PDPO lyhyesti

PDPO on järjestetty kuuden tietosuojaperiaatteen (DPP) ympärille, jotka ohjaavat henkilötietojen keräämistä, tarkkuutta, säilyttämistä, käyttöä, turvallisuutta ja avoimuutta. Periaatteet edeltävät GDPR:ää lähes kahdella vuosikymmenellä ja käyttävät hieman erilaista terminologiaa, mutta sisällölliset standardit ovat lähentyneet tulkinnan kautta. DPP1 (keräämisen tarkoitus ja tapa), DPP3 (henkilötietojen käyttö) ja DPP5 (yleisesti saatavilla oleva tieto) ovat periaatteet, jotka liittyvät suorimmin verkkoseurantaan.

Asetus koskee kaikkia tietojenkäyttäjiä — Hong Kongin termi sille, mitä GDPR kutsuu rekisterinpitäjäksi — jotka hallitsevat henkilötietojen keräämistä, hallussapitoa, käsittelyä tai käyttöä. Alueellinen ulottuvuus on ollut kiistanalainen alue: PDPO on vanhempi kuin ekstraterritoriaaliset opit, ja PCPD on historiallisesti ottanut konservatiivisemman näkemyksen kuin EDPB offshore-täytäntöönpanosta. Käytännössä PCPD väittää toimivaltaa offshore-operaattoreihin, jotka kohdistavat toimintansa Hong Kongin asukkaisiin tai käsittelevät Hong Kongin tietoja riittävällä yhteydellä, ja Hong Kongin liikennettä palvelevien operaattoreiden tulisi suunnitella niin kuin ekstraterritoriaalinen ulottuvuus soveltuu.

Miten PDPO käsittelee evästeitä ja verkkoeurantointia

PDPO ei sisällä evästekohtaista säännöstä; suostumus- ja tietovelvoitteet juontuvat DPP:istä ja PCPD:n 2022 Guidance Note -ohjeesta verkkoeurantointiin ja käyttäytymisperusteiseen mainontaan. Ohje on yksi selkeimmistä asiakirjoista aasialaisen evästeen noudattamisen osalta ja ilmaisee odotuksia, jotka ovat tiiviisti linjassa EDPB:n Cookie Banner Taskforce -kannan kanssa.

Myönteinen suostumus ei-välttämättömään seurantaan

PCPD:n kanta on, että suostumuksen on oltava nimenomainen ei-välttämättömään seurantaan. Implisiittinen suostumus, jatkuva käyttö ja esirasitetut ruudut eivät täytä DPP1:n vaatimusta tarkasta ja tietoisesta verkkoympäristössä tulkittuna. Ohje mainitsee erikseen vierittämisen-suostumuksena viallisena mallina.

Yksityiskohtaiset kategoriakontrollit

Bannereiden on annettava käyttäjälle mahdollisuus hyväksyä ja hylätä kategoriat itsenäisesti. Ohje käsittelee yhden napin hyväksy kaikki ilman vastaavaa hylkäystä rakenteellisena puutteena ja tunnistaa markkinointievästeiden virheellisen merkitsemisen ehdottoman välttämättömiksi erilliseksi rikkomukseksi.

Tietosuojailmoituksen sisältö

DPP5 on historiallisesti ollut yksi aktiivisimmin täytäntöönpannuista periaatteista. Tietosuojailmoitusten on tunnistettava tietojenkäyttäjä, tarkoitukset, vastaanottajat (mukaan lukien siirtämisen vastaanottajat), oikeuskehys DPP6:n nojalla (pääsy ja korjaus) ja yhteyspiste kyselyille. PCPD on nimenomaisesti todennut, että yleiset mallipohjailmoitukset epäonnistuvat DPP5:n osalta — tiedottamisen on heijastettava todellista käsittelyä.

Rajat ylittävä siirto (Section 33)

Section 33 of the PDPO säätelee rajat ylittäviä siirtoja ja on ollut suurimman osan asetuksen historiasta järjestelmän erikoisin piirre: pykälä hyväksyttiin vuonna 1995, mutta sitä ei ole koskaan saatettu voimaan ministerin toimesta. PCPD on kuitenkin antanut mallisopimislausekkeet ja käsittelee Section 33 -tyylisiä suojatoimia käytännössä välttämättöminä siirroille muihin kuin Hong Kongin lainkäyttöalueille. Oikeudellinen asema on epäselvä — Section 33 on laki, mutta ei toiminnassa — mutta operatiivinen odotus seuraa GDPR:n Chapter V -lukua.

PCPD:n täytäntöönpanoasenne

PCPD toimii erottuvan täytäntöönpanotyylin mukaisesti, joka eroaa suuremmista eurooppalaisista tietosuojaviranomaisista kolmella havaittavalla tavalla.

