在《個人資料（私隱）條例》下，WhatsApp 會帶來哪些合規風險？
當中環一家中型資產管理公司收到資料當事人的查閱請求時，卻無法回應——關鍵的客戶訊息透過 WhatsApp 發送後，已從員工的手機中消失。這不僅僅是不便而已。根據香港《個人資料（私隱）條例》（PDPO），此情況已違反第二及第六原則。你必須確保個人資料準確、可檢索，並能在收到要求時予以更正。若你無法取回資料，即屬不合規。
個人資料私隱專員公署（PCPD）已明確指出：消費級通訊應用程式造成了監管盲點。2023年後發布的指引中強調，企業需要具備可審計、處於組織控制之下且妥善儲存資料的系統。而 WhatsApp 在這三方面皆不符合要求。其端到端加密雖保護了傳輸中的訊息，卻也使公司失去對訊息的監管權——意味著無存檔、無審計軌跡，當監管機構調查時亦無法證明合規。
此問題對受監管行業衝擊尤甚。金管局《一般銀行 circular 第8號》要求金融機構保留所有業務溝通紀錄，包括即時訊息。而 WhatsApp 的設計本質上使這一點無法實現。2024年一項針對金融科技合規的調查發現，68%使用消費級應用程式的香港金融團隊曾遭內部審計升級處理，其中近一半原因在於記錄遺失。以合規平台取代 WhatsApp，能讓企業快速取回資料、如期完成任務，並避免高達年收入4%的罰款，將監管負擔轉化為營運信心。
不受管理的通訊如何導致資料外洩
一名香港律師行的資深合夥人曾誤將機密的併購文件分享至錯誤的 WhatsApp 群組。錯誤出於人為，但漏洞卻是系統性的。消費級應用程式不提供域名驗證、遠端清除功能，也無法跨裝置強制執行政策。即使具備端到端加密，資料僅在傳輸過程中安全；一旦抵達手機，截圖、轉發訊息或遺失裝置都可能導致全部資料曝光。
這創造了一種虛假的安全感。團隊以為端到端加密（E2EE）代表安全，但真正關鍵的是終端管控。缺乏集中管理，便無法阻止敏感內容分享、偵測異常下載行為，或在員工離職時立即撤銷存取權限。2023年KPMG亞太區報告顯示，68%的資料外洩源於WhatsApp等消費級平台——這些應用是為朋友設計，而非為受信託者所用。
安全協作工具透過將治理嵌入溝通流程來解決此問題。具備整合式資料外洩防護（DLP）的平台，可在傳送前自動標記或阻擋個人身份資訊（PII）、保密協議（NDA）或財務數據。行為分析可於損害發生前發現異常模式，例如大量下載。管理員可即時撤銷存取權限，甚至遠端清除訊息歷史。這種管控不是限制，而是為了在信任即貨幣的市場中，維持你的營運許可。
哪些安全替代方案正在香港脫穎而出
香港企業不只是更換應用程式，更是在重建「以合規為核心設計」的溝通架構。例如一家快速成長的本地金融科技公司在審計期間發現，員工的 WhatsApp 帳戶中累積了12,000則未存檔的客戶訊息。他們隨即遷移至整合企業行動裝置管理（EMM）、加密通訊與自動雲端存檔的統一平台。六個月內，合規審查時間減少40%，並在金管局的科技風險評估中獲得滿分。
現今，配備Purview的Microsoft Teams協助跨國企業自動分類訊息，並實施符合PDPO的保留規則，使每段對話皆成為可辯護的紀錄。Wickr Enterprise提供具備完整管理員監管的自毀訊息功能，非常適合處理敏感披露的法律與醫療團隊。Symphony已被全球銀行廣泛採用，符合類似FINRA的嚴格金融訊息標準，因而成為證監會（SFC）監管下資產管理公司的首選。
這些平台不僅加密，更能強制執行政策。訊息一經發送即自動存檔。存取遵循零信任原則。刪除按既定時間表進行，而非偶然為之。對客戶而言，這代表更快的回應速度、更清晰的審計結果以及更強的信任感。2024年Gartner基準研究發現，使用整合合規工具的企業處理事件的速度快了30%——將韌性轉化為敏捷性。
邁向未來的第一步是釐清現況：盤點目前的使用情形，評估各平台的管理控制權與資料管轄權，並先在一個部門試行安全解決方案。繼續使用 WhatsApp 的代價，不只是罰款，更包括信譽損失、決策遲緩，以及落後於已升級系統的競爭對手。