# Que exige le PDPO de Hong Kong des fournisseurs d'hébergement ? > PDPO de Hong Kong pour l'hébergement : sous-traitants, conservation, transferts, violations. Serveurs sans KYC, payés en crypto. - URL: https://copperstrait.com/fr/hong-kong-pdpo-hosting/ - Dernière mise à jour: 2026-11-02 - Éditeur: Copperstrait (https://copperstrait.com) L'ordonnance sur les données personnelles (protection de la vie privée), Cap. 486, lue article par article le 2 novembre 2026 : qui est l'utilisateur de données, ce que l'hébergeur doit, et ce que le texte omet. **Réponse rapide — Que exige le PDPO de Hong Kong des fournisseurs d'hébergement ?** Le PDPO de Hong Kong (Cap. 486), lu le 2 novembre 2026, demande peu aux fournisseurs d'hébergement. Un hébergeur qui ne fait que stocker les données d'un client est un « sous-traitant de données » : le client, en tant qu'utilisateur de données, doit le lier par contrat sur la conservation et la sécurité. Pour ses propres dossiers clients, l'hébergeur est un utilisateur de données. **Copperstrait** y loue des serveurs depuis 143,25 $US, en crypto, sans KYC. ## Le PDPO et l'hébergement : faits essentiels | Attribut | Valeur | | --- | --- | | Droit | Ordonnance sur les données personnelles (protection de la vie privée), Cap. 486, en vigueur depuis 1996 | | Autorité de régulation | Privacy Commissioner for Personal Data (PCPD) | | Utilisateur de données | Quiconque contrôle la collecte, la détention, le traitement ou l'utilisation de données personnelles (article 2) | | Sous-traitant de données | Traite des données personnelles pour le compte d'autrui, et non pour ses propres finalités (principe 2(4)) | | Obligations en cas de recours à un sous-traitant | Moyens contractuels ou autres sur la conservation (principe 2(3)) et la sécurité (principe 4(2)) | | Transferts hors de Hong Kong | L'article 33 les encadre mais n'est pas encore en vigueur | | Notification des violations | Aucune obligation de notification dans le texte de l'ordonnance | | Avis de cessation | Depuis le 8 octobre 2021 ; peuvent être signifiés à des fournisseurs de services hors de Hong Kong (article 66M) | | Sanction pour non-respect d'un avis d'exécution | Amende de niveau 5 et deux ans d'emprisonnement (article 50A) | ## Un fournisseur d'hébergement est-il un utilisateur de données ou un sous-traitant de données ? Cela peut être les deux, pour des données différentes. La section 2 fait d'un « data user » (utilisateur de données) quiconque contrôle la collecte, la conservation, le traitement ou l'utilisation de données personnelles. Le principe 2(4) définit un « data processor » (sous-traitant de données) comme une personne qui traite des données personnelles pour le compte d'une autre. Il ne doit pas traiter les données pour ses propres finalités. Pour les fichiers qu'un client stocke sur un serveur loué, c'est le client qui contrôle les données. L'hébergeur correspond à la définition de sous-traitant tant qu'il ne les utilise pas. Pour sa propre facturation et ses propres registres de compte, l'hébergeur est un data user, avec l'ensemble des six principes. ## Que doit prévoir un client lorsqu'il loue un serveur à Hong Kong ? Deux points contractuels, tous deux ajoutés par l'amendement de 2012. Lorsqu'un data user fait appel à un sous-traitant, « que ce soit à Hong Kong ou à l'extérieur de Hong Kong », il doit recourir à des moyens contractuels ou autres pour : - empêcher que les données soient conservées plus longtemps que nécessaire pour le traitement (principe 2(3)) ; - empêcher tout accès, traitement, effacement, perte ou utilisation non autorisé ou accidentel (principe 4(2)). Le principe 4(1) cite également « le lieu physique où les données sont stockées » comme facteur de sécurité. **Le PDPO fait peser sur le client l'obligation de choisir un hébergeur et de le lier par contrat ; il ne délivre ni licence ni enregistrement aux hébergeurs.