Vahva noudattamistutkimusten käyttö

PCPD:n ensisijainen täytäntöönpanoväline on noudattamistutkimus, joka kulminoituu täytäntöönpanomääräykseen eikä sakkoon. Määräykset edellyttävät korjaustoimia ilmoitetun aikataulun puitteissa ja ratkaistaan tyypillisesti ilman raharangaistusta. Siviilioikeudelliset seuraamukset ovat olemassa, mutta niitä on käytetty säästeliäästi.

Julkinen kommentointi täytäntöönpanon signaalina

PCPD julkaisee yksityiskohtaisia tutkimusraportteja korkean profiilin tapauksista, jotka toimivat oikeuskäytäntönä vahvojen ennakkotapauksia luovien sakkojen puuttuessa. Operaattorit lukevat nämä raportit huolellisesti, koska ne ilmaisevat erityisiä odotuksia, jotka eivät välttämättä näy virallisessa ohjauksessa.

Yhteensovittaminen mantereen kanssa

Rajat ylittäviä tutkimuksia, jotka koskevat Hong Kongin ja Mainland China -tietovirtoja, käsitellään yhä enemmän koordinoitujen menettelyjen kautta Cyberspace Administration of Chinan kanssa. PIPL:n ekstraterritoriaalinen ulottuvuus ja Hong Kongin asema Greater Bay Area -talouskehyksessä tekevät tästä koordinoinnista operatiivisesti merkityksellisempää kuin useimmilla lainkäyttöalueilla.

Käytännön noudattamistarkistuslista

Kuusi konkreettista kysymystä vastattavaksi mille tahansa evästebannereille, joka palvelee Hong Kongin liikennettä.

• Onko nimenomainen ensimmäisen tason hylkäys? Hylkäyspolun on oltava samalla pinnalla kuin hyväksyminen, vertailukelpoisella näkyvyydellä. Vierittäminen-suostumuksena ja jatkuva käyttö epäonnistuvat 2022 Guidance -ohjeessa.
• Ovatko kategoriat yksityiskohtaisia? Välttämättömien, analytiikan ja markkinoinnin on oltava erikseen hallittavissa.
• Onko DPP5-ilmoitus erityinen? Vahvista, että tietosuojailmoitus tunnistaa todelliset tietojenkäyttäjät, tarkoitukset ja vastaanottajat — ei yleistä mallipohjaa.
• Onko kieli asianmukainen? Yleisölle, joka saattaa sisältää kiinankielisiä äidinkielenään puhuvia, bannerin ja ilmoituksen tulisi olla saatavilla Traditional Chinese -kielellä (Hong Kongin standardi) sekä englanniksi.
• Ovatko rajat ylittävät siirrot dokumentoitu? Section 33 ei ole toiminnassa, mutta PCPD pitää sopimusperusteisia suojatoimia odotettuna. Tunnista jokainen ei-Hong Kongin kohde ja siirron valtuuttava suojatoimenpide.
• Onko suostumuksen kirjaus tilintarkastustasolla? Suostumuspäätösten tietueet aikaleimoineen ja bannerin versioineen tarvitaan vastaamiseen PCPD:n noudattamistutkimukseen.

Mihin Hong Kong sopii monen lainkäyttöalueen pinossa

Hong Kong on kypsein tietosuojajärjestelmä Greater Chinassa ja toimii de facto sisääntulopisteinä rajat ylittäville tietovirroille Mainland China ja muun maailman välillä. Julkaisijoille, jotka rakentavat kohti pan-aasialaisia toimintoja, PDPO istuu Singaporen PDPA:n, Japanin APPI:n ja Etelä-Korean PIPA:n rinnalle neljänä operatiivisesti merkityksellisimpänä aasialaisena järjestelmänä. PDPO on neljästä paperilla sallivin, mutta vaativin dokumentoinnin laadun osalta, koska PCPD:n tutkimuspohjainen täytäntöönpano tekee hyvin kirjoitetusta tietosuojailmoituksesta vahvimman yksittäisen puolustuslinjan. Eurooppalaisiin standardeihin rakennettu CMP-arkkitehtuuri hoitaa suurimman osan Hong Kongin noudattamisesta kahdella lisäyksellä: Traditional Chinese -kielituki ja rajat ylittävän siirron dokumentointimalli, jonka Section 33 merkitsee vaikka se ei olisi virallisesti voimassa. Offshore-operaattoreille, jotka palvelevat Hong Kongia, käytännön asenne on kohdella PCPD:n 2022 Guidance Note -ohjetta auktoritatiivisena asiakirjana ja suunnitella sen erityisiä epäonnistumismalleja vastaan eikä pelkästään vanhempaa PDPO-tekstiä vastaan.