會議錄音要唔要問准？PDPO 落地版：同意、通知同保留期

大部分香港團隊嘅會議錄音，都係由一句「我錄低呢個會，好唔好？」開始。

有人點頭，就開始錄。會後檔案留住，冇人記得幾時刪。直到有人問：「呢段錄音可以留幾久？」「新同事可唔可以聽返？」「客戶投訴嗰時，錄音可唔可以交出去？」先發現冇答案。

呢篇唔講口號，只把《個人資料（私隱）條例》（PDPO）嘅要求拆成三條可以答嘅問題，再附一段可以直接抄嘅會前通知。

重點摘要

• 會議錄音包含姓名、聲線、職位同對話內容，通常屬個人資料，受 PDPO 保障資料原則約束。
• 收集要有合法目的、要必要、要公平；並且要告知用途、可能轉移俾邊類人、當事人嘅查閱同改正權。
• 唔係所有錄音都要「書面同意」。實務上，公開進行、事前通知、提供拒絕選項，已經處理咗大部分風險；敏感會議就應該取得明確同意。
• 保留期唔可以一句「留十年」蓋過。PDPO 第 26 條要求目的達到後刪除；私隱專員公署對僱員監察記錄嘅參考做法，係一般不多於六個月。
• 董事會同成員大會嘅會議紀錄有法定十年備存要求，但呢個要求唔適用於錄音同逐字稿。

先分三件事：錄音、轉寫、訓練

同一個「錄音」，可以有三種用途，風險完全唔同。

錄音 係收集原聲。轉寫 係把原聲變成文字，通常係為咗做會議記錄。訓練 係把錄音或文字用嚟改進模型，屬另一個目的。

三者唔可以當成同一件事。如果 vendor 合約寫「我哋可能用你嘅資料改善服務」，你要問清楚：係咪包括用你嘅會議內容訓練模型？如果係，就要另外處理目的改變同同意問題。

PDPO 保障資料第 3 原則講明，個人資料唔可以未經同意就用於新目的。錄音用嚟做記錄，唔等於可以順便用嚟訓練。呢個位同語音 AI 嘅合規要求重疊，可以對照語音 AI 合規指南。

問題一：錄唔錄得？先過三個閘

閘一：有冇合法目的？

合法目的要同公司職能直接有關。例如：記錄決議、跟進行動項、處理客戶爭議、合規審計。

「以備不時之需」或者「錄咗先算」通常唔夠。目的越模糊，之後越難證明必要性。

閘二：係咪必要？有冇更溫和嘅方法？

如果只需要決定同行動項，人手筆記或者會後摘要可能已經夠。錄音嘅侵入性較高，因為它會完整保留語氣、停頓同私下評論。

私隱專員公署嘅《僱主監察僱員工作活動須知》提出「3As」：評估（Assessment）、替代方案（Alternatives）、問責（Accountability）。先問有冇其他方法，再問係咪一定要錄。

閘三：收集方式公唔公平？

公平嘅最低要求係：喺錄音之前，讓與會者知道有四件事——會錄音、用途、保留期、可以向邊個查詢。

唔好會後才通知，亦唔好把通知藏喺 30 頁入場文件入面。

問題二：要唔要逐個人問准？

呢條最易引起爭論。答案係：視情況，但唔可以唔講。

PDPO 保障資料第 1 原則要求，收集個人資料時要告知當事人收集目的、資料可能轉移俾邊類人士，以及其查閱同改正權利。呢個係「通知」責任，唔一定等於「書面同意」。

實務上可以分兩層：

• 一般內部會議：會前口頭或書面通知，講明用途同保留期，提供拒絕或退出選項。有人明確反對，就唔好錄，或者只做人手記錄。
• 敏感會議：人事、紀律、法律爭議、客戶投訴、涉及第三方個人資料。呢類應該取得明確同意，並記錄誰人同意、幾時同意。

如果係僱主錄員工會議，私隱專員公署嘅指引講得更直接：僱員監察應該以公開方式進行；隱蔽監察只可以在有合理懷疑非法活動等特殊情況下使用，而且要限範圍、限時間。

如果會議有外部參加者，bot 入會之前亦要講清楚。做法可以參考AI bot 入會做逐字稿。

另外，Google Meet 嘅管理員可以設定「錄影或轉寫前必須取得每位參加者明確同意」。呢個設定預設關閉，要管理員主動開。呢個設計反映咗一個現實：平台會提供工具，但責任喺使用機構身上。

問題三：保留幾久？由用途倒推，唔係由年份倒推

【獨家觀察】我哋逐條對照 PDPO 同私隱專員公署嘅指引，發現最多人問錯嘅問題係「可唔可以留十年」。十年呢個數字來自《公司條例》嘅會議紀錄備存要求，唔係一條通用嘅資料保留上限。把兩套規則撈亂，就會出現「錄音留十年」呢種既無法律基礎、又多餘風險嘅做法。

PDPO 第 26 條要求資料使用者刪除不再需要嘅個人資料（條文，查閱 2026-10-31）。保障資料第 2 原則亦要求，保留時間唔可以超過貫徹收集目的所需。

所以正確嘅問法唔係「可唔可以留十年」，而係「呢份文件仲有咩用」。

私隱專員公署嘅僱員監察指引提出，監察記錄一般以不超過六個月為佳；有法律或合約要求、涉及不當行為調查、或者需要用嚟做法律程序證據，才可以延長。呢個係針對僱員監察記錄嘅參考，唔係所有會議錄音嘅法定上限，但個原則一樣：預設短，例外才長。

