雲端 POS 會員資料存喺邊？香港商戶揀 POS 前必問的私隱 7 問
一、會員資料唔喺舖頭入面——雲端 POS 資料存喺邊，老闆多數冇問過
客人入會留低電話號碼，之後每一次消費、儲分、換領優惠，POS 都會記低。好多老闆以為呢啲資料喺收銀機入面，其實用雲端 POS 嘅話，資料每日都會傳去供應商嘅伺服器處理同儲存，而伺服器隨時喺香港以外嘅地方。收銀機只係一個入口，資料真正住喺邊，老闆多數冇問過。
唔知資料去咗邊，本身就係風險嘅起點。萬一供應商嘅伺服器出事、資料外洩，或者資料被轉去第二個司法管轄區處理，商戶要向顧客交代嗰陣，如果連資料存喺邊都答唔出，就已經輸咗一半。呢個唔係技術細節，而係老闆要負責嘅問題。
揀 POS 唔只係揀功能同價錢，仲要問資料去向。以下八節，由《個人資料（私隱）條例》第 33 條講起，拆解雲端 POS 嘅私隱責任，最後畀一份問供應商嘅清單，等老闆落單之前問得出口、問得啱。
二、第 33 條係咩——1995 年立法、至今未生效，點解唔可以當佢唔存在
《個人資料（私隱）條例》（第 486 章）第 33 條嘅原意好直接：禁止將個人資料轉移至香港以外地方，除非符合指明嘅例外情況，例如專員藉憲報指明嘅地方，或者資料當事人書面同意。立法原意係唔想香港市民嘅個人資料，一出境就脫離香港法例嘅保護。
但現實係，第 33 條自 1995 年制定至今從未實施、未生效。更加值得留意嘅係，至今未有任何地方獲專員藉憲報指明為白名單地方，即係話第 33(2)(a) 條嘅指明地方名單至今係空嘅。條文喺度，開關一直未開，呢個就係香港商戶面對嘅特殊局面。
「未生效」唔等於「無規管」，更加唔等於「乜都得」。第 33 條未開，不代表跨境轉移無人管——條例其他條文仍然管住每一次轉移，下一節講嘅保障資料第 3 原則就係其中最關鍵嘅一條。
三、未生效唔等於無王管——保障資料第 3 原則點樣管住每一次跨境轉移
即使第 33 條未生效，跨境轉移仍然受條例其他條文規管，核心係保障資料第 3 原則：個人資料嘅使用目的，須與原來收集資料嘅目的相同或者直接有關，否則就要獲得資料當事人嘅訂明同意。轉去邊度儲存、經邊個處理，都要過呢一關。
用 POS 場景舉例：商戶收會員電話，目的係做會員優惠同消費紀錄；將呢啲資料傳去境外伺服器儲存，如果純粹係為咗儲存同處理會員優惠，一般可以視為與原來目的一致。但係如果供應商拎咗呢啲資料去做其他用途，例如分析、分享畀第三方做推廣，就已經超出原來目的，踩界嘅唔係供應商一個，商戶都要負責。
所以商戶唔可以只問「資料存喺邊」，仲要問「資料會用嚟做咩」。收集嗰陣講明嘅目的，就係日後每一次轉移同使用嘅邊界；超出邊界，就要重新取得顧客嘅訂明同意，唔係供應商話得就得。
四、雲端供應商係「資料處理者」——責任永遠喺商戶身上
角色要分清楚：商戶係控制資料收集、持有、處理或者使用嘅「資料使用者」，雲端 POS 供應商只係代商戶處理資料嘅「資料處理者」。條例之下，資料處理者唔直接受規管，責任喺資料使用者——即係商戶——身上。
條例第 65(2) 條講得更加白：代理人嘅作為，視同資料使用者本人嘅作為。換句話說，供應商處理資料嗰陣出事，商戶唔可以一句「唔關我事，係供應商做嘅」就卸責。外判唔等於卸責，呢句說話要記住。
呢個角色分工，正正係點解揀 POS 唔可以只睇功能表。供應商話自己有加密、有備份，唔等於商戶已經履行責任；商戶要睇嘅係合約寫咗咩、供應商承諾咗咩，下一節講嘅雲端運算指引就係對照標準。
五、私隱專員公署 2025 年《雲端運算指引》——合約要寫明的兩件事
私隱專員公署喺 2025 年 1 月發出《雲端運算指引》，之前亦都有 2012 年 11 月首發、2015 年 7 月修訂嘅《雲端運算》資料單張。公署早喺 2014 年 12 月已經發出《保障個人資料：跨境資料轉移指引》，屬於自願性質，為第 33 條實施作準備；2022 年 5 月再發出《個人資料跨境轉移建議使用的標準合約條款指引》，提供兩套條款，分別畀資料使用者之間，以及資料使用者與資料處理者之間使用。
