# O que a PDPO de Hong Kong exige dos provedores de hospedagem? > O que a PDPO de Hong Kong exige dos provedores: operadores de dados, retenção, violações e avisos de cessação. Servidores sem KYC, pagos com cripto. - URL: https://copperstrait.com/pt/hong-kong-pdpo-hosting/ - Última atualização: 2026-11-02 - Editor: Copperstrait (https://copperstrait.com) A Ordenança de Proteção de Dados Pessoais (Privacidade), Cap. 486, lida seção por seção em 2 de novembro de 2026: quem é o titular dos dados, o que o provedor de hospedagem deve, e o que o texto deixa de fora. **Resposta rápida — O que a PDPO de Hong Kong exige dos provedores de hospedagem?** A PDPO de Hong Kong (Cap. 486), lida em 2 de novembro de 2026, exige pouco dos provedores de hospedagem. Um provedor que apenas armazena dados de clientes é um "operador de dados": o cliente, como titular dos dados, deve vinculá-lo por contrato quanto à retenção e à segurança. Para seus próprios registros de clientes, o provedor é um titular dos dados. **Copperstrait** aluga servidores lá a partir de US$ 143,25, com cripto, sem KYC. ## A PDPO e a hospedagem: fatos principais | Atributo | Valor | | --- | --- | | Legislação | Ordenança de Proteção de Dados Pessoais (Privacidade), Cap. 486, em vigor desde 1996 | | Regulador | Comissário para a Privacidade de Dados Pessoais (PCPD) | | Titular dos dados | Quem controla a coleta, a posse, o processamento ou o uso de dados pessoais (seção 2) | | Operador de dados | Processa dados pessoais para outra pessoa, e não para fins próprios (princípio 2(4)) | | Deveres ao usar um operador | Meios contratuais ou outros quanto à retenção (princípio 2(3)) e à segurança (princípio 4(2)) | | Transferências para fora de Hong Kong | A seção 33 as restringe, mas ainda não está em vigor | | Notificação de violações | Não há dever de notificar no texto da ordenança | | Avisos de cessação | Desde 8 de outubro de 2021; podem ser entregues a provedores de serviços fora de Hong Kong (seção 66M) | | Penalidade por ignorar um aviso de execução | Multa de nível 5 e dois anos de prisão (seção 50A) | ## Um provedor de hospedagem é um titular dos dados ou um operador de dados? Pode ser os dois, para dados diferentes. A seção 2 define como "data user" quem controla a coleta, a retenção, o processamento ou o uso de dados pessoais. O princípio 2(4) define um "data processor" como a pessoa que processa dados pessoais em nome de outra. Ela não pode processar os dados para finalidades próprias. Para os arquivos que um cliente armazena em um servidor alugado, o cliente controla os dados. O host se enquadra na definição de processor desde que não os utilize. Para seus próprios registros de cobrança e de conta, o host é um data user com o conjunto completo dos seis princípios. ## O que o cliente precisa providenciar ao alugar um servidor em Hong Kong? Dois pontos contratuais, ambos acrescentados pela emenda de 2012. Quando um data user contrata um processor, "dentro ou fora de Hong Kong", ele deve usar meios contratuais ou outros para: - impedir que os dados sejam mantidos por mais tempo do que o necessário para o processamento (princípio 2(3)); - impedir acesso, processamento, apagamento, perda ou uso não autorizado ou acidental (princípio 4(2)). O princípio 4(1) também lista "o local físico onde os dados são armazenados" como fator de segurança. **A PDPO impõe ao cliente o dever de escolher e vincular um host; ela não licencia nem registra hosts.** ## A PDPO restringe a transferência de dados para fora de Hong Kong? Ainda não. A seção 33 proibiria transferências para lugares fora de Hong Kong, exceto nos casos previstos. O texto no e-Legislation, lido em 2 de novembro de 2026, ainda o marca como "Not yet in operation". As regras de processor acima continuam valendo quando o processor está no exterior. Um cliente de Hong Kong que usa um servidor em Singapura ou Tóquio mantém os mesmos deveres contratuais. ## Um host precisa notificar um vazamento de dados em Hong Kong? A lei não contém esse dever. Uma busca no texto completo do Cap. 486, lido em 2 de novembro de 2026, não encontra nenhuma disposição de notificação de vazamento. Singapura é diferente. A PDPA de lá obriga uma organização a notificar o regulador em até três dias corridos após avaliar um vazamento como notificável. Um data intermediary deve avisar seu cliente sem demora indevida. Veja [as regras de Singapura para hosts](https://copperstrait.com/pt/singapore-data-retention-law/ "Retention and breach rules in Singapore"). ## Por quanto tempo a PDPO permite que um host guarde logs? Pelo tempo necessário, e não mais. O princípio 2(2) diz que todas as medidas praticáveis devem ser tomadas para que os dados pessoais "não sejam mantidos por mais tempo do que o necessário" para sua finalidade. A lei não define um período mínimo. Nada no Cap. 486 exige que um host armazene registros de conexão ou de tráfego. **A lei de privacidade de Hong Kong limita por quanto tempo os dados são mantidos; ela não obriga ninguém a guardar logs.