要留意：法定十年嘅對象係會議紀錄，唔係錄音。把「十年」套落錄音，既無法律基礎，亦增加外洩風險。逐字稿同會議記錄嘅分別，另文詳細講，見會議記錄同逐字稿有咩分別。

會前通知範本：四句就夠

以下可以直接貼入會議邀請或者開場講。

今日會議會錄音，用途係整理會議記錄同跟進行動項。錄音會存放喺公司帳戶，逐字稿完成核對後 30 日內刪除原檔。你可以拒絕錄音；如你拒絕，我哋會改用人手記錄。查詢請聯絡：［姓名／電郵］。

四句分別對應：錄音、用途、保留期、拒絕選項同聯絡人。

如果會議有外部參加者，或者內容敏感，再加一句：「錄音唔會用嚟訓練任何 AI 模型。」呢句必須同 vendor 合約一致，唔可以口頭講咗但合約寫相反。

會後五步：把政策變成動作

1. 標記：檔案名加日期、會議類型、敏感度。唔好靠記憶。
2. 轉寫同核對：只核對人名、數字、決定句；唔需要逐字改口頭語。流程可以參考錄音轉逐字稿實務。
3. 刪原檔：核對完成後，按政策刪除錄音，除非要保留作爭議用途。
4. 設到期日：逐字稿同會議記錄分開設到期日；到期自動提醒。
5. 查存取權：離職、轉組、外部合作結束，即刻收回權限。

第 5 步最常被忘記。好多外洩唔係黑客入侵，而係前同事仍然有資料夾權限。

揀工具之前：六條 vendor 問題

1. 錄音同逐字稿預設存放喺邊個國家或地區？
2. 預設保留期幾久？可唔可以自訂？
3. 會唔會用客戶資料訓練模型？合約邊一句講？
4. 有冇分包處理者（subprocessor）？名單喺邊？
5. 刪除要求幾時生效？備份會唔會一齊刪？
6. 可唔可以完整匯出資料，然後終止合約？

呢六條唔止合規問題，亦係議價籌碼。答得含糊嘅 vendor，通常喺事故發生時都幫唔到你。

三個常見誤解

誤解一：開會錄音唔算個人資料

錯。聲線可以辨認身份，會議內容有人名、職位、客戶資料，通常都符合個人資料定義。私隱專員公署嘅指引亦以「可辨識身份嘅紀錄」作界定。

誤解二：講咗「我錄音」就等於可以無限用

唔係。通知只處理「收集」同「用途告知」。之後拿段錄音去做宣傳、訓練模型、或者交俾第三方，屬另一個目的，要另外處理。

誤解三：刪咗檔就冇紀錄

刪除要包括備份、快取同衍生檔案。如果 vendor 有備份，合約要寫明備份嘅刪除周期。否則「已刪除」只係你見到嘅那一層。

常見問題

同事口頭反對錄音，但我已經開始錄，點算？

即刻停止，並刪除已錄部分。之後改用人手記錄。唔好因為「錄咗少少」而繼續，亦唔好把片段留住做「參考」。

客戶會議可以錄音嗎？

可以，但要有合法目的同通知。若果客戶明確拒絕，就唔好錄。涉及投訴或法律爭議嘅會議，建議取得明確同意，並記錄同意時間。

錄音要唔要加密？

要。最起碼要限制存取權、用公司帳戶儲存、避免用個人裝置或公共雲端硬碟。PDPO 保障資料第 4 原則要求採取切實可行嘅保安措施。

公司可以隨機抽查錄音嗎？

用錄音做員工監察，屬另一個用途，要有政策、通知同必要性評估。唔可以因為「已經錄咗」就順便用嚟評核員工。

資料來源

• 《個人資料（私隱）條例》（第 486 章），elegislation.gov.hk，查閱 2026-10-31。
• 個人資料私隱專員公署，《保障個人資料私隱指引：僱主監察僱員工作活動須知》（2016 年修訂），pcpd.org.hk PDF，查閱 2026-10-31。
• 個人資料私隱專員公署，《人工智能：個人資料保障模範框架》（2024），pcpd.org.hk PDF，查閱 2026-10-31。
• 公司註冊處，「會議、決議及公司紀錄」，《公司條例》（第 622 章），cr.gov.hk，查閱 2026-10-31。
• Google，「Use Transcripts with Google Meet」（管理員同意設定），support.google.com，查閱 2026-10-31。

本文由港嘢內容團隊編輯，資料核對日期 2026-10-31。本文屬實務整理，唔構成法律意見；如有具體爭議，請諮詢律師。想了解我哋點處理錄音同轉寫，見關於港嘢或聯絡我哋。

結語

會議錄音嘅合規，唔係一份簽名表格，而係三個習慣：錄之前講清楚、錄完之後按用途決定留幾久、到期就真的刪。

三個習慣加起來，成本好低；但可以避免大部分「點解會有呢段錄音」嘅尷尬。

想睇完整嘅保留期分工，見會議記錄同逐字稿有咩分別；想睇董事會紀錄嘅法定要求，見董事會會議記錄範本。