Cosa richiede il PDPO di Hong Kong ai fornitori di hosting?

Un fornitore di hosting è un titolare dei dati o un responsabile del trattamento?

Può essere entrambe le cose, per dati diversi. La sezione 2 definisce "data user" chiunque controlli la raccolta, la conservazione, il trattamento o l'uso di dati personali.

Il principio 2(4) definisce un "data processor" come una persona che tratta dati personali per conto di un'altra. Non deve trattare i dati per scopi propri.

Per i file che un cliente archivia su un server affittato, il cliente controlla i dati. L'host rientra nella definizione di processor finché non li utilizza. Per i propri registri di fatturazione e di account, l'host è un data user con l'intero set di sei principi.

Cosa deve predisporre un cliente quando affitta un server a Hong Kong?

Due punti contrattuali, entrambi aggiunti dall'emendamento del 2012. Quando un data user si avvale di un processor, "within or outside Hong Kong", deve usare mezzi contrattuali o altri mezzi per:

• impedire che i dati siano conservati più a lungo del necessario per il trattamento (principio 2(3));
• impedire accesso, trattamento, cancellazione, perdita o uso non autorizzati o accidentali (principio 4(2)).

Il principio 4(1) elenca inoltre "the physical location where the data is stored" tra i fattori di sicurezza. Il PDPO mette in capo al cliente il dovere di scegliere e vincolare un host; non rilascia licenze né registra gli host.

Il PDPO limita il trasferimento di dati fuori da Hong Kong?

Non ancora. La sezione 33 vieterebbe i trasferimenti verso luoghi al di fuori di Hong Kong, salvo i casi elencati. Il testo su e-Legislation, consultato il 2 novembre 2026, riporta ancora "Not yet in operation".

Le regole sui processor sopra valgono comunque quando il processor è all'estero. Un cliente di Hong Kong che usa un server a Singapore o Tokyo mantiene gli stessi obblighi contrattuali.

Un host deve notificare una violazione di dati a Hong Kong?

L'ordinanza non contiene tale obbligo. Una ricerca nel testo completo del Cap. 486, consultato il 2 novembre 2026, non trova alcuna disposizione sulla notifica delle violazioni.

Singapore è diversa. Il suo PDPA impone a un'organizzazione di notificare all'autorità entro tre giorni di calendario dalla valutazione di una violazione notificabile. Un data intermediary deve informare il proprio cliente senza indebito ritardo. Vedi le regole di Singapore per gli host.

Per quanto tempo il PDPO consente a un host di conservare i log?

Per tutto il tempo necessario, e non oltre. Il principio 2(2) stabilisce che vanno adottate tutte le misure praticabili affinché i dati personali "not kept longer than is necessary" per la loro finalità.

L'ordinanza non fissa un periodo minimo. Nulla nel Cap. 486 impone a un host di conservare i registri di connessione o di traffico. La legge sulla privacy di Hong Kong limita per quanto tempo i dati sono conservati; non ordina a nessuno di tenere i log.

Cosa sono le cessation notice e possono raggiungere un host?

Sono ordini di interrompere una divulgazione di doxxing, aggiunti dall'emendamento del 2021 in vigore dall'8 ottobre 2021. Ai sensi della sezione 66M, il Privacy Commissioner può notificarne una a:

• un "Hong Kong person", cioè qualcuno presente a Hong Kong o un ente con un luogo d'affari ivi;
• un "non-Hong Kong service provider" che ha fornito o fornisce qualsiasi servizio a un Hong Kong person.

La "cessation action" richiesta comprende la rimozione del messaggio. Un ricorso all'Administrative Appeals Board deve essere presentato entro 14 giorni e non sospende la notifica.

Contravvenire a una notifica è reato: multa di livello 5 e due anni di reclusione alla prima condanna. Le difese coprono la tecnologia non ragionevolmente disponibile e il danno sostanziale a terzi. La sezione 66P protegge da azioni civili il provider che vi si conforma.

Un host può fornire dati alla polizia ai sensi del PDPO?

Sì, nei casi di reato. La sezione 58(2) esenta dal principio 3 l'uso di dati personali per prevenire o individuare reati. Si applica quando seguire il principio 3 rischierebbe di pregiudicare tale finalità.

I poteri in materia di sicurezza nazionale sono in testi separati, trattati in come la National Security Law influisce sui siti web ospitati.

Quali dati personali raccoglie Copperstrait?

Il minimo che gestire un server consente. Nessun KYC: non carichi documenti d'identità, né selfie né documenti, e non fornisci numeri di carta o di telefono. Nessun log: nessun registro di connessioni o traffico, nessun indirizzo IP di visitatori o clienti e nessuna nota su come hai trovato il sito oltre a un codice di referral se il tuo link ne aveva uno. Quello che conserviamo è ciò che serve per la fatturazione e per far funzionare il tuo server: il numero di account e un'email se ne aggiungi una; ogni ricarica e ordine (importo, coin, rete, ID transazione, data); e per ogni server il nome, il piano, la durata, la città, il sistema, la chiave pubblica SSH, gli indirizzi IP e le date, più la password root temporanea che impostiamo quando non è stata fornita una chiave, inutile una volta che la cambi. Le apparecchiature di rete del datacenter non sono sotto il nostro controllo. I registri escono dalle nostre mani solo su ordinanza di un tribunale panamense.

Nell'indagine di Copperstrait su 33 host che vendono bare metal in Asia il 2 November 2026, 3 richiedono un documento d'identità prima della consegna e 16 potrebbero chiederlo in determinate condizioni. Solo 6 dichiarano di non chiedere alcun documento d'identità alla registrazione. Il confronto è in affittare un server a Hong Kong o Singapore senza documento d'identità.

I prezzi sono in quanto costa un server Copperstrait. Questa pagina riassume il diritto pubblicato e non costituisce consulenza legale.