Hong Kong'ün PDPO'su barındırma sağlayıcılarından ne talep ediyor?

Bir barındırma sağlayıcısı veri kullanıcısı mı yoksa veri işleyici mi?

Farklı veriler için her ikisi de olabilir. Bölüm 2, kişisel verilerin toplanmasını, tutulmasını, işlenmesini veya kullanılmasını kontrol eden herkesi "veri kullanıcısı" yapar.

İlke 2(4), "veri işleyen"i bir başkası adına kişisel veri işleyen kişi olarak tanımlar. Veriyi kendi amaçlarından herhangi biri için işlememelidir.

Bir müşterinin kiralık bir sunucuda sakladığı dosyalar için veriyi müşteri kontrol eder. Barındırıcı, verileri kullanmadığı sürece işleyen tanımına uyar. Kendi faturalandırma ve hesap kayıtları için barındırıcı, altı ilkenin tamamına tabi bir veri kullanıcısıdır.

Hong Kong'da sunucu kiralarken müşteri neyi düzenlemelidir?

Her ikisi de 2012 değişikliğiyle eklenen iki sözleşme maddesi. Bir veri kullanıcısı bir işleyenle anlaştığında, "Hong Kong içinde veya dışında", sözleşmesel veya başka yollarla şunları sağlamalıdır:

• verinin işleme için gerekenden daha uzun süre tutulmasını önlemek (ilke 2(3));
• yetkisiz veya kazara erişimi, işlemeyi, silmeyi, kaybı veya kullanımı önlemek (ilke 4(2)).

İlke 4(1) ayrıca "verinin saklandığı fiziksel konumu" bir güvenlik unsuru olarak listeler. PDPO, bir barındırıcı seçme ve ona bağlayıcı kurallar uygulama yükünü müşteriye yükler; barındırıcılara lisans vermez veya onları kayıt altına almaz.

PDPO verinin Hong Kong dışına taşınmasını kısıtlıyor mu?

Henüz değil. Bölüm 33, listelenen durumlar dışında Hong Kong dışındaki yerlere transferleri yasaklayacaktır. 2 Kasım 2026 tarihinde okunan e-Legislation metni hâlâ "Henüz yürürlükte değil" olarak işaretliyor.

Yukarıdaki işleyen kuralları, işleyen yurt dışında olduğunda da geçerlidir. Singapur veya Tokyo'daki bir sunucuyu kullanan Hong Kong'lu bir müşteri aynı sözleşme yükümlülüklerini korur.

Bir barındırıcı Hong Kong'da veri ihlali bildirmek zorunda mı?

Yönetmelikte böyle bir yükümlülük yok. 2 Kasım 2026 tarihinde okunan Cap. 486'nın tam metninde yapılan bir arama, ihlal bildirimi hükmü bulamıyor.

Singapur farklı. PDPA'sı, bir kuruluşun bildirime tabi bir ihlali değerlendirmesinden sonraki üç takvim günü içinde düzenleyiciye bildirimde bulunmasını zorunlu kılar. Bir veri aracısı, müşterisine gereksiz gecikme olmadan bildirmelidir. Bkz. Singapur'un barındırıcılara yönelik kuralları.

PDPO bir barındırıcının günlükleri ne kadar süre tutmasına izin veriyor?

Gerekli olduğu sürece, daha uzun değil. İlke 2(2), kişisel verilerin amacı için "gerekenden daha uzun süre tutulmaması" için tüm uygulanabilir adımların atılması gerektiğini söyler.

Yönetmelik asgari bir süre belirlemez. Cap. 486'da hiçbir şey bir barındırıcının bağlantı veya trafik kayıtlarını saklamasını zorunlu kılmaz. Hong Kong'un gizlilik hukuku verinin ne kadar süre tutulacağını sınırlar; kimseye günlük tutmasını emretmez.

Durdurma bildirimleri nedir ve bir barındırıcıya ulaşabilir mi?

8 Ekim 2021'den beri yürürlükte olan 2021 değişikliğiyle eklenen, doxxing ifşasını durdurma emirleridir. Bölüm 66M uyarınca Gizlilik Komiseri şunlara bildirimde bulunabilir:

• Hong Kong'da bulunan bir kişi veya orada iş yeri olan bir kuruluş anlamında bir "Hong Kong kişisi";
• herhangi bir Hong Kong kişisine herhangi bir hizmet sunmuş veya sunan bir "Hong Kong dışı hizmet sağlayıcısı".

Gerekli "durdurma eylemi" mesajın kaldırılmasını içerir. İdari Temyiz Kurulu'na itiraz 14 gün içinde yapılmalıdır ve bildirimi askıya almaz.

Bir bildirime aykırı davranmak suçtur: 5. düzey para cezası ve ilk mahkumiyette iki yıl hapis. Savunmalar, makul olarak bulunmayan teknolojiyi ve üçüncü bir tarafa önemli zararı kapsar. Bölüm 66P, uyum sağlayan bir sağlayıcıyı hukuk davalarından korur.

Bir barındırıcı PDPO kapsamında polise veri verebilir mi?

Evet, suç vakalarında. Bölüm 58(2), kişisel verilerin suçun önlenmesi veya tespiti için kullanılmasını ilke 3'ten muaf tutar. Bu, ilke 3'e uymanın bu amacı zedelemesi muhtemel olduğunda geçerlidir.

Ulusal güvenlik yetkileri ayrı metinlerdedir; Ulusal Güvenlik Yasası'nın barındırılan web sitelerini nasıl etkilediği konusunda ele alınmıştır.

Copperstrait hangi kişisel verileri toplar?

Bir sunucu çalıştırmanın izin verdiği kadar az. KYC yok: kimlik, selfie veya belge yüklemezsiniz, kart ya da telefon numarası vermezsiniz. Log yok: bağlantı veya trafik kaydı, ziyaretçi ya da müşteri IP adresi yok ve bağlantınızda bir referans kodu varsa bu kod dışında siteye nasıl geldiğinize dair hiçbir not yok. Elimizde tuttuğumuz, faturalandırma ve sunucunuzu çalıştırmanın gerektirdiği şeylerdir: hesap numarası ve eklerseniz bir e-posta adresi; her bakiye yüklemesi ve sipariş (tutar, coin, ağ, işlem ID'si, tarih); ve her sunucu için adı, planı, süresi, şehri, sistemi, SSH public key'i, IP adresleri ve tarihleri, ayrıca anahtar verilmediğinde belirlediğimiz ve siz değiştirdikten sonra işe yaramayan geçici root parolası. Veri merkezinin ağ ekipmanı bizim kontrolümüzde değildir. Kayıtlar elimizden yalnızca bir Panama mahkemesinin kararıyla çıkar.

Copperstrait'nin 2 November 2026 tarihinde Asya'da bare metal satan 33 barındırıcı üzerine anketinde, 3 teslimattan önce kimlik talep ediyor ve 16 tetikleyicilerde talep edebiliyor. Yalnızca 6 kayıtta kimlik istemediklerini söylüyor. Karşılaştırma Hong Kong veya Singapur'da kimlik olmadan sunucu kiralama sayfasında.

Fiyatlar Copperstrait sunucunun maliyeti sayfasında. Bu sayfa yayımlanmış hukuki metinleri özetler ve hukuki tavsiye değildir.