑。

任務清單可要求部門回覆「已查完／仍待查」和依據；只有具體負責人確認所屬系統及期間，才能把該範圍標成完成。每個資料位置都要有回報時點；遇到權限不足或系統移轉，當日升級並記下預計完成日。

缺件或不處理怎麼記原因？

把「待補」、「不持有」、「部分提供」和「拒絕」分開記錄，因為它們的事實、後續工作與對外說明不同。待補表示仍可透過補充身份或範圍資料繼續處理；不持有表示負責人已完成界定範圍的搜尋，並能指出查找位置；部分提供表示可交付範圍已完成，另有具體資料受限制；拒絕則要寫明適用理由、支持事實、決策人和覆核結果。籠統標示「資料不足」或「涉及私隱」無法讓接手同事判斷，也難以向請求者清楚解釋。

例如要求者未提供足以核實代理資格的資料，紀錄應列出要求補交什麼、何時通知、給予的回應方式及目前狀態，而非只寫「代理不合格」。若搜尋範圍過闊，記錄已提出的澄清問題與收到答案的日期；若檔案含他人的個人資料，列明考慮遮蓋或其他處理後能否提供。涉及拒絕時，PCPD 指引要求在 40 日內向要求者發出附理由通知，並保存拒絕原因紀錄至少四年；逾期仍未能依從時，也須在期限內以書面解釋，之後盡快處理。若考慮收取依從費用，保存直接且必要成本的計算依據，避免臨時報價或把拒絕處理的成本混入。案件負責人應把來源事實、適用理由、通知副本、發送證明和覆核意見放在同一紀錄鏈，並按PCPD 指引核對個案理由，不以範本代替個別判斷。

紀錄表亦可保留每次決定的日期、參與覆核者、引用的指引段落或條文，以及部分交付如何處理其他人的資料。若只拒絕一部分，清楚圈出未能提供的範圍，並交付其餘可依法提供的內容；不要讓一個缺件自動阻斷所有已能完成的部分。必要時記下法律覆核意見，及排除其他處理方式的理由。

回覆狀態怎麼追蹤？

一張表最少要讓接手者一眼看出案件在哪裡、卡住什麼、下一位負責人和下一個日期。可把階段設為收件、身份核實、範圍澄清、內部搜尋、第三者資料檢視、覆核、待回覆及已結案；這些是內部工作標籤，不是公署指定的官方狀態。每次變更時填更新時間、操作者、變更前後狀態、原因、下一步與到期日，重要電話或口頭確認要補上書面摘要。結案時保存寄出內容、附件版本、收件渠道、寄送證明及未交付部分的解釋，限制存取權並依機構保留安排安全處理。

例中的日期與欄位僅示範記錄方式，不代表個案期限計算結論。每日或每週檢視時，先篩出期限將近、身份或範圍仍待補、搜尋逾期、沒有負責人，以及已寄出但未歸檔證據的案件。主管對每筆停滯案件指派單一跟進人和具體日期；若預計無法在期限內依從，及早準備書面解釋和後續安排，不要把「已轉法務」當成已回覆。將久未更新的案件列入例行檢視，查明卡點、等待對象及再跟進日期；結案核對附件版本。下一步可指定一位收件窗口，拿一筆假設請求演練核實、搜尋和結案欄位，確認期限提醒與交接都有責任人；想了解 Chan & Chung，請前往官網首頁。