ה-PDPO בקווים כלליים

ה-PDPO מאורגן סביב שישה עקרונות הגנת נתונים (DPP) הקובעים את האיסוף, הדיוק, השמירה, השימוש, האבטחה והפתיחות של נתונים אישיים. העקרונות קדמו ל-GDPR בכמעט שני עשורים ומשתמשים בטרמינולוגיה שונה במקצת, אך הסטנדרטים המהותיים התכנסו דרך פרשנות. DPP1 (מטרה ואופן האיסוף), DPP3 (שימוש בנתונים אישיים) ו-DPP5 (מידע הזמין בדרך כלל) הם העקרונות הרלוונטיים ביותר ישירות למעקב מקוון.

הפקודה חלה על כל משתמש נתונים — המונח של הונג קונג למה שה-GDPR מכנה בקר — השולט באיסוף, החזקה, עיבוד או שימוש בנתונים אישיים. טווח ההגעה הטריטוריאלי היה תחום שנוי במחלוקת: PDPO קדם לדוקטרינות אקסטרה-טריטוריאליות, ו-PCPD נקט היסטורית בגישה שמרנית יותר מ-EDPB באכיפה offshore. בפועל, PCPD טוען סמכות שיפוט על מפעילים offshore המכוונים לתושבי הונג קונג או מעבדים נתוני הונג קונג עם נקסוס מספיק, ומפעילים המשרתים תנועה מהונג קונג צריכים לתכנן כאילו טווח הגעה אקסטרה-טריטוריאלי חל.

כיצד PDPO מתייחס לעוגיות ולמעקב מקוון

ה-PDPO אינו מכיל הוראה ספציפית לעוגיות; חובות ההסכמה והמידע נובעות מה-DPP ומ-2022 Guidance Note של PCPD על מעקב מקוון ופרסום התנהגותי. ההנחיה היא אחת המסמכים הברורים ביותר בציות עוגיות באסיה ומבטאת ציפיות שמתיישבות בצורה הדוקה עם עמדת EDPB Cookie Banner Taskforce.

הסכמה אישורית למעקב לא חיוני

עמדת PCPD היא שההסכמה חייבת להיות מפורשת למעקב לא חיוני. הסכמה מרומזת, שימוש מתמשך ותיבות מסומנות מראש אינם עומדים בדרישת DPP1 לגבי ספציפי ומושכל כאשר מפרשים בהקשר המקוון. הערת ההנחיה מציינת במפורש גלילה-כהסכמה כדפוס פגום.

בקרות קטגוריה פרטניות

על הבאנרים לאפשר למשתמש לקבל ולדחות קטגוריות באופן עצמאי. ההנחיה מתייחסת לכפתור בודד קבל הכל ללא דחייה שוות ערך כפגם מבני, ומזהה תיוג שגוי של עוגיות שיווק כהכרחיות בהחלט כהפרה נפרדת.

תוכן הודעת הפרטיות

DPP5 היה היסטורית אחד העקרונות המאוכפים ביותר באופן פעיל. הודעות פרטיות חייבות לזהות את משתמש הנתונים, המטרות, הנמענים (כולל נמענים להעברה), מסגרת הזכויות תחת DPP6 (גישה ותיקון) ונקודת קשר לפניות. PCPD היה מפורש שהודעות boilerplate כלליות נכשלות ב-DPP5 — הגילוי חייב לשקף עיבוד בפועל.

העברה חוצת גבולות (Section 33)

Section 33 of the PDPO קובע העברות חוצות גבולות והיה, במשך רוב ההיסטוריה של הפקודה, המאפיין הבלתי-רגיל ביותר של המשטר: הסעיף אושר ב-1995 אך מעולם לא הוכנס לתוקף על ידי המזכיר. PCPD בכל זאת הוציא סעיפים חוזיים לדוגמה ומתייחס לאמצעי הגנה בסגנון Section 33 כנדרשים מעשית להעברות לתחומי שיפוט שאינם הונג קונג. המעמד המשפטי מעורפל — Section 33 הוא חוק אך לא תפעולי — אך הציפייה התפעולית עוקבת אחר Chapter V של GDPR.

עמדת האכיפה של PCPD

PCPD פועל בסגנון אכיפה ייחודי הנבדל מ-DPA אירופאיות גדולות יותר בשלוש דרכים ניתנות לתצפית.

