Czego PDPO Hongkongu wymaga od dostawców hostingu?

Czy dostawca hostingu jest użytkownikiem danych czy procesorem danych?

To może być jedno i drugie, w zależności od danych. Sekcja 2 czyni „użytkownikiem danych” każdego, kto kontroluje zbieranie, przechowywanie, przetwarzanie lub wykorzystywanie danych osobowych.

Zasada 2(4) definiuje „podmiot przetwarzający dane” jako osobę, która przetwarza dane osobowe w imieniu innej osoby. Nie może przetwarzać danych w żadnym własnym celu.

W przypadku plików, które klient przechowuje na wynajętym serwerze, klient kontroluje dane. Host spełnia definicję podmiotu przetwarzającego, dopóki ich nie wykorzystuje. W zakresie własnych rozliczeń i rejestrów kont host jest użytkownikiem danych z pełnym zestawem sześciu zasad.

Co musi zapewnić klient wynajmujący serwer w Hongkongu?

Dwa punkty umowne, oba dodane nowelizacją z 2012 roku. Gdy użytkownik danych angażuje podmiot przetwarzający, „czy to w Hongkongu, czy poza nim”, musi za pomocą środków umownych lub innych:

• zapobiec przechowywaniu danych dłużej, niż jest to potrzebne do przetwarzania (zasada 2(3));
• zapobiec nieuprawnionemu lub przypadkowemu dostępowi, przetwarzaniu, usunięciu, utracie lub wykorzystaniu (zasada 4(2)).

Zasada 4(1) wymienia także „fizyczną lokalizację, w której przechowywane są dane” jako czynnik bezpieczeństwa. PDPO nakłada na klienta obowiązek wyboru i związania hosta umową; nie licencjonuje ani nie rejestruje hostów.

Czy PDPO ogranicza przesyłanie danych poza Hongkong?

Jeszcze nie. Sekcja 33 zakazywałaby przekazywania danych do miejsc poza Hongkongiem, z wyjątkiem wymienionych przypadków. Tekst na e-Legislation, czytany 2 listopada 2026 roku, nadal oznacza ją jako „Not yet in operation”.

Powyższe zasady dotyczące podmiotu przetwarzającego nadal obowiązują, gdy podmiot przetwarzający znajduje się za granicą. Klient z Hongkongu korzystający z serwera w Singapurze lub Tokio zachowuje te same obowiązki umowne.

Czy host musi zgłaszać naruszenie danych w Hongkongu?

Rozporządzenie nie zawiera takiego obowiązku. Przeszukanie pełnego tekstu Cap. 486, czytanego 2 listopada 2026 roku, nie wykazuje żadnego przepisu o zgłaszaniu naruszeń.

Singapur jest inny. Jego PDPA nakłada na organizację obowiązek powiadomienia regulatora w ciągu trzech dni kalendarzowych od stwierdzenia, że naruszenie podlega zgłoszeniu. Pośrednik danych musi powiadomić swojego klienta bez zbędnej zwłoki. Zobacz zasady Singapuru dla hostów.

Jak długo PDPO pozwala hostowi przechowywać logi?

Tak długo, jak to konieczne, i nie dłużej. Zasada 2(2) mówi, że należy podjąć wszelkie praktycznie możliwe kroki, aby dane osobowe „nie były przechowywane dłużej, niż jest to konieczne” do ich celu.

Rozporządzenie nie ustala minimalnego okresu. Nic w Cap. 486 nie wymaga od hosta przechowywania rekordów połączeń lub ruchu. Prawo prywatności Hongkongu ogranicza, jak długo przechowuje się dane; nie nakazuje nikomu przechowywania logów.

Czym są zawiadomienia o zaprzestaniu i czy mogą dotrzeć do hosta?

To nakazy zaprzestania ujawnienia w ramach doxxingu, dodane nowelizacją z 2021 roku obowiązującą od 8 października 2021 roku. Zgodnie z sekcją 66M Komisarz ds. Prywatności może je doręczyć:

• „osobie z Hongkongu”, czyli osobie przebywającej w Hongkongu lub podmiotowi z miejscem prowadzenia działalności w Hongkongu;
• „usługodawcy spoza Hongkongu”, który świadczył lub świadczy jakąkolwiek usługę na rzecz jakiejkolwiek osoby z Hongkongu.

Wymagane „działanie zaprzestające” obejmuje usunięcie wiadomości. Odwołanie do Administrative Appeals Board musi wpłynąć w ciągu 14 dni i nie wstrzymuje zawiadomienia.

Naruszenie zawiadomienia jest przestępstwem: grzywna poziomu 5 i dwa lata przy pierwszym skazaniu. Obrony obejmują technologię rozsądnie niedostępną oraz istotną szkodę dla osoby trzeciej. Sekcja 66P chroni usługodawcę, który stosuje się do zawiadomienia, przed roszczeniami cywilnymi.

Czy host może przekazać dane policji na podstawie PDPO?

Tak, w sprawach karnych. Sekcja 58(2) wyłącza wykorzystanie danych osobowych w celu zapobiegania przestępstwom lub ich wykrywania z zasady 3. Ma to zastosowanie, gdy przestrzeganie zasady 3 prawdopodobnie naraziłoby ten cel.

Uprawnienia w zakresie bezpieczeństwa narodowego znajdują się w odrębnych tekstach, omówionych na stronie jak ustawa o bezpieczeństwie narodowym wpływa na hostowane strony internetowe.

Jakie dane osobowe zbiera Copperstrait?

Tak mało, jak to możliwe przy prowadzeniu serwera. Bez KYC: nie wysyłasz żadnego dokumentu tożsamości, selfie ani dokumentów i nie podajesz numeru karty ani telefonu. Bez logów: żadnych zapisów połączeń ani ruchu, żadnego adresu IP odwiedzającego ani klienta i żadnej notatki o tym, jak znalazłeś stronę, poza kodem polecającym, jeśli Twój link go miał. Przechowujemy to, czego potrzebuje rozliczenie i działanie Twojego serwera: numer konta oraz email, jeśli go dodasz; każde doładowanie i zamówienie (kwota, kryptowaluta, sieć, ID transakcji, data); a dla każdego serwera jego nazwę, plan, okres, miasto, system, klucz publiczny SSH, adresy IP i daty, plus tymczasowe hasło root, które ustawiamy, gdy nie podano klucza, a które jest bezużyteczne, gdy je zmienisz. Sprzęt sieciowy centrum danych nie jest pod naszą kontrolą. Zapiski wychodzą z naszych rąk tylko na polecenie sądu panamskiego.

W ankiecie Copperstrait dotyczącej 33 hostów sprzedających bare metal w Azji na 2 November 2026, 3 wymaga dowodu tożsamości przed dostawą, a 16 może o niego poprosić w określonych sytuacjach. Tylko 6 twierdzi, że nie prosi o żaden dowód tożsamości przy rejestracji. Porównanie znajduje się na stronie wynajem serwera w Hongkongu lub Singapurze bez dowodu tożsamości.

Ceny są na stronie ile kosztuje serwer Copperstrait. Ta strona podsumowuje opublikowane prawo i nie stanowi porady prawnej.