हांगकांग का PDPO होस्टिंग प्रदाताओं से क्या मांगता है?

क्या होस्टिंग प्रदाता डेटा उपयोगकर्ता है या डेटा प्रोसेसर?

यह दोनों हो सकता है, अलग-अलग डेटा के लिए। धारा 2 हर उस व्यक्ति को "data user" बनाती है जो personal data के संग्रह, धारण, प्रसंस्करण या उपयोग को नियंत्रित करता है।

सिद्धांत 2(4) "data processor" को ऐसे व्यक्ति के रूप में परिभाषित करता है जो किसी अन्य की ओर से personal data का प्रसंस्करण करता है। उसे अपने किसी भी उद्देश्य के लिए डेटा का प्रसंस्करण नहीं करना चाहिए।

जो फ़ाइलें कोई ग्राहक किराए के सर्वर पर संग्रहीत करता है, उन डेटा को ग्राहक नियंत्रित करता है। होस्ट processor की परिभाषा में तब तक फ़िट बैठता है जब तक वह उनका उपयोग नहीं करता। अपने स्वयं के बिलिंग और अकाउंट रिकॉर्ड के लिए, होस्ट छह सिद्धांतों के पूरे सेट के साथ एक data user है।

हांगकांग में सर्वर किराए पर लेते समय ग्राहक को क्या व्यवस्था करनी चाहिए?

दो अनुबंध बिंदु, दोनों 2012 के संशोधन द्वारा जोड़े गए। जब कोई data user किसी processor को नियुक्त करता है, "चाहे हांगकांग के भीतर या बाहर", तो उसे अनुबंधात्मक या अन्य साधनों का उपयोग करना चाहिए ताकि:

• प्रसंस्करण के लिए आवश्यकता से अधिक समय तक डेटा रखने से रोका जा सके (सिद्धांत 2(3));
• अनधिकृत या आकस्मिक पहुंच, प्रसंस्करण, मिटाने, हानि या उपयोग को रोका जा सके (सिद्धांत 4(2))।

सिद्धांत 4(1) "वह भौतिक स्थान जहां डेटा संग्रहीत है" को भी एक सुरक्षा कारक के रूप में सूचीबद्ध करता है। PDPO होस्ट चुनने और उसे अनुबंध से बांधने की जिम्मेदारी ग्राहक पर डालता है; यह होस्ट को लाइसेंस या रजिस्टर नहीं करता।

क्या PDPO हांगकांग से बाहर डेटा ले जाने पर प्रतिबंध लगाता है?

अभी नहीं। धारा 33 हांगकांग के बाहर के स्थानों पर स्थानांतरण को सूचीबद्ध मामलों के अलावा मना करेगी। e-Legislation पर पाठ, 2 नवंबर 2026 को पढ़ा गया, अभी भी इसे "Not yet in operation" के रूप में चिह्नित करता है।

ऊपर दिए गए processor नियम तब भी लागू होते हैं जब processor विदेश में हो। सिंगापुर या टोक्यो में सर्वर का उपयोग करने वाला हांगकांग का ग्राहक वही अनुबंध कर्तव्य बनाए रखता है।

क्या हांगकांग में होस्ट को डेटा उल्लंघन की रिपोर्ट करनी होती है?

अध्यादेश में ऐसा कोई कर्तव्य नहीं है। Cap. 486 के पूर्ण पाठ की खोज, जैसा 2 नवंबर 2026 को पढ़ा गया, किसी भी breach-notification प्रावधान को नहीं पाती।

सिंगापुर अलग है। उसका PDPA किसी संगठन को किसी अधिसूचनीय उल्लंघन का आकलन करने के तीन कैलेंडर दिनों के भीतर नियामक को सूचित करने के लिए बाध्य करता है। data intermediary को बिना अनुचित देरी के अपने ग्राहक को बताना चाहिए। देखें होस्ट के लिए सिंगापुर के नियम।

PDPO होस्ट को लॉग कितने समय तक रखने देता है?

