¿Qué exige el PDPO de Hong Kong a los proveedores de hosting?

¿Un proveedor de hosting es responsable o encargado del tratamiento?

Puede ser ambas cosas, para datos distintos. La sección 2 define como "usuario de datos" a quien controla la recogida, el almacenamiento, el tratamiento o el uso de datos personales.

El principio 2(4) define como "encargado del tratamiento" (data processor) a la persona que trata datos personales por cuenta de otra. No debe tratar los datos para fines propios.

En el caso de los archivos que un cliente almacena en un servidor alquilado, es el cliente quien controla los datos. El proveedor de alojamiento encaja en la definición de encargado siempre que no los utilice. Para sus propios registros de facturación y de cuenta, el proveedor es un usuario de datos con el conjunto completo de los seis principios.

¿Qué debe pactar un cliente al alquilar un servidor en Hong Kong?

Dos puntos contractuales, ambos añadidos por la enmienda de 2012. Cuando un usuario de datos contrata a un encargado, "ya sea dentro o fuera de Hong Kong", debe recurrir a medios contractuales u otros para:

• evitar que los datos se conserven más tiempo del necesario para el tratamiento (principio 2(3));
• evitar el acceso, el tratamiento, el borrado, la pérdida o el uso no autorizados o accidentales (principio 4(2)).

El principio 4(1) también incluye "la ubicación física donde se almacenan los datos" como factor de seguridad. La PDPO impone al cliente el deber de elegir y vincular a un proveedor de alojamiento; no otorga licencias ni registra a los proveedores.

¿Restringe la PDPO la salida de datos de Hong Kong?

Todavía no. La sección 33 prohibiría las transferencias a lugares fuera de Hong Kong salvo en los casos enumerados. El texto en e-Legislation, consultado el 2 de noviembre de 2026, aún la marca como "Not yet in operation" (no vigente todavía).

Las normas sobre encargados anteriores siguen aplicándose cuando el encargado está en el extranjero. Un cliente de Hong Kong que use un servidor en Singapur o Tokio mantiene las mismas obligaciones contractuales.

¿Debe un proveedor de alojamiento notificar una brecha de datos en Hong Kong?

La ordenanza no contiene esa obligación. Una búsqueda en el texto completo del Cap. 486, consultado el 2 de noviembre de 2026, no encuentra ninguna disposición de notificación de brechas.

Singapur es diferente. Su PDPA obliga a una organización a notificar al regulador en un plazo de tres días naturales desde que evalúa una brecha como notificable. Un intermediario de datos debe informar a su cliente sin demora indebida. Consulta las normas de Singapur para proveedores de alojamiento.

¿Cuánto tiempo permite la PDPO que un proveedor de alojamiento conserve los logs?

El tiempo necesario, y no más. El principio 2(2) establece que deben adoptarse todas las medidas practicables para que los datos personales "no se conserven más tiempo del necesario" para su finalidad.

La ordenanza no fija ningún periodo mínimo. Nada en el Cap. 486 exige a un proveedor de alojamiento almacenar registros de conexión o de tráfico. La ley de privacidad de Hong Kong limita cuánto tiempo se conservan los datos; no ordena a nadie conservar logs.

¿Qué son los avisos de cese y pueden llegar a un proveedor de alojamiento?

Son órdenes de cesar una revelación de doxxing, añadidas por la enmienda de 2021 en vigor desde el 8 de octubre de 2021. Según la sección 66M, el Privacy Commissioner puede notificar uno a:

• una "persona de Hong Kong", es decir, alguien presente en Hong Kong o una entidad con un lugar de negocios allí;
• un "proveedor de servicios no residente en Hong Kong" que haya prestado o preste cualquier servicio a alguna persona de Hong Kong.

La "acción de cese" exigida incluye retirar el mensaje. La apelación ante el Administrative Appeals Board debe presentarse en un plazo de 14 días y no suspende el aviso.

Incumplir un aviso es delito: multa de nivel 5 y dos años de prisión en la primera condena. Las defensas cubren la tecnología no razonablemente disponible y el perjuicio sustancial a un tercero. La sección 66P protege de reclamaciones civiles al proveedor que cumple.

¿Puede un proveedor de alojamiento entregar datos a la policía en virtud de la PDPO?

Sí, en casos delictivos. La sección 58(2) exime del principio 3 el uso de datos personales para prevenir o detectar delitos. Se aplica cuando cumplir el principio 3 probablemente perjudicaría esa finalidad.

Las competencias en materia de seguridad nacional están en textos aparte, tratadas en cómo afecta la Ley de Seguridad Nacional a los sitios web alojados.

¿Qué datos personales recoge Copperstrait?

Los mínimos que permite operar un servidor. Sin KYC: no subes ningún documento de identidad, ni una selfie, ni documentos, y no das ningún número de tarjeta ni de teléfono. Sin logs: ni registros de conexión o de tráfico, ni dirección IP de visitantes o clientes, ni constancia de cómo llegaste al sitio más allá de un código de referido si tu enlace lo tenía. Lo que guardamos es lo que necesitan la facturación y el funcionamiento de tu servidor: el número de cuenta, y un correo si añades uno; cada recarga y pedido (importe, moneda, red, ID de transacción, fecha); y de cada servidor, su nombre, plan, plazo, ciudad, sistema, clave pública SSH, direcciones IP y fechas, además de la contraseña root temporal que fijamos cuando no se dio ninguna clave, que deja de servir en cuanto la cambias. El equipamiento de red del centro de datos no está bajo nuestro control. Los registros solo salen de nuestras manos por orden de un tribunal panameño.

En la encuesta de Copperstrait sobre 33 proveedores de alojamiento que venden bare metal en Asia a fecha de 2 November 2026, 3 exigen identificación antes de la entrega y 16 pueden pedirla en determinados supuestos. Solo 6 afirman no pedir identificación al registrarse. La comparativa está en alquilar un servidor en Hong Kong o Singapur sin identificación.

Los precios están en cuánto cuesta un servidor Copperstrait. Esta página resume la ley publicada y no constituye asesoramiento jurídico.