Como a Lei de Segurança Nacional de Hong Kong afeta sites hospedados em Hong Kong?

O que o Artigo 43 permite que a polícia faça?

Ele lista sete medidas para casos de segurança nacional, além dos poderes usuais para crimes graves. Quatro importam para um servidor:

• (1) revistar imóveis e dispositivos eletrônicos que possam conter provas;
• (4) exigir que uma pessoa que publicou informações, ou o provedor de serviço relevante, as remova ou preste assistência;
• (6) interceptar comunicações e realizar vigilância encoberta, com a aprovação do Chefe do Executivo;
• (7) exigir que pessoas que detêm informações relevantes respondam a perguntas e entreguem material.

O Artigo 43 também permite que o Chefe do Executivo, com o comitê de segurança nacional, edite regras de implementação. Essas regras entraram em vigor em 7 de julho de 2020. Elas definem os procedimentos, os crimes e as penalidades de cada medida.

O que é um "provedor de serviço de hospedagem" no Anexo 4?

Uma pessoa que hospeda material armazenado publicado em uma plataforma eletrônica, quando existe um serviço de intermediação para essa plataforma. O Anexo 4 trata essa hospedagem como serviço de hospedagem, e o seu fornecedor como provedor de serviço de hospedagem.

A Seção 5(2) define a "ação de desativação" que se pode exigir de um provedor de hospedagem:

• remover a mensagem da plataforma;
• restringir ou cessar o acesso à mensagem;
• descontinuar o serviço de hospedagem para parte ou para toda a plataforma;
• restringir ou cessar o acesso a parte ou a toda a plataforma.

Na locação de um servidor dedicado, o cliente geralmente opera a plataforma e a empresa que aluga a máquina fornece a hospedagem. Pelo Anexo 4, uma ação de desativação pode significar tirar do ar uma plataforma inteira, não apenas uma página.

Como uma exigência de remoção chega a um provedor de hospedagem?

Por escrito, de um oficial designado. O Comissário de Polícia primeiro precisa de motivos razoáveis para suspeitar que uma mensagem publicada provavelmente constitui, ou causa, um crime de segurança nacional. O Secretário de Segurança deve aprovar.

Um exemplo publicado mostra o formato. Em 3 de setembro de 2024, a Polícia de Hong Kong enviou um aviso, com base na seção 7(4)(b) do Anexo 4, à Automattic Inc., empresa dos EUA. Ele exigia uma ação de desativação em um site no prazo de 48 horas. Citava a seção 12(1): multa de HK$ 100.000 e seis meses de prisão por descumprimento.

O aviso também citava o Artigo 63(3) da lei. Pedia que a empresa não divulgasse o conteúdo do aviso, permitindo que declarasse tê-lo cumprido.

O que mudou em 23 de março de 2026?

As Regras de Emenda de 2026 (L.N. 27 de 2026) foram publicadas no diário oficial e entraram em vigor no mesmo dia. Duas mudanças atingem os provedores de hospedagem.

• Anexo 4: o Comissário agora especifica a própria mensagem. Um oficial pode agir sobre essa mensagem onde quer que ela reapareça, mesmo que publicada por outro publicador ou em outra plataforma.
• Anexo 1: quando a polícia revistar equipamentos eletrônicos apreendidos, pode exigir que uma "pessoa especificada" forneça uma senha ou método de descriptografia. Isso inclui qualquer pessoa que se acredite controlar o dispositivo ou saber a senha.

Recusar a exigência de descriptografia sem desculpa razoável acarreta até HK$ 100.000 e um ano. Fornecer informações falsas ou enganosas acarreta até HK$ 500.000 e três anos. O documento do Conselho Legislativo afirma que o Anexo 4 já tinha um crime semelhante para provedores de serviço.

A polícia pode obter dados de clientes ou ajuda para descriptografia de um provedor de hospedagem?

Sim, por meio de uma etapa judicial. O resumo do Governo de 2020 diz que os oficiais podem requerer a um magistrado um mandado. Ele então autoriza a polícia a exigir que o provedor de serviço forneça o registro de identificação ou assistência de descriptografia.

O Artigo 43(7) acrescenta uma via separada: mediante requerimento, um tribunal pode ordenar que uma pessoa responda a perguntas ou apresente material. A lei de dados pessoais de Hong Kong não impede a divulgação nesse caso. A seção 58 da PDPO isenta o uso de dados para detecção de crimes do princípio de limitação de uso, quando aplicá-lo prejudicaria essa finalidade.

O que um provedor de hospedagem entrega é o que ele detém. Não guardamos logs: nenhum registro de conexões ou tráfego e nenhum IP de visitante ou cliente, no site, no painel ou em qualquer servidor.

A lei alcança sites hospedados fora de Hong Kong?

O texto reivindica um alcance amplo. O Artigo 38 aplica a lei a crimes cometidos fora de Hong Kong por pessoas que não são residentes permanentes. O aviso de 2024 citado acima foi endereçado a uma empresa fora de Hong Kong.

Fazer cumprir uma exigência no exterior é outra questão, regida pela lei do local onde o provedor de hospedagem está. Esta página não avalia isso.

Para um servidor dentro de Hong Kong, não existe essa questão. O datacenter e a sua rede estão sob a lei de Hong Kong. Veja também Hong Kong ainda é um bom lugar para hospedar servidores?

O que isso significa para um servidor Copperstrait em Hong Kong?

A Copperstrait é operada pela DomaineGoat LLC, constituída no Panamá e sujeita apenas à lei panamenha. O datacenter de cada cidade está sujeito à lei do lugar onde fica. Uma exigência endereçada ao datacenter ou ao seu provedor de rede pode afetar seu servidor sem passar pela Copperstrait.

No levantamento da Copperstrait de 33 provedores de hospedagem que vendem bare metal na Ásia em 2 November 2026, 20 vendem em Hong Kong, 26 em Singapura e 22 no Japão. A Copperstrait cobra o mesmo nas três cidades, então escolher outro sistema jurídico não custa nada a mais. Compare em Hong Kong ou Singapura para hospedagem.

A atuação direta de órgãos da China continental é abordada em se as autoridades chinesas podem acessar servidores em Hong Kong. Os planos estão em quanto custa um servidor Copperstrait.

Esta página resume a lei publicada e não é aconselhamento jurídico.