जितना आवश्यक हो, और उससे अधिक नहीं। सिद्धांत 2(2) कहता है कि सभी व्यावहारिक कदम उठाए जाने चाहिए ताकि personal data अपने उद्देश्य के लिए "आवश्यकता से अधिक समय तक न रखा जाए"।

अध्यादेश कोई न्यूनतम अवधि निर्धारित नहीं करता। Cap. 486 में कुछ भी होस्ट को कनेक्शन या ट्रैफ़िक रिकॉर्ड संग्रहीत करने की आवश्यकता नहीं देता। हांगकांग का गोपनीयता कानून डेटा कितने समय तक रखा जाए, इसकी सीमा तय करता है; यह किसी को लॉग रखने का आदेश नहीं देता।

cessation notices क्या हैं, और क्या वे होस्ट तक पहुंच सकते हैं?

ये doxxing प्रकटीकरण को रोकने के आदेश हैं, जो 2021 के संशोधन द्वारा जोड़े गए और 8 अक्टूबर 2021 से प्रभावी हैं। धारा 66M के तहत, Privacy Commissioner इन पर एक तामील कर सकता है:

• किसी "Hong Kong person", अर्थात हांगकांग में उपस्थित कोई व्यक्ति या वहां व्यवसाय का स्थान रखने वाला कोई निकाय;
• किसी "non-Hong Kong service provider" पर जिसने किसी भी Hong Kong person को कोई सेवा प्रदान की है या प्रदान करता है।

अपेक्षित "cessation action" में संदेश को हटाना शामिल है। Administrative Appeals Board में अपील 14 दिनों के भीतर आनी चाहिए, और यह नोटिस को निलंबित नहीं करती।

नोटिस का उल्लंघन करना एक अपराध है: पहली सज़ा पर level 5 जुर्माना और दो वर्ष कारावास। बचाव में उपलब्ध न होने वाली तकनीक और किसी तीसरे पक्ष को होने वाली पर्याप्त हानि शामिल हैं। धारा 66P अनुपालन करने वाले provider को दीवानी दावों से बचाती है।

क्या होस्ट PDPO के तहत पुलिस को डेटा दे सकता है?

हां, अपराध मामलों में। धारा 58(2) अपराध को रोकने या पता लगाने के लिए personal data के उपयोग को सिद्धांत 3 से छूट देती है। यह तब लागू होती है जब सिद्धांत 3 का पालन उस उद्देश्य को संभवतः प्रभावित कर देगा।

राष्ट्रीय सुरक्षा की शक्तियां अलग पाठों में हैं, जिन पर राष्ट्रीय सुरक्षा कानून होस्टेड वेबसाइटों को कैसे प्रभावित करता है में चर्चा की गई है।

Copperstrait कौन सा personal data एकत्र करता है?

उतना ही कम जितना सर्वर चलाना अनुमति देता है। कोई KYC नहीं: आप कोई ID, कोई selfie और कोई documents upload नहीं करते, और कोई card या phone number नहीं देते। कोई logs नहीं: connections या traffic के रिकॉर्ड नहीं, किसी visitor या customer का IP address नहीं, और आपने site कैसे पाई इसका कोई नोट नहीं सिवाय referral code के, अगर आपके link में कोई था। हमारे पास केवल वही है जो billing और आपका server चलाने के लिए ज़रूरी है: account number, और एक email अगर आप जोड़ते हैं; हर top-up और order (amount, coin, network, transaction ID, date); और हर server के लिए उसका नाम, plan, term, city, system, SSH public key, IP addresses और dates, साथ में वह अस्थायी root password जो हम तब set करते हैं जब कोई key न दी गई हो, जो आपके बदलने के बाद बेकार है। datacenter का network equipment हमारा नहीं है कि हम उसे नियंत्रित करें। रिकॉर्ड हमारे हाथ से केवल Panamanian अदालत के आदेश पर निकलते हैं।

2 November 2026 पर एशिया में bare metal बेचने वाले 33 होस्ट के Copperstrait सर्वेक्षण में, 3 डिलीवरी से पहले ID की आवश्यकता रखते हैं और 16 ट्रिगर पर इसकी मांग कर सकते हैं। केवल 6 कहते हैं कि वे साइनअप पर कोई ID नहीं मांगते। तुलना बिना ID के हांगकांग या सिंगापुर में सर्वर किराए पर लेने पर है।

कीमतें Copperstrait सर्वर की लागत कितनी है पर हैं। यह पृष्ठ प्रकाशित कानून का सारांश है और कानूनी सलाह नहीं है।