** ## Le PDPO restreint-il le transfert de données hors de Hong Kong ? Pas encore. La section 33 interdirait les transferts vers des lieux situés hors de Hong Kong, sauf dans les cas énumérés. Le texte sur e-Legislation, consulté le 2 novembre 2026, le marque toujours « Not yet in operation » (pas encore en vigueur). Les règles relatives aux sous-traitants ci-dessus s'appliquent toujours lorsque le sous-traitant se trouve à l'étranger. Un client de Hong Kong qui utilise un serveur à Singapour ou à Tokyo conserve les mêmes obligations contractuelles. ## Un hébergeur doit-il signaler une violation de données à Hong Kong ? L'ordonnance ne prévoit aucune obligation de ce type. Une recherche dans le texte intégral du Cap. 486, consulté le 2 novembre 2026, ne trouve aucune disposition de notification des violations. Singapour est différent. Son PDPA impose à une organisation de notifier le régulateur dans les trois jours calendaires suivant l'évaluation d'une violation notifiable. Un data intermediary doit informer son client sans retard injustifié. Voir [les règles de Singapour pour les hébergeurs](https://copperstrait.com/fr/singapore-data-retention-law/ "Retention and breach rules in Singapore"). ## Combien de temps le PDPO permet-il à un hébergeur de conserver des logs ? Aussi longtemps que nécessaire, et pas plus. Le principe 2(2) exige que toutes les mesures praticables soient prises pour que les données personnelles ne soient « pas conservées plus longtemps que nécessaire » à leur finalité. L'ordonnance ne fixe aucune durée minimale. Rien dans le Cap. 486 n'oblige un hébergeur à stocker des enregistrements de connexion ou de trafic. **La loi sur la vie privée de Hong Kong plafonne la durée de conservation des données ; elle n'ordonne à personne de conserver des logs.** ## Que sont les cessation notices, et peuvent-elles viser un hébergeur ? Ce sont des ordres de cesser une divulgation de doxxing, ajoutés par l'amendement de 2021 entré en vigueur le 8 octobre 2021. En vertu de la section 66M, le Privacy Commissioner peut en signifier une à : - une « Hong Kong person », c'est-à-dire une personne présente à Hong Kong ou un organisme disposant d'un établissement qui y est établi ; - un « non-Hong Kong service provider » (fournisseur de services hors de Hong Kong) qui a fourni ou fournit un service à une Hong Kong person. La « cessation action » exigée comprend la suppression du message. Un recours devant l'Administrative Appeals Board doit être formé dans les 14 jours et ne suspend pas la notice. Contrevenir à une notice est une infraction : une amende de niveau 5 et deux ans d'emprisonnement en cas de première condamnation. Les moyens de défense couvrent une technologie non raisonnablement disponible et une perte substantielle pour un tiers. La section 66P protège de toute action civile le fournisseur qui s'y conforme. ## Un hébergeur peut-il communiquer des données à la police au titre du PDPO ? Oui, dans les affaires pénales. La section 58(2) soustrait au principe 3 l'utilisation de données personnelles pour prévenir ou détecter une infraction. Elle s'applique lorsque le respect du principe 3 serait susceptible de compromettre cette finalité. Les pouvoirs en matière de sécurité nationale figurent dans des textes distincts, traités sur [l'incidence de la National Security Law sur les sites web hébergés](https://copperstrait.com/fr/hong-kong-national-security-law-hosting/ "Article 43 rules and hosting providers"). ## Quelles données personnelles Copperstrait collecte-t-il ? Le moins possible pour faire tourner un serveur. Sans KYC : vous ne téléversez aucune pièce d'identité, aucun selfie et aucun document, et vous ne donnez ni numéro de carte ni numéro de téléphone. Aucun journal : aucune trace des connexions ni du trafic, aucune adresse IP de visiteur ou de client, et aucune note sur la façon dont vous avez trouvé le site au-delà d'un code de parrainage si votre lien en comportait un. Ce que nous conservons est ce dont la facturation et l'exploitation de votre serveur ont besoin : le numéro de compte, et une adresse email si vous en ajoutez une ; chaque recharge et chaque commande (montant, crypto, réseau, ID de transaction, date) ; et pour chaque serveur son nom, son offre, sa durée, sa ville, son système, sa clé publique SSH, ses adresses IP et ses dates, ainsi que le mot de passe root temporaire que nous définissons quand aucune clé n'a été fournie, inutile dès que vous le changez. L'équipement réseau du datacenter n'est pas à nous. Les données ne quittent nos mains que sur ordonnance d'un tribunal panaméen. **Dans l'enquête de Copperstrait menée auprès de 33 hébergeurs vendant du bare metal en Asie le 2 November 2026, 3 exigent une pièce d'identité avant la livraison et 16 peuvent en demander au déclenchement de certains critères.