Wat vereist de Hongkongse PDPO van hostingproviders?

Is een hostingprovider een data user of een data processor?

Het kan beide zijn, voor verschillende gegevens. Artikel 2 maakt van eenieder die de verzameling, het bewaren, de verwerking of het gebruik van persoonsgegevens beheert een "data user".

Beginsel 2(4) definieert een "data processor" als iemand die persoonsgegevens verwerkt namens een ander. Die mag de gegevens niet verwerken voor eigen doeleinden.

Voor bestanden die een klant op een gehuurde server opslaat, beheert de klant de gegevens. De host past binnen de definitie van processor zolang hij ze niet gebruikt. Voor zijn eigen facturatie- en accountadministratie is de host een data user met het volledige pakket van zes beginselen.

Wat moet een klant regelen bij het huren van een server in Hong Kong?

Twee contractpunten, beide toegevoegd door de wijziging van 2012. Wanneer een data user een processor inschakelt, "binnen of buiten Hong Kong", moet hij met contractuele of andere middelen:

• voorkomen dat gegevens langer worden bewaard dan nodig voor de verwerking (beginsel 2(3));
• ongeoorloofde of toevallige toegang, verwerking, wissing, verlies of gebruik voorkomen (beginsel 4(2)).

Beginsel 4(1) noemt ook "de fysieke locatie waar de gegevens worden opgeslagen" als beveiligingsfactor. De PDPO legt de plicht bij de klant om een host te kiezen en te binden; hij verleent geen licenties aan of registreert hosts niet.

Beperkt de PDPO het verplaatsen van gegevens buiten Hong Kong?

Nog niet. Artikel 33 zou overdrachten naar plaatsen buiten Hong Kong verbieden, behalve in de genoemde gevallen. De tekst op e-Legislation, gelezen op 2 november 2026, vermeldt nog steeds "Not yet in operation".

De bovenstaande processorregels gelden ook wanneer de processor in het buitenland zit. Een klant in Hong Kong die een server in Singapore of Tokio gebruikt, houdt dezelfde contractuele plichten.

Moet een host een datalek melden in Hong Kong?

De ordinance bevat zo'n plicht niet. Een zoektocht in de volledige tekst van Cap. 486, gelezen op 2 november 2026, levert geen bepaling over breach notification op.

Singapore is anders. De PDPA daar verplicht een organisatie de toezichthouder binnen drie kalenderdagen na beoordeling van een meldingsplichtig datalek te informeren. Een data intermediary moet zijn klant zonder onnodige vertraging inlichten. Zie de regels van Singapore voor hosts.

Hoe lang mag een host van de PDPO logs bewaren?

Zo lang als nodig, en niet langer. Beginsel 2(2) zegt dat alle haalbare stappen moeten worden genomen zodat persoonsgegevens "niet langer worden bewaard dan nodig" voor het doel.

De ordinance stelt geen minimumtermijn. Niets in Cap. 486 verplicht een host verbindings- of verkeersgegevens op te slaan. De privacywet van Hong Kong begrenst hoe lang gegevens worden bewaard; hij beveelt niemand om logs bij te houden.

Wat zijn cessation notices, en kunnen ze een host bereiken?

Het zijn bevelen om een doxxing-openbaarmaking te staken, toegevoegd door de wijziging van 2021 die sinds 8 oktober 2021 van kracht is. Op grond van artikel 66M kan de Privacy Commissioner er een betekenen aan:

• een "Hong Kong person", dat wil zeggen iemand die in Hong Kong aanwezig is of een lichaam met een vestiging daar;
• een "non-Hong Kong service provider" die een dienst heeft verleend of verleent aan een Hong Kong person.

De vereiste "cessation action" omvat het verwijderen van het bericht. Een beroep bij de Administrative Appeals Board moet binnen 14 dagen worden ingesteld en schort de notice niet op.

Het overtreden van een notice is een strafbaar feit: een geldboete van niveau 5 en twee jaar bij eerste veroordeling. Verweermiddelen dekken technologie die redelijkerwijs niet beschikbaar was en aanzienlijk verlies voor een derde. Artikel 66P beschermt een provider die zich eraan houdt tegen civiele claims.

Mag een host gegevens aan de politie geven onder de PDPO?

Ja, in strafzaken. Artikel 58(2) zondert het gebruik van persoonsgegevens voor het voorkomen of opsporen van misdrijven uit van beginsel 3. Het geldt wanneer naleving van beginsel 3 dat doel waarschijnlijk zou schaden.

Bevoegdheden op het gebied van nationale veiligheid staan in afzonderlijke teksten, behandeld op hoe de National Security Law gehoste websites beïnvloedt.

Welke persoonsgegevens verzamelt Copperstrait?

Zo weinig als een server draaien toelaat. Geen KYC: je uploadt geen ID, geen selfie en geen documenten, en geeft geen kaart- of telefoonnummer. Geen logs: geen verbindings- of verkeersregistraties, geen IP-adres van bezoekers of klanten, en geen notitie van hoe je de site hebt gevonden, afgezien van een verwijzingscode als je link er een had. Wat we bewaren is wat facturatie en het draaien van je server nodig hebben: het rekeningnummer, en een e-mailadres als je er een toevoegt; elke opwaardering en bestelling (bedrag, coin, netwerk, transactie-ID, datum); en per server de naam, het plan, de looptijd, de stad, het systeem, de publieke SSH-sleutel, de IP-adressen en datums, plus het tijdelijke root-wachtwoord dat we instellen als er geen sleutel is opgegeven, dat nutteloos is zodra je het wijzigt. De netwerkapparatuur van het datacenter is niet van ons om te beheren. Gegevens verlaten onze handen alleen op bevel van een Panamese rechtbank.

In het onderzoek van Copperstrait onder 33 hosts die bare metal in Azië verkopen op 2 November 2026, vereisen 3 een ID vóór levering en kunnen 16 er bij bepaalde triggers om vragen. Alleen 6 zeggen dat ze bij aanmelding geen ID vragen. De vergelijking staat op een server huren in Hong Kong of Singapore zonder ID.

Prijzen staan op wat een Copperstrait-server kost. Deze pagina vat gepubliceerd recht samen en is geen juridisch advies.