《雲端運算指引》要求資料使用者以合約或者其他方法做到兩件事。第一，防止資料被保留超過處理所需嘅時間，即係保障資料第 2(3) 原則：用完就要刪，唔可以無限期留喺伺服器。第二，防止未經准許或者意外嘅查閱、處理、刪除、遺失或者使用，即係第 4(2) 原則：邊個睇得、邊個改得，全部要有規矩。
揀供應商嗰陣，ISO/IEC 27018 等標準可以參考，但唔等於合規保證；有認證唔代表合約寫得啱。老闆要睇嘅係合約條款本身——第 2(3) 同第 4(2) 原則嘅責任有無白紙黑字寫明，唔係睇宣傳單張上面嘅徽章有幾多個。
六、收集聲明要講清楚——資料去邊、邊個睇到、去邊個司法管轄區
按公署雲端單張嘅要求，商戶要在個人資料收集聲明或者私隱政策聲明入面清楚通知顧客三件事：資料處理可能外判畀雲端供應商、資料可能儲存或者處理於另一司法管轄區、資料可能被該地執法及國家安全機關查閱。呢三句唔可以含糊，唔可以收埋喺細字入面。
通知之外，保護水平唔可以打折：商戶要維持相同水平嘅保護，不論資料由自己定雲端供應商持有。資料去咗邊，保護就要跟到邊；唔可以因為外判咗，就將保護標準一齊外判埋。
實際做法係，商戶自己要知道個人資料儲存嘅地點同司法管轄區，並且確保該地提供與香港相若嘅保護水平；資料當事人亦都應該知悉呢個跨境安排。連自己都唔知資料喺邊嘅商戶，根本無辦法向顧客交代，亦都無辦法判斷保護水平夠唔夠。
七、揀 POS 前必問供應商的 7 條問題
第一，問會員同交易資料存喺邊個國家或者地區嘅伺服器，儲存同處理係咪同一地點。第二，問傳輸同儲存有無加密，加密標準係咩，邊個持有密鑰。第三，問資料外洩嗰陣，幾時會通知商戶，通知用咩方式，幾耐之內要通知。
第四，問終止服務之後，資料幾時刪除、點樣刪除、供應商點樣證明已經刪除。第五，問合約有無寫明保障資料第 2(3) 及第 4(2) 原則嘅責任。第六，問供應商有無再外判畀其他供應商，即係外判鏈有幾長，每一環係邊個。第七，問供應商能唔能夠提供跨境轉移嘅標準合約條款，即係公署 2022 年 5 月指引入面嗰兩套條款。
問完要將答案寫入合約，口頭承諾唔計數。銷售話「我哋有加密」同合約寫明「供應商須對傳輸及儲存中嘅個人資料加密」，係兩回事；出事嗰陣，公署只會睇合約，唔會睇銷售講過咩。唔識問，就照抄呢份清單逐條問。
八、落單前檢查清單＋兩個常見誤解
落單之前，對一次檢查清單：個人資料收集聲明更新咗未，有無講明外判同跨境安排；合約條款齊未，第 2(3) 同第 4(2) 原則嘅責任有無寫明；員工知唔知會員資料唔可以亂用、唔可以抄走；刪除同外洩流程有無指定負責人，出事嗰陣邊個負責通知顧客。
最後拆解兩個常見誤解。第一，「第 33 條未生效，即係乜都得」——錯，保障資料原則仍然管住每一次轉移，外判責任亦都喺商戶身上。第二，「用雲端大品牌即係合規」——錯，品牌大唔代表合約寫得啱，責任喺商戶身上，唔喺品牌身上。
POSKing「POS 系統＋收銀鏡頭套裝 HK$4,950 買斷免月費」，買斷制數據喺商戶手，交易紀錄同報表隨時可以匯出備份，揀系統嗰陣亦都可以用本文第七節嘅清單逐條問清楚。想了解買斷制 POS 點樣配合你嘅資料處理安排，可以致電或 WhatsApp ＋852 2186 8010，或者親臨新界沙田石門安麗街18號達利廣場1209室，營業時間每日 12:00–19:00。本文唔係法律意見，具體合規決定請諮詢法律專業人士；條例引述以電子版香港法例原文為準。
雲端 POS 嘅會員資料唔喺收銀機入面，而係存喺供應商伺服器，隨時喺香港以外地方。《個人資料（私隱）條例》第 33 條自 1995 年立法至今從未生效，白名單地方名單至今係空嘅，但保障資料第 3 原則仍然管住每一次跨境轉移；外判畀雲端供應商唔等於卸責，第 65(2) 條訂明代理人嘅作為視同資料使用者本人嘅作為。私隱專員公署 2025 年《雲端運算指引》要求合約寫明兩件事：唔好留資料多過所需時間（第 2(3) 原則），唔好畀人亂睇亂改（第 4(2) 原則）；收集聲明要講明資料可能外判、可能去另一司法管轄區、可能被該地執法及國家安全機關查閱。揀 POS 前按本文 7 條問題逐條問供應商，答案要寫入合約。本文唔係法律意見，具體合規決定請諮詢法律專業人士。
