PDPO у агульных рысах

PDPO арганізавана вакол шасці Прынцыпаў аховы даных (DPP), якія кіруюць зборам, дакладнасцю, захоўваннем, выкарыстаннем, бяспекай і адкрытасцю персанальных даных. Прынцыпы папярэднічаюць GDPR амаль на два дзесяцігоддзі і выкарыстоўваюць крыху іншую тэрміналогію, але матэрыяльныя стандарты сышліся праз інтэрпрэтацыю. DPP1 (мэта і спосаб збору), DPP3 (выкарыстанне персанальных даных) і DPP5 (агульнадаступная інфармацыя) — гэта прынцыпы, найбольш напрамую рэлевантныя анлайн-адсочванню.

Пастанова прымяняецца да любога карыстальніка даных — ганконгскі тэрмін для таго, што GDPR называе кантралёрам — які кантралюе збор, захоўванне, апрацоўку або выкарыстанне персанальных даных. Тэрытарыяльны ахоп быў спрэчнай вобласцю: PDPO папярэднічае экстэрытарыяльным дактрынам, і PCPD гістарычна займала больш кансерватыўную пазіцыю, чым EDPB, па афшорным правапрымяненні. На практыцы PCPD сцвярджае юрысдыкцыю над афшорнымі аператарамі, якія нацэльваюцца на жыхароў Ганконга або апрацоўваюць ганконгскія даныя з дастатковай сувяззю, і аператарам, якія абслугоўваюць ганконгскі трафік, варта планаваць так, як калі б прымяняўся экстэрытарыяльны ахоп.

Як PDPO трактуе cookie і анлайн-адсочванне

PDPO не змяшчае спецыфічнага для cookie палажэння; абавязкі па згодзе і інфармацыі вынікаюць з DPP і з Кіраўнічай запіскі PCPD 2022 года па анлайн-адсочванні і паводзінскай рэкламе. Кіраўніцтва з'яўляецца адным з самых выразных дакументаў па азіяцкай адпаведнасці cookie і фармулюе чаканні, якія цесна ўзгадняюцца з пазіцыяй Мэтавай групы EDPB па баннерах cookie.

Сцвярджальная згода на неасноўнае адсочванне

Пазіцыя PCPD складаецца ў тым, што згода павінна быць відавочнай для неасноўнага адсочвання. Падразумяваная згода, працяг выкарыстання і папярэдне адзначаныя сцяжкі не задавальняюць патрабаванню «канкрэтны і інфармаваны» DPP1 пры інтэрпрэтацыі ў анлайн-кантэксце. Кіраўнічая запіска канкрэтна называе пракрутку-як-згоду дэфектным патэрнам.

Гранулярныя элементы кіравання катэгорыямі

Баннеры павінны дазваляць карыстальніку прымаць і адхіляць катэгорыі незалежна. Кіраўніцтва трактуе аднакнопачнае «Прыняць усё» без эквівалентнага адхілення як структурны дэфект і вызначае няправільную маркіроўку маркетынгавых cookie як строга неабходных як асобнае парушэнне.

Змесціва паведамлення аб канфідэнцыяльнасці

DPP5 гістарычна быў адным з найбольш актыўна прымяняемых прынцыпаў. Паведамленні аб канфідэнцыяльнасці павінны ідэнтыфікаваць карыстальніка даных, мэты, атрымальнікаў (уключаючы атрымальнікаў перадачы), сістэму правоў па DPP6 (доступ і выпраўленне) і кантактны пункт для запытаў. PCPD было відавочным у тым, што агульныя шаблонныя паведамленні не праходзяць DPP5 — раскрыццё павінна адлюстроўваць фактычную апрацоўку.

Трансгранічная перадача (Раздзел 33)

Раздзел 33 PDPO кіруе трансгранічнымі перадачамі і быў, на працягу большай часткі гісторыі Пастановы, самай незвычайнай рысай рэжыму: раздзел быў прыняты ў 1995 годзе, але ніколі не ўводзіўся ў сілу Сакратаром. PCPD тым не менш выдала тыпавыя дагаворныя агаворкі і трактуе гарантыі ў стылі Раздзела 33 як практычна патрабуемыя для перадач у неганконгскія юрысдыкцыі. Прававы статус неадназначны — Раздзел 33 з'яўляецца законам, але не дзеючым — але аперацыйнае чаканне адсочвае Главу V GDPR.

Пазіцыя правапрымянення PCPD

PCPD працуе з адметным стылем правапрымянення, які адрозніваецца ад больш буйных еўрапейскіх DPA трыма назіральнымі спосабамі.

