Luật An ninh Quốc gia Hồng Kông ảnh hưởng thế nào đến các website được lưu trữ tại Hồng Kông?

Điều 43 cho phép cảnh sát làm gì?

Điều này liệt kê bảy biện pháp cho các vụ án an ninh quốc gia, bên cạnh các quyền hạn thông thường đối với tội phạm nghiêm trọng. Bốn biện pháp có ý nghĩa với một máy chủ:

• (1) khám xét cơ sở và thiết bị điện tử có thể chứa bằng chứng;
• (4) yêu cầu người đã công bố thông tin, hoặc nhà cung cấp dịch vụ liên quan, gỡ bỏ thông tin đó hoặc cung cấp hỗ trợ;
• (6) chặn liên lạc và tiến hành giám sát bí mật, với sự phê duyệt của Đặc khu trưởng;
• (7) yêu cầu những người nắm giữ thông tin liên quan trả lời câu hỏi và giao nộp tài liệu.

Điều 43 cũng cho phép Đặc khu trưởng, cùng với ủy ban an ninh quốc gia, ban hành quy tắc thi hành. Các quy tắc này có hiệu lực từ ngày 7 tháng 7 năm 2020. Chúng quy định thủ tục, tội danh và hình phạt cho từng biện pháp.

"Nhà cung cấp dịch vụ lưu trữ" theo Phụ lục 4 là gì?

Là người lưu trữ tài liệu đã đăng trên một nền tảng điện tử, khi nền tảng đó có dịch vụ trung gian. Phụ lục 4 coi việc lưu trữ đó là dịch vụ lưu trữ, và bên cung cấp là nhà cung cấp dịch vụ lưu trữ.

Mục 5(2) định nghĩa "hành động vô hiệu hóa" mà nhà cung cấp dịch vụ lưu trữ có thể bị yêu cầu thực hiện:

• gỡ bỏ thông điệp khỏi nền tảng;
• hạn chế hoặc chấm dứt truy cập vào thông điệp;
• ngừng dịch vụ lưu trữ đối với một phần hoặc toàn bộ nền tảng;
• hạn chế hoặc chấm dứt truy cập vào một phần hoặc toàn bộ nền tảng.

Khi thuê máy chủ riêng, khách hàng thường vận hành nền tảng còn công ty cho thuê máy cung cấp dịch vụ lưu trữ. Theo Phụ lục 4, hành động vô hiệu hóa có thể có nghĩa là đưa cả một nền tảng ngừng hoạt động, không chỉ một trang.

Yêu cầu gỡ bỏ đến với nhà cung cấp dịch vụ lưu trữ như thế nào?

Bằng văn bản, từ một sĩ quan được chỉ định. Giám đốc Cảnh sát trước tiên cần có căn cứ hợp lý để nghi ngờ rằng một thông điệp đã công bố có khả năng cấu thành, hoặc gây ra, một tội về an ninh quốc gia. Bộ trưởng An ninh phải phê duyệt.

Một ví dụ đã công bố cho thấy mẫu văn bản. Ngày 3 tháng 9 năm 2024, Lực lượng Cảnh sát Hồng Kông đã gửi một thông báo theo mục 7(4)(b) của Phụ lục 4 cho Automattic Inc., một công ty Mỹ. Thông báo yêu cầu một hành động vô hiệu hóa đối với một website trong vòng 48 giờ. Thông báo viện dẫn mục 12(1): phạt 100.000 HKD và sáu tháng tù nếu không tuân thủ.

Thông báo cũng viện dẫn Điều 63(3) của luật. Thông báo yêu cầu công ty không tiết lộ nội dung thông báo, đồng thời cho phép công ty nêu rằng mình đã tuân thủ.

Điều gì đã thay đổi vào ngày 23 tháng 3 năm 2026?

Quy tắc Sửa đổi năm 2026 (L.N. 27 của năm 2026) đã được công bố và có hiệu lực cùng ngày. Hai thay đổi ảnh hưởng đến nhà cung cấp dịch vụ lưu trữ.

• Phụ lục 4: Giám đốc Cảnh sát giờ đây chỉ định chính thông điệp. Một sĩ quan có thể hành động dựa trên thông điệp đó ở bất cứ nơi nào nó xuất hiện lại, kể cả khi được đăng bởi nhà xuất bản khác hoặc trên nền tảng khác.
• Phụ lục 1: khi cảnh sát khám xét thiết bị điện tử bị thu giữ, họ có thể yêu cầu một "người được chỉ định" cung cấp mật khẩu hoặc phương pháp giải mã. Điều này bao gồm bất kỳ ai được cho là kiểm soát thiết bị hoặc biết mật khẩu.

