Comment la loi sur la sécurité nationale de Hong Kong affecte-t-elle les sites web hébergés à Hong Kong ?

Que permet l'article 43 à la police ?

Il énumère sept mesures pour les affaires de sécurité nationale, en plus des pouvoirs habituels en matière de criminalité grave. Quatre concernent un serveur :

• (1) perquisitionner des locaux et des appareils électroniques susceptibles de contenir des preuves ;
• (4) exiger d'une personne ayant publié des informations, ou du fournisseur de services concerné, qu'elle les retire ou prête assistance ;
• (6) intercepter des communications et mener des surveillances occultes, avec l'accord du chef de l'exécutif ;
• (7) exiger des personnes détenant des informations pertinentes qu'elles répondent à des questions et remettent des documents.

L'article 43 permet aussi au chef de l'exécutif, avec le comité de sécurité nationale, d'édicter des règles d'application. Ces règles sont entrées en vigueur le 7 juillet 2020. Elles fixent les procédures, les infractions et les sanctions pour chaque mesure.

Qu'est-ce qu'un « fournisseur de services d'hébergement » au sens de l'annexe 4 ?

Une personne qui héberge des contenus stockés publiés sur une plateforme électronique, lorsqu'il existe un service intermédiaire pour cette plateforme. L'annexe 4 considère cet hébergement comme un service d'hébergement, et son fournisseur comme le fournisseur de services d'hébergement.

L'article 5(2) définit l'« action de désactivation » qui peut être imposée à un hébergeur :

• retirer le message de la plateforme ;
• restreindre ou cesser l'accès au message ;
• interrompre le service d'hébergement pour une partie ou la totalité de la plateforme ;
• restreindre ou cesser l'accès à une partie ou à la totalité de la plateforme.

Dans une location de serveur dédié, le client exploite généralement la plateforme et l'entreprise qui loue la machine fournit l'hébergement. Au sens de l'annexe 4, une action de désactivation peut signifier mettre hors ligne toute une plateforme, pas seulement une page.

Comment un ordre de retrait parvient-il à un hébergeur ?

Par écrit, d'un officier désigné. Le commissaire de police doit d'abord avoir des motifs raisonnables de soupçonner qu'un message publié est susceptible de constituer une infraction à la sécurité nationale ou d'en provoquer une. Le secrétaire à la Sécurité doit donner son accord.

Un exemple publié montre la forme. Le 3 septembre 2024, la police de Hong Kong a envoyé un avis au titre de l'article 7(4)(b) de l'annexe 4 à Automattic Inc., une entreprise américaine. Il exigeait une action de désactivation sur un site web sous 48 heures. Il citait l'article 12(1) : une amende de 100 000 HKD et six mois d'emprisonnement en cas de non-respect.

L'avis citait aussi l'article 63(3) de la loi. Il demandait à l'entreprise de ne pas divulguer le contenu de l'avis, tout en l'autorisant à indiquer qu'elle s'y était conformée.

Qu'est-ce qui a changé le 23 mars 2026 ?

Les règles d'amendement de 2026 (L.N. 27 de 2026) ont été publiées au journal officiel et sont entrées en vigueur le jour même. Deux changements concernent les hébergeurs.

• Annexe 4 : le commissaire précise désormais le message lui-même. Un officier peut agir sur ce message partout où il réapparaît, même s'il est publié par un autre éditeur ou sur une autre plateforme.
• Annexe 1 : lorsque la police fouille du matériel électronique saisi, elle peut exiger d'une « personne désignée » qu'elle fournisse un mot de passe ou une méthode de déchiffrement. Cela inclut toute personne présumée contrôler l'appareil ou connaître le mot de passe.

Refuser l'exigence de déchiffrement sans excuse raisonnable est passible d'une amende pouvant atteindre 100 000 HKD et d'un an d'emprisonnement. Fournir des informations fausses ou trompeuses est passible d'une amende pouvant atteindre 500 000 HKD et de trois ans d'emprisonnement. Le document du Conseil législatif indique que l'annexe 4 comportait déjà une infraction similaire pour les fournisseurs de services.

La police peut-elle obtenir des données clients ou une aide au déchiffrement auprès d'un hébergeur ?

Oui, par une étape judiciaire. Le résumé du gouvernement de 2020 indique que les officiers peuvent demander un mandat à un magistrat. Celui-ci autorise alors la police à exiger du fournisseur de services qu'il fournisse les données d'identification ou une assistance au déchiffrement.

L'article 43(7) ajoute une voie distincte : sur demande, un tribunal peut ordonner à une personne de répondre à des questions ou de produire des documents. La loi de Hong Kong sur les données personnelles ne fait pas obstacle à la divulgation ici. L'article 58 du PDPO exempte l'utilisation de données pour détecter des infractions du principe de limitation d'utilisation, lorsque l'appliquer porterait atteinte à cette finalité.

Un hébergeur remet ce qu'il détient. Nous ne conservons aucun journal : aucune trace des connexions ni du trafic et aucune adresse IP d'un visiteur ou d'un client, ni sur le site web, ni dans le tableau de bord, ni sur aucun serveur.

La loi s'applique-t-elle aux sites web hébergés hors de Hong Kong ?

Le texte revendique une large portée. L'article 38 applique la loi aux infractions commises hors de Hong Kong par des personnes qui ne sont pas résidents permanents. L'avis de 2024 ci-dessus était adressé à une entreprise située hors de Hong Kong.

Faire appliquer une exigence à l'étranger est une autre affaire, régie par le droit du lieu où se trouve l'hébergeur. Cette page ne l'évalue pas.

Pour un serveur situé à Hong Kong, la question ne se pose pas. Le datacenter et son réseau relèvent du droit de Hong Kong. Voir aussi Hong Kong est-il toujours un bon endroit pour héberger des serveurs ?

Qu'est-ce que cela signifie pour un serveur Copperstrait à Hong Kong ?

Copperstrait est exploité par DomaineGoat LLC, constituée au Panama et responsable devant la seule loi panaméenne. Le datacenter de chaque ville est soumis à la loi du lieu où il se trouve. Une exigence adressée au datacenter ou à son fournisseur de réseau peut affecter votre serveur sans passer par Copperstrait.

Dans l'enquête de Copperstrait sur 33 hébergeurs vendant du bare metal en Asie au 2 November 2026, 20 vendent à Hong Kong, 26 à Singapour et 22 au Japon. Copperstrait facture le même prix dans les trois villes, choisir un autre système juridique ne coûte donc rien de plus. Comparez sur Hong Kong ou Singapour pour l'hébergement.

L'action directe des organismes continentaux est traitée sur les autorités chinoises peuvent-elles accéder aux serveurs de Hong Kong. Les offres sont sur combien coûte un serveur Copperstrait.

Cette page résume le droit publié et ne constitue pas un conseil juridique.