Актыўнае выкарыстанне расследаванняў адпаведнасці

Асноўным інструментам правапрымянення PCPD з'яўляецца расследаванне адпаведнасці, якое завяршаецца паведамленнем аб правапрымяненні, а не штрафам. Паведамленні патрабуюць ліквідацыі недахопаў у ўстаноўленыя тэрміны і звычайна вырашаюцца без грашовага пакарання. Грамадзянскія пакаранні існуюць, але выкарыстоўваліся эканомна.

Публічныя каментарыі як сігнал правапрымянення

PCPD публікуе падрабязныя справаздачы аб расследаваннях для гучных спраў, якія функцыянуюць як прэцэдэнтнае права пры адсутнасці моцных штрафаў, якія ўстанаўліваюць прэцэдэнты. Аператары ўважліва чытаюць гэтыя справаздачы, таму што яны фармулююць канкрэтныя чаканні, якія могуць не з'яўляцца ў фармальным кіраўніцтве.

Каардынацыя з мацерыком

Трансгранічныя расследаванні, якія ўцягваюць патокі даных Ганконга і мацерыка, усё часцей апрацоўваюцца праз скаардынаваныя працэдуры з Адміністрацыяй кіберпрасторы Кітая. Экстэрытарыяльны ахоп PIPL і становішча Ганконга ў эканамічнай сістэме Вялікага заліва робяць гэтую каардынацыю больш аперацыйна значнай, чым яна была б у большасці юрысдыкцый.

Практычны кантрольны спіс адпаведнасці

Шэсць канкрэтных пытанняў, на якія трэба адказаць для любога cookie-баннера, які абслугоўвае ганконгскі трафік.

• Ці ёсць відавочнае адхіленне на першым узроўні? Шлях адхілення павінен знаходзіцца на той жа паверхні, што і прыняцце, з супастаўнай прыкметнасцю. Пракрутка-як-згода і працяг-выкарыстання не праходзяць Кіраўніцтва 2022 года.
• Ці гранулярныя катэгорыі? Неабходныя, аналітычныя і маркетынгавыя павінны быць асобна кіравальнымі.
• Ці канкрэтнае паведамленне DPP5? Пацвердзіце, што паведамленне аб канфідэнцыяльнасці ідэнтыфікуе фактычных карыстальнікаў даных, мэты і атрымальнікаў — не агульны шаблон.
• Ці падыходзячая мова? Для аўдыторый, якія могуць уключаць носьбітаў кітайскай, баннер і паведамленне павінны быць даступныя на традыцыйнай кітайскай (стандарт у Ганконгу), а таксама на англійскай.
• Ці задакументаваны трансгранічныя перадачы? Раздзел 33 не дзейнічае, але PCPD трактуе дагаворныя гарантыі як чаканыя. Вызначце кожны неганконгскі напрамак і гарантыю, якая аўтарызуе перадачу.
• Ці з'яўляецца лагіраванне згоды ўзроўнем аўдыту? Запісы рашэнняў аб згодзе з часавай меткай і версіяй баннера патрэбны для адказу на расследаванне адпаведнасці PCPD.

Дзе Ганконг упісваецца ў шматюрысдыкцыйны стэк

Ганконг — самы спелы рэжым аховы даных у Вялікім Кітаі і служыць фактычнай кропкай уваходу для трансгранічных патокаў даных паміж мацерыковым Кітаем і астатнім светам. Для выдаўцоў, якія будуюць у напрамку паназіяцкіх аперацый, PDPO стаіць побач з PDPA Сінгапура, APPI Японіі і PIPA Паўднёвай Карэі як чатыры найбольш аперацыйна значныя азіяцкія рэжымы. PDPO з'яўляецца самым дазваляльным з чатырох на паперы, але самым патрабавальным да якасці дакументацыі, таму што правапрымяненне PCPD, рухаемае расследаваннямі, робіць добра напісанае паведамленне аб канфідэнцыяльнасці самай моцнай адзінай лініяй абароны. Архітэктура CMP, пабудаваная па еўрапейскіх стандартах, апрацоўвае асноўную частку адпаведнасці Ганконга з двума дапаўненнямі: падтрымка традыцыйнай кітайскай мовы і патэрн дакументацыі трансгранічнай перадачы, які мае на ўвазе Раздзел 33, нават калі ён фармальна не дзейнічае. Для аператараў, якія абслугоўваюць Ганконг з афшора, практычная пазіцыя — трактаваць Кіраўнічую запіску PCPD 2022 года як аўтарытэтны дакумент і праектаваць супраць яе канкрэтных патэрнаў збою, а не супраць старога тэксту PDPO.