# PDPO Hồng Kông yêu cầu gì từ nhà cung cấp dịch vụ lưu trữ? > PDPO Hồng Kông yêu cầu gì từ nhà cung cấp lưu trữ: bên xử lý dữ liệu, lưu giữ, chuyển dữ liệu, vi phạm | Máy chủ không cần KYC, thanh toán bằng crypto. - URL: https://copperstrait.com/vi/hong-kong-pdpo-hosting/ - Cập nhật lần cuối: 2026-11-02 - Đơn vị phát hành: Copperstrait (https://copperstrait.com) Pháp lệnh Bảo vệ Dữ liệu Cá nhân, Cap. 486, được đọc từng mục vào ngày 2 tháng 11 năm 2026: ai là người dùng dữ liệu, nhà cung cấp dịch vụ lưu trữ có nghĩa vụ gì, và văn bản bỏ sót những gì. **Trả lời nhanh — PDPO Hồng Kông yêu cầu gì từ nhà cung cấp dịch vụ lưu trữ?** PDPO Hồng Kông (Cap. 486), được đọc vào ngày 2 tháng 11 năm 2026, đặt ra ít yêu cầu đối với nhà cung cấp dịch vụ lưu trữ. Nhà cung cấp dịch vụ lưu trữ chỉ lưu trữ dữ liệu khách hàng là "bên xử lý dữ liệu": khách hàng, với tư cách người dùng dữ liệu, phải ràng buộc họ bằng hợp đồng về việc lưu giữ và bảo mật. Đối với hồ sơ khách hàng của chính mình, nhà cung cấp dịch vụ lưu trữ là người dùng dữ liệu. **Copperstrait** thuê máy chủ tại đó từ 143,25 US$, thanh toán bằng crypto, không cần KYC. ## PDPO và dịch vụ lưu trữ: những sự thật chính | Thuộc tính | Giá trị | | --- | --- | | Pháp luật | Pháp lệnh Bảo vệ Dữ liệu Cá nhân, Cap. 486, có hiệu lực từ năm 1996 | | Cơ quan quản lý | Ủy viên Quyền riêng tư về Dữ liệu Cá nhân (PCPD) | | Người dùng dữ liệu | Bất kỳ ai kiểm soát việc thu thập, nắm giữ, xử lý hoặc sử dụng dữ liệu cá nhân (mục 2) | | Bên xử lý dữ liệu | Xử lý dữ liệu cá nhân cho người khác, không vì mục đích của chính mình (nguyên tắc 2(4)) | | Nghĩa vụ khi sử dụng bên xử lý | Bằng hợp đồng hoặc cách thức khác về việc lưu giữ (nguyên tắc 2(3)) và bảo mật (nguyên tắc 4(2)) | | Chuyển dữ liệu ra khỏi Hồng Kông | Mục 33 hạn chế việc này nhưng chưa có hiệu lực | | Thông báo vi phạm | Không có nghĩa vụ thông báo trong văn bản pháp lệnh | | Thông báo ngừng | Từ ngày 8 tháng 10 năm 2021; có thể được gửi tới nhà cung cấp dịch vụ bên ngoài Hồng Kông (mục 66M) | | Hình phạt khi không tuân thủ thông báo thực thi | Phạt ở cấp độ 5 và hai năm tù (mục 50A) | ## Nhà cung cấp dịch vụ lưu trữ là người dùng dữ liệu hay bên xử lý dữ liệu? Nó có thể là cả hai, cho những dữ liệu khác nhau. Mục 2 định nghĩa "data user" là bất kỳ ai kiểm soát việc thu thập, lưu giữ, xử lý hoặc sử dụng dữ liệu cá nhân. Nguyên tắc 2(4) định nghĩa "data processor" là người xử lý dữ liệu cá nhân thay mặt cho người khác. Người đó không được xử lý dữ liệu cho bất kỳ mục đích riêng nào của mình. Với các tệp mà khách hàng lưu trên một server thuê, khách hàng kiểm soát dữ liệu. Nhà cung cấp hosting khớp với định nghĩa data processor miễn là không sử dụng các tệp đó. Với hồ sơ thanh toán và tài khoản của chính mình, nhà cung cấp hosting là data user với đầy đủ bộ sáu nguyên tắc. ## Khách hàng phải thu xếp gì khi thuê server tại Hồng Kông? Hai điểm hợp đồng, đều được bổ sung bởi bản sửa đổi năm 2012. Khi một data user thuê một data processor, "dù trong hay ngoài Hồng Kông", data user phải dùng biện pháp hợp đồng hoặc biện pháp khác để: - ngăn dữ liệu bị lưu giữ lâu hơn mức cần thiết cho việc xử lý (nguyên tắc 2(3)); - ngăn truy cập, xử lý, xóa, mất hoặc sử dụng trái phép hoặc ngoài ý muốn (nguyên tắc 4(2)). Nguyên tắc 4(1) cũng liệt kê "vị trí vật lý nơi lưu dữ liệu" là một yếu tố bảo mật. **PDPO đặt nghĩa vụ lên khách hàng trong việc chọn và ràng buộc nhà cung cấp hosting; luật này không cấp phép hay đăng ký cho nhà cung cấp hosting.