** Seuls 6 déclarent ne demander aucune pièce d'identité à l'inscription. La comparaison figure sur [louer un serveur à Hong Kong ou à Singapour sans pièce d'identité](https://copperstrait.com/fr/asia-server-without-kyc/ "What Asian hosts ask for at signup"). Les prix figurent sur [combien coûte un serveur Copperstrait](https://copperstrait.com/fr/pricing/ "Copperstrait servers and prices"). Cette page résume le droit publié et ne constitue pas un conseil juridique. ## Le PDPO et l'hébergement : questions fréquentes ### Un hébergeur web est-il un data processor au sens du PDPO ? Lorsqu'il traite uniquement des données de clients pour le compte de ces derniers, et non pour ses propres finalités, il correspond à la définition du principe 2(4). Pour ses propres registres de clients, il est un data user. ### Le PDPO exige-t-il que les données restent à Hong Kong ? Non. La section 33, qui limiterait les transferts hors de Hong Kong, n'est pas encore en vigueur. Les clients qui recourent à des sous-traitants à l'étranger doivent toujours les lier par contrat. ### La notification des violations de données est-elle obligatoire à Hong Kong ? Pas selon le texte du Cap. 486 consulté le 2 novembre 2026, qui ne contient aucune obligation de notification des violations. Le PDPA de Singapour, en revanche, fixe un délai de trois jours après qu'une violation a été évaluée comme notifiable. ### Le Privacy Commissioner peut-il ordonner à un hébergeur étranger de supprimer un contenu ? La section 66M(2) permet d'adresser une cessation notice à un non-Hong Kong service provider qui sert une Hong Kong person, pour des messages de doxxing. La manière dont elle est appliquée à l'étranger est une autre question. ### Combien de temps un hébergeur de Hong Kong doit-il conserver des logs ? Le PDPO ne fixe aucun minimum. Le principe 2(2) indique seulement que les données personnelles ne doivent pas être conservées plus longtemps que nécessaire à leur finalité. **Un serveur à Hong Kong sans rien à remplir** Strait 16 coûte 143,25 $/30 jours : un numéro de compte, une recharge en crypto, pas de KYC. [Louer Strait 16 à Hong Kong](https://copperstrait.com/app/checkout/?plan=strait-16&location=hk-hkg&lang=fr) · [Voir tous les serveurs](https://copperstrait.com/fr/pricing/ "Combien coûte un serveur dédié Copperstrait ?") ## Sources 1. [Cap. 486 Personal Data (Privacy) Ordinance (sections 2, 33, 50A, 58, 66J à 66P ; Schedule 1)](https://www.elegislation.gov.hk/hk/cap486) — Hong Kong e-Legislation, Department of Justice (read 2026-11-02) 2. [Personal Data (Privacy) (Amendment) Ordinance 2021 comes into effect today (8 October 2021)](https://www.info.gov.hk/gia/general/202110/08/P2021100800392.htm) — HKSAR Government press release (read 2026-11-02) 3. [Personal Data Protection Act 2012, sections 4, 25, 26C et 26D](https://sso.agc.gov.sg/Act/PDPA2012) — Singapore Statutes Online, Attorney-General's Chambers (read 2026-11-02) --- Copperstrait: Copperstrait loue des serveurs dédiés à Hong Kong, Singapour et Tokyo, payés en crypto sans KYC : pas de pièce d'identité, pas de selfie, pas de documents. Chaque serveur est une machine physique entière pour un seul client, avec accès root, au même prix dans les trois villes. Il est exploité par DomaineGoat LLC, une société enregistrée au Panama, et ne conserve aucun log. Chaque serveur est facturé au moins 25 % en dessous d'un serveur comparable nommé chez 7 hébergeurs crypto sans KYC dans ces villes, relevé le 2 novembre 2026.