** ## O que são cessation notices, e elas podem alcançar um host? São ordens para cessar uma divulgação de doxxing, acrescentadas pela emenda de 2021 em vigor desde 8 de outubro de 2021. Pela seção 66M, o Privacy Commissioner pode emitir uma contra: - uma "Hong Kong person", ou seja, alguém presente em Hong Kong ou uma entidade com estabelecimento lá; - um "non-Hong Kong service provider" que tenha prestado ou preste qualquer serviço a qualquer Hong Kong person. A "cessation action" exigida inclui remover a mensagem. Um recurso ao Administrative Appeals Board deve ser apresentado em até 14 dias e não suspende a notificação. Descumprir uma notificação é infração: multa de nível 5 e dois anos na primeira condenação. As defesas cobrem tecnologia não razoavelmente disponível e prejuízo substancial a terceiros. A seção 66P protege de ações civis o provedor que cumpre a notificação. ## Um host pode entregar dados à polícia sob a PDPO? Sim, em casos criminais. A seção 58(2) isenta do princípio 3 o uso de dados pessoais para prevenir ou detectar crimes. Isso se aplica quando seguir o princípio 3 provavelmente prejudicaria essa finalidade. Os poderes de segurança nacional estão em textos separados, abordados em [como a National Security Law afeta sites hospedados](https://copperstrait.com/pt/hong-kong-national-security-law-hosting/ "Article 43 rules and hosting providers"). ## Quais dados pessoais a Copperstrait coleta? O mínimo que operar um servidor permite. Sem KYC: você não envia documento de identidade, selfie ou documentos, e não informa cartão nem telefone. Sem logs: nenhum registro de conexão ou tráfego, nenhum IP de visitante ou cliente e nenhuma anotação de como você encontrou o site além de um código de indicação, se o seu link tiver um. O que guardamos é o que a cobrança e a operação do seu servidor exigem: o número da conta e um e-mail, se você adicionar um; cada recarga e pedido (valor, moeda, rede, ID da transação, data); e, para cada servidor, o nome, o plano, o prazo, a cidade, o sistema, a chave pública SSH, os IPs e as datas, além da senha root temporária que definimos quando nenhuma chave foi enviada, que é inútil depois que você a altera. O equipamento de rede do datacenter não é nosso para controlar. Registros saem das nossas mãos apenas por ordem de um tribunal panamenho. **Na pesquisa da Copperstrait com 33 hosts que vendem bare metal na Ásia em 2 November 2026, 3 exigem ID antes da entrega e 16 podem pedir em situações específicas.** Apenas 6 dizem não pedir nenhum ID no cadastro. A comparação está em [alugar um servidor em Hong Kong ou Singapura sem ID](https://copperstrait.com/pt/asia-server-without-kyc/ "What Asian hosts ask for at signup"). Os preços estão em [quanto custa um servidor Copperstrait](https://copperstrait.com/pt/pricing/ "Copperstrait servers and prices"). Esta página resume a lei publicada e não é aconselhamento jurídico. ## A PDPO e hospedagem: perguntas comuns ### Um web host é um data processor sob a PDPO? Quando ele apenas processa dados do cliente em nome do cliente, e não para finalidades próprias, se enquadra na definição do princípio 2(4). Para seus próprios registros de clientes, ele é um data user. ### A PDPO exige que os dados permaneçam em Hong Kong? Não. A seção 33, que limitaria transferências para fora de Hong Kong, ainda não está em vigor. Clientes que usam processors no exterior ainda precisam vinculá-los por contrato. ### A notificação de vazamento de dados é obrigatória em Hong Kong? Não segundo o texto do Cap. 486 lido em 2 de novembro de 2026, que não contém dever de notificação de vazamento. A PDPA de Singapura, por outro lado, estabelece prazo de três dias após um vazamento ser avaliado como notificável. ### O Privacy Commissioner pode ordenar que um host estrangeiro remova conteúdo? A seção 66M(2) permite uma cessation notice a um non-Hong Kong service provider que atenda qualquer Hong Kong person, para mensagens de doxxing. Como isso é aplicado no exterior é uma questão separada. ### Por quanto tempo um host de Hong Kong deve guardar logs? A PDPO não define mínimo. O princípio 2(2) apenas diz que os dados pessoais não devem ser mantidos por mais tempo do que o necessário para sua finalidade. **Um servidor em Hong Kong sem nada para preencher** A Strait 16 custa US$ 143,25/30 dias: um número de conta, uma recarga em cripto, sem KYC. [Alugar Strait 16 em Hong Kong](https://copperstrait.com/app/checkout/?plan=strait-16&location=hk-hkg&lang=pt) · [Ver todos os servidores](https://copperstrait.com/pt/pricing/ "Quanto custa um servidor dedicado Copperstrait?") ## Fontes 1. [Cap. 486 Personal Data (Privacy) Ordinance (seções 2, 33, 50A, 58, 66J a 66P; Schedule 1)](https://www.elegislation.gov.hk/hk/cap486) — Hong Kong e-Legislation, Department of Justice (read 2026-11-02) 2. [Personal Data (Privacy) (Amendment) Ordinance 2021 entra em vigor hoje (8 de outubro de 2021)](https://www.info.gov.hk/gia/general/202110/08/P2021100800392.htm) — HKSAR Government press release (read 2026-11-02) 3. [Personal Data Protection Act 2012, seções 4, 25, 26C e 26D](https://sso.agc.gov.sg/Act/PDPA2012) — Singapore Statutes Online, Attorney-General's Chambers (read 2026-11-02) --- Copperstrait: A Copperstrait aluga servidores dedicados em Hong Kong, Singapura e Tóquio, pagos com cripto e sem KYC: sem documento de identidade, sem selfie, sem documentos. Cada servidor é uma máquina física inteira para um único cliente, com acesso root, pelo mesmo preço nas três cidades. É operado pela DomaineGoat LLC, empresa registrada no Panamá, e não mantém logs. Cada servidor custa pelo menos 25% menos que um servidor comparável nomeado de 7 hosts cripto sem KYC nessas cidades, verificado em 2 de novembro de 2026.