שימוש נרחב בחקירות ציות

כלי האכיפה העיקרי של PCPD הוא חקירת ציות, המסתיימת בהודעת אכיפה ולא בקנס. הודעות דורשות תיקון בתוך מסגרת זמן מצוינת ובדרך כלל נפתרות ללא עונש כספי. קיימות סנקציות אזרחיות אך הן שימשו בחסכנות.

הערה ציבורית כאות אכיפה

PCPD מפרסם דוחות חקירה מפורטים למקרים בעלי פרופיל גבוה הפועלים כפסיקה בהיעדר קנסות חזקים המתיישבים תקדים. מפעילים קוראים את הדוחות האלה בקפידה משום שהם מבטאים ציפיות ספציפיות שעשויות שלא להופיע בהנחיות הרשמיות.

תיאום עם היבשת

חקירות חוצות גבולות הכוללות זרימות נתונים של הונג קונג ו-Mainland מטופלות יותר ויותר דרך נהלים מתואמים עם Cyberspace Administration of China. טווח ההגעה האקסטרה-טריטוריאלי של PIPL ומיקום הונג קונג במסגרת הכלכלית של Greater Bay Area הופכים את התיאום הזה לבעל משמעות תפעולית רבה יותר ממה שהיה ברוב תחומי השיפוט.

רשימת תיוג מעשית לציות

שש שאלות קונקרטיות לענות עליהן עבור כל באנר עוגיות המשרת תנועה מהונג קונג.

• האם קיימת דחייה מפורשת בשכבה הראשונה? נתיב הדחייה חייב לשבת על אותה פני שטח כמו קבל, עם בולטות דומה. גלילה-כהסכמה ושימוש-מתמשך נכשלים ב-2022 Guidance.
• האם הקטגוריות פרטניות? הכרחי, אנליטיקה ושיווק חייבים להיות ניתנים לבקרה בנפרד.
• האם הודעת DPP5 ספציפית? אשר שהודעת הפרטיות מזהה משתמשי נתונים בפועל, מטרות ונמענים — לא boilerplate כללי.
• האם השפה מתאימה? עבור קהלים שעשויים לכלול דוברי סינית ילידים, הבאנר וההודעה צריכים להיות זמינים ב-Traditional Chinese (הסטנדרט בהונג קונג) כמו גם באנגלית.
• האם העברות חוצות גבולות מתועדות? Section 33 אינו תפעולי, אך PCPD מתייחס לאמצעי הגנה חוזיים כמצופים. זהה כל יעד שאינו הונג קונג ואת אמצעי ההגנה המאשר את ההעברה.
• האם רישום ההסכמה ברמת ביקורת? רשומות החלטות הסכמה עם חותמת זמן וגרסת באנר נדרשות למענה לחקירת ציות של PCPD.

היכן מתאים הונג קונג בערימה של מספר תחומי שיפוט

הונג קונג הוא משטר הגנת הנתונים הבוגר ביותר ב-Greater China ומשמש כנקודת כניסה de facto לזרימות נתונים חוצות גבולות בין Mainland China ושאר העולם. עבור מפרסמים הבונים לקראת פעולות פן-אסייתיות, ה-PDPO יושב לצד PDPA של סינגפור, APPI של יפן ו-PIPA של קוריאה הדרומית כארבעת המשטרים האסייתיים בעלי ההשלכות התפעוליות הרבות ביותר. ה-PDPO הוא המתיר ביותר מבין ארבעת המשטרים על הנייר אך הדורשני ביותר על איכות התיעוד, מפני שהאכיפה מונעת-החקירה של PCPD הופכת הודעת פרטיות כתובה היטב לקו ההגנה הבודד החזק ביותר. ארכיטקטורת CMP הבנויה לסטנדרטים אירופאיים מטפלת בעיקר ציות הונג קונג עם שני תוספות: תמיכה לשונית ב-Traditional Chinese ותבנית תיעוד העברה חוצת גבולות שמרמזת Section 33 גם כשאינה בתוקף רשמי. עבור מפעילים המשרתים את הונג קונג מ-offshore, העמדה המעשית היא להתייחס ל-2022 Guidance Note של PCPD כמסמך הסמכותי ולעצב נגד דפוסי הכישלון הספציפיים שלו ולא רק נגד טקסט PDPO הישן יותר.