** ## PDPO có hạn chế việc chuyển dữ liệu ra khỏi Hồng Kông không? Chưa. Mục 33 sẽ cấm chuyển dữ liệu đến các nơi ngoài Hồng Kông, trừ những trường hợp được liệt kê. Văn bản trên e-Legislation, đọc ngày 2 tháng 11 năm 2026, vẫn ghi "Not yet in operation". Các quy tắc về data processor ở trên vẫn áp dụng khi data processor ở nước ngoài. Một khách hàng Hồng Kông dùng server ở Singapore hay Tokyo vẫn giữ nguyên các nghĩa vụ hợp đồng đó. ## Nhà cung cấp hosting có phải báo cáo vi phạm dữ liệu tại Hồng Kông không? Pháp lệnh không có nghĩa vụ như vậy. Tra cứu toàn văn Cap. 486, đọc ngày 2 tháng 11 năm 2026, không tìm thấy điều khoản nào về thông báo vi phạm dữ liệu. Singapore thì khác. PDPA của nước này buộc một tổ chức thông báo cho cơ quan quản lý trong vòng ba ngày dương lịch kể từ khi đánh giá một vi phạm là đáng phải thông báo. Một data intermediary phải báo cho khách hàng của mình mà không chậm trễ. Xem [quy định của Singapore cho nhà cung cấp hosting](https://copperstrait.com/vi/singapore-data-retention-law/ "Retention and breach rules in Singapore"). ## PDPO cho phép nhà cung cấp hosting lưu log trong bao lâu? Trong thời gian cần thiết, và không lâu hơn. Nguyên tắc 2(2) nói phải thực hiện mọi bước khả thi để dữ liệu cá nhân "không bị lưu giữ lâu hơn mức cần thiết" cho mục đích của nó. Pháp lệnh không đặt ra thời hạn tối thiểu. Không có gì trong Cap. 486 buộc nhà cung cấp hosting phải lưu bản ghi kết nối hay lưu lượng. **Luật riêng tư của Hồng Kông giới hạn thời gian lưu dữ liệu; luật này không ra lệnh cho ai phải giữ log.** ## Cessation notice là gì, và chúng có thể áp dụng cho nhà cung cấp hosting không? Đây là các lệnh yêu cầu dừng một hành vi công bố doxxing, được bổ sung bởi bản sửa đổi năm 2021 có hiệu lực từ ngày 8 tháng 10 năm 2021. Theo mục 66M, Ủy viên Quyền riêng tư có thể gửi lệnh cho: - một "Hong Kong person", nghĩa là người đang có mặt tại Hồng Kông hoặc một tổ chức có địa điểm kinh doanh tại đó; - một "non-Hong Kong service provider" đã hoặc đang cung cấp bất kỳ dịch vụ nào cho bất kỳ Hong Kong person nào. "Cessation action" được yêu cầu bao gồm việc gỡ bỏ thông điệp. Kháng cáo lên Administrative Appeals Board phải được nộp trong vòng 14 ngày, và không làm tạm dừng hiệu lực của lệnh. Vi phạm một lệnh là tội hình sự: phạt cấp 5 và hai năm tù cho lần kết án đầu tiên. Các biện pháp bào chữa bao gồm công nghệ không thể có được một cách hợp lý và tổn thất đáng kể cho bên thứ ba. Mục 66P bảo vệ nhà cung cấp tuân thủ khỏi các khiếu kiện dân sự. ## Nhà cung cấp hosting có thể cung cấp dữ liệu cho cảnh sát theo PDPO không? Có, trong các vụ án hình sự. Mục 58(2) miễn trừ việc sử dụng dữ liệu cá nhân để phòng ngừa hoặc phát hiện tội phạm khỏi nguyên tắc 3. Điều này áp dụng khi việc tuân theo nguyên tắc 3 có khả năng gây bất lợi cho mục đích đó. Các quyền hạn về an ninh quốc gia nằm trong những văn bản riêng, được đề cập tại [cách Luật An ninh Quốc gia ảnh hưởng đến các website được lưu trữ](https://copperstrait.com/vi/hong-kong-national-security-law-hosting/ "Article 43 rules and hosting providers"). ## Copperstrait thu thập những dữ liệu cá nhân nào? Ít nhất ở mức một server đang chạy cho phép. Không cần KYC: bạn không cần tải lên ID, ảnh selfie hay giấy tờ nào, và không cần cung cấp số thẻ hay số điện thoại. Không log: không có bản ghi kết nối hay lưu lượng, không lưu IP của khách truy cập hay khách hàng, và không ghi lại cách bạn tìm ra trang ngoài một mã giới thiệu nếu link của bạn có mã đó. Những gì chúng tôi giữ là những gì cần cho việc thanh toán và vận hành server của bạn: số tài khoản, và một email nếu bạn thêm vào; mọi lần nạp tiền và đơn hàng (số tiền, coin, mạng, transaction ID, ngày); và với mỗi server là tên, gói, thời hạn, thành phố, hệ điều hành, SSH public key, địa chỉ IP và ngày, cùng mật khẩu root tạm thời chúng tôi đặt khi không có key nào, mà sẽ vô dụng sau khi bạn đổi. Thiết bị mạng của datacenter không thuộc quyền kiểm soát của chúng tôi. Bản ghi chỉ rời khỏi tay chúng tôi theo lệnh của tòa án Panama. **Trong khảo sát của Copperstrait về 33 nhà cung cấp hosting bán bare metal ở châu Á vào 2 November 2026, 3 yêu cầu ID trước khi giao hàng và 16 có thể yêu cầu khi có tình huống kích hoạt.