Що вимагає PDPO Гонконгу від постачальників хостингу?

Чи є постачальник хостингу користувачем даних чи обробником даних?

Це може бути і те, і те, для різних даних. Розділ 2 робить "користувачем даних" кожного, хто контролює збирання, зберігання, обробку або використання персональних даних.

Принцип 2(4) визначає "обробника даних" як особу, яка обробляє персональні дані від імені іншої особи. Він не повинен обробляти дані для жодної зі своїх власних цілей.

Щодо файлів, які клієнт зберігає на орендованому сервері, клієнт контролює дані. Хостинг відповідає визначенню обробника, доки він їх не використовує. Для своїх власних записів про оплату й облікові записи хостинг є користувачем даних із повним набором із шести принципів.

Що має організувати клієнт, орендуючи сервер у Гонконзі?

Два пункти договору, обидва додані поправкою 2012 року. Коли користувач даних залучає обробника, "чи в межах, чи поза межами Гонконгу", він повинен використати договірні або інші засоби, щоб:

• не допускати зберігання даних довше, ніж потрібно для обробки (принцип 2(3));
• не допускати несанкціонованого або випадкового доступу, обробки, стирання, втрати чи використання (принцип 4(2)).

Принцип 4(1) також наводить "фізичне місце, де зберігаються дані" як фактор безпеки. PDPO покладає обов'язок на клієнта обрати хостинг і зобов'язати його договором; він не ліцензує і не реєструє хостинги.

Чи обмежує PDPO переміщення даних за межі Гонконгу?

Ще ні. Розділ 33 мав би заборонити передачу до місць поза Гонконгом, крім перелічених випадків. Текст на e-Legislation, прочитаний 2 листопада 2026 року, досі позначений як "Ще не введений в дію".

Правила щодо обробників, наведені вище, все одно діють, коли обробник перебуває за кордоном. Клієнт із Гонконгу, який користується сервером у Сінгапурі чи Токіо, зберігає ті самі договірні обов'язки.

Чи повинен хостинг повідомляти про витік даних у Гонконзі?

Постанова не містить такого обов'язку. Пошук у повному тексті Cap. 486, прочитаному 2 листопада 2026 року, не знаходить положення про повідомлення про витік.

Сінгапур інший. Його PDPA зобов'язує організацію повідомити регулятора протягом трьох календарних днів після визнання витоку таким, що підлягає повідомленню. Обробник даних повинен повідомити свого клієнта без невиправданої затримки. Див. правила Сінгапуру для хостингів.

Як довго PDPO дозволяє хостингу зберігати логи?

Стільки, скільки необхідно, і не довше. Принцип 2(2) каже, що треба вжити всіх практично можливих заходів, щоб персональні дані "не зберігалися довше, ніж необхідно" для їхньої мети.

Постанова не встановлює мінімального строку. Ніщо в Cap. 486 не вимагає від хостингу зберігати записи про з'єднання чи трафік. Закон Гонконгу про приватність обмежує, як довго зберігаються дані; він не зобов'язує когось зберігати логи.

Що таке повідомлення про припинення і чи можуть вони стосуватися хостингу?

Це накази припинити розкриття, додані поправкою 2021 року, чинною з 8 жовтня 2021 року. Згідно з розділом 66M, Уповноважений із питань приватності може вручити його:

• "особі Гонконгу", тобто особі, присутній у Гонконзі, або органу з місцем провадження діяльності там;
• "постачальнику послуг поза Гонконгом", який надавав або надає будь-які послуги будь-якій особі Гонконгу.

Обов'язкова "дія щодо припинення" включає видалення повідомлення. Апеляція до Адміністративної апеляційної ради має надійти протягом 14 днів і не зупиняє дію повідомлення.

Порушення повідомлення є правопорушенням: штраф рівня 5 і два роки позбавлення волі при першому засудженні. Захист охоплює технології, розумно недоступні, та істотну шкоду третій стороні. Розділ 66P захищає постачальника, що виконав припис, від цивільних позовів.

Чи може хостинг передавати дані поліції згідно з PDPO?

Так, у справах про злочини. Розділ 58(2) звільняє використання персональних даних для запобігання або виявлення злочинів від принципу 3. Він застосовується, коли дотримання принципу 3, ймовірно, зашкодило б цій меті.

Повноваження щодо національної безпеки містяться в окремих текстах, розглянутих у як Закон про національну безпеку впливає на розміщені вебсайти.

Які персональні дані збирає Copperstrait?

Якомога менше з огляду на роботу сервера. Без KYC: ви не завантажуєте ID, селфі чи документи й не надаєте номер картки чи телефону. Жодних логів: немає записів про з'єднання чи трафік, немає IP-адреси відвідувача чи клієнта і немає позначки про те, як ви знайшли сайт, крім реферального коду, якщо він був у вашому посиланні. Ми зберігаємо лише те, що потрібно для оплати й роботи вашого сервера: номер облікового запису та email, якщо ви його додасте; кожне поповнення й замовлення (сума, монета, мережа, ID транзакції, дата); а для кожного сервера — його назву, план, термін, місто, систему, публічний SSH-ключ, IP-адреси й дати, а також тимчасовий root-пароль, який ми встановлюємо, якщо ключ не надано, і який стає марним, щойно ви його зміните. Мережеве обладнання датацентру не нам контролювати. Записи виходять з наших рук лише за рішенням панамського суду.

В опитуванні Copperstrait серед 33 хостингів, що продають bare metal в Азії на 2 November 2026, 3 вимагають ID до видачі, а 16 можуть попросити його за певних умов. Лише 6 кажуть, що не просять ID під час реєстрації. Порівняння — на сторінці оренда сервера в Гонконзі чи Сінгапурі без ID.

Ціни — на сторінці скільки коштує сервер Copperstrait. Ця сторінка узагальнює опубліковане законодавство і не є юридичною порадою.