Từ chối yêu cầu giải mã mà không có lý do chính đáng có thể bị phạt tới 100.000 HKD và một năm tù. Cung cấp thông tin sai lệch hoặc gây nhầm lẫn có thể bị phạt tới 500.000 HKD và ba năm tù. Văn bản của Hội đồng Lập pháp nêu rằng Phụ lục 4 đã có một tội danh tương tự đối với nhà cung cấp dịch vụ.

Cảnh sát có thể lấy dữ liệu khách hàng hoặc hỗ trợ giải mã từ nhà cung cấp dịch vụ lưu trữ không?

Có, thông qua một bước tại tòa án. Bản tóm tắt năm 2020 của Chính phủ nêu rằng các sĩ quan có thể nộp đơn lên thẩm phán để xin lệnh. Lệnh này cho phép cảnh sát yêu cầu nhà cung cấp dịch vụ cung cấp bản ghi nhận dạng hoặc hỗ trợ giải mã.

Điều 43(7) bổ sung một con đường riêng: theo đơn yêu cầu, tòa án có thể ra lệnh buộc một người trả lời câu hỏi hoặc xuất trình tài liệu. Luật bảo vệ dữ liệu cá nhân của Hồng Kông không chặn việc tiết lộ trong trường hợp này. Mục 58 của PDPO miễn trừ việc sử dụng dữ liệu để phát hiện tội phạm khỏi nguyên tắc giới hạn mục đích sử dụng, khi việc áp dụng nguyên tắc đó sẽ gây bất lợi cho mục đích này.

Nhà cung cấp dịch vụ lưu trữ giao nộp những gì họ nắm giữ. Chúng tôi không lưu log: không ghi lại kết nối hay lưu lượng, không lưu IP của khách truy cập hay khách hàng, trên website, trong dashboard hay trên bất kỳ server nào.

Luật có ảnh hưởng đến các website được lưu trữ ngoài Hồng Kông không?

Văn bản luật tuyên bố phạm vi áp dụng rộng. Điều 38 áp dụng luật đối với tội phạm thực hiện ngoài Hồng Kông bởi những người không phải cư dân thường trú. Thông báo năm 2024 ở trên đã được gửi đến một công ty ngoài Hồng Kông.

Việc thi hành một yêu cầu ở nước ngoài là một vấn đề riêng, được điều chỉnh bởi luật tại nơi nhà cung cấp dịch vụ lưu trữ đặt trụ sở. Trang này không đánh giá vấn đề đó.

Đối với một máy chủ đặt tại Hồng Kông, không có câu hỏi như vậy. Trung tâm dữ liệu và mạng của nó chịu sự điều chỉnh của luật Hồng Kông. Xem thêm Hồng Kông có còn là nơi tốt để lưu trữ máy chủ?

Điều này có ý nghĩa gì đối với một máy chủ Copperstrait tại Hồng Kông?

Copperstrait do DomaineGoat LLC vận hành, được thành lập tại Panama và chỉ chịu trách nhiệm trước pháp luật Panama. Datacenter ở mỗi thành phố chịu sự điều chỉnh của luật nơi nó đặt trụ sở. Một yêu cầu gửi đến trung tâm dữ liệu hoặc nhà cung cấp dịch vụ mạng của nó có thể ảnh hưởng đến máy chủ của bạn mà không đi qua Copperstrait.

Trong khảo sát của Copperstrait về 33 nhà cung cấp dịch vụ lưu trữ bán máy chủ vật lý tại châu Á vào 2 November 2026, 20 bán tại Hồng Kông, 26 tại Singapore và 22 tại Nhật Bản. Copperstrait tính cùng một mức giá ở cả ba thành phố, nên chọn một hệ thống pháp luật khác không tốn thêm chi phí. So sánh tại Hồng Kông hay Singapore để lưu trữ.

Hành động trực tiếp của các cơ quan đại lục được đề cập tại liệu nhà chức trách Trung Quốc có thể truy cập máy chủ Hồng Kông. Các gói được trình bày tại một máy chủ Copperstrait có giá bao nhiêu.

Trang này tóm tắt luật đã công bố và không phải là tư vấn pháp lý.