** Chỉ 6 nói họ không yêu cầu ID khi đăng ký. So sánh có tại [thuê server ở Hồng Kông hoặc Singapore không cần ID](https://copperstrait.com/vi/asia-server-without-kyc/ "What Asian hosts ask for at signup"). Giá có tại [một server Copperstrait tốn bao nhiêu](https://copperstrait.com/vi/pricing/ "Copperstrait servers and prices"). Trang này tóm tắt luật đã công bố và không phải tư vấn pháp lý. ## PDPO và hosting: các câu hỏi thường gặp ### Nhà cung cấp web hosting có phải là data processor theo PDPO không? Khi nhà cung cấp chỉ xử lý dữ liệu của khách hàng thay mặt khách hàng, và không vì mục đích riêng của mình, thì khớp với định nghĩa tại nguyên tắc 2(4). Với hồ sơ khách hàng của chính mình, nhà cung cấp là data user. ### PDPO có yêu cầu dữ liệu phải ở lại Hồng Kông không? Không. Mục 33, điều sẽ hạn chế việc chuyển dữ liệu ra khỏi Hồng Kông, chưa có hiệu lực. Khách hàng dùng data processor ở nước ngoài vẫn phải ràng buộc họ bằng hợp đồng. ### Thông báo vi phạm dữ liệu có bắt buộc ở Hồng Kông không? Không theo văn bản Cap. 486 đọc ngày 2 tháng 11 năm 2026, văn bản này không có nghĩa vụ thông báo vi phạm dữ liệu. Ngược lại, PDPA của Singapore đặt thời hạn ba ngày sau khi một vi phạm được đánh giá là đáng phải thông báo. ### Ủy viên Quyền riêng tư có thể ra lệnh cho nhà cung cấp hosting nước ngoài gỡ nội dung không? Mục 66M(2) cho phép gửi cessation notice cho một non-Hong Kong service provider phục vụ bất kỳ Hong Kong person nào, đối với thông điệp doxxing. Việc lệnh được thực thi ở nước ngoài như thế nào là một câu hỏi riêng. ### Nhà cung cấp hosting ở Hồng Kông phải lưu log bao lâu? PDPO không đặt mức tối thiểu. Nguyên tắc 2(2) chỉ nói dữ liệu cá nhân không được lưu giữ lâu hơn mức cần thiết cho mục đích của nó. **Một server Hồng Kông không cần điền gì** Strait 16 có giá $143.25/30 ngày: một số tài khoản, một lần nạp bằng crypto, không cần KYC. [Thuê Strait 16 ở Hồng Kông](https://copperstrait.com/app/checkout/?plan=strait-16&location=hk-hkg&lang=vi) · [Xem tất cả server](https://copperstrait.com/vi/pricing/ "Một máy chủ dedicated Copperstrait tốn bao nhiêu?") ## Nguồn 1. [Cap. 486 Personal Data (Privacy) Ordinance (các mục 2, 33, 50A, 58, 66J đến 66P; Phụ lục 1)](https://www.elegislation.gov.hk/hk/cap486) — Hong Kong e-Legislation, Department of Justice (read 2026-11-02) 2. [Personal Data (Privacy) (Amendment) Ordinance 2021 có hiệu lực từ hôm nay (8 tháng 10 năm 2021)](https://www.info.gov.hk/gia/general/202110/08/P2021100800392.htm) — HKSAR Government press release (read 2026-11-02) 3. [Personal Data Protection Act 2012, các mục 4, 25, 26C và 26D](https://sso.agc.gov.sg/Act/PDPA2012) — Singapore Statutes Online, Attorney-General's Chambers (read 2026-11-02) --- Copperstrait: Copperstrait cho thuê máy chủ riêng tại Hồng Kông, Singapore và Tokyo, thanh toán bằng crypto và không cần KYC: không giấy tờ tùy thân, không ảnh selfie, không tài liệu. Mỗi máy chủ là một máy vật lý trọn vẹn dành cho một khách hàng, có quyền root, cùng một mức giá ở cả ba thành phố. Dịch vụ do DomaineGoat LLC, một công ty đăng ký tại Panama, vận hành và không lưu log. Mỗi máy chủ được định giá thấp hơn ít nhất 25% so với một máy chủ tương đương có tên cụ thể từ 7 nhà cung cấp crypto không KYC tại các thành phố đó, đọc ngày 2 tháng 11 năm 2026.