PDPO 개요

PDPO는 개인 데이터의 수집, 정확성, 보유, 사용, 보안 및 공개를 규율하는 6개의 데이터 보호 원칙(DPP)을 중심으로 구성됩니다. 이 원칙들은 GDPR보다 거의 20년 앞서 있으며 약간 다른 용어를 사용하지만, 실질적인 기준은 해석을 통해 수렴되었습니다. DPP1(수집의 목적과 방법), DPP3(개인 데이터 사용), DPP5(일반적으로 이용 가능한 정보)는 온라인 추적과 가장 직접적으로 관련된 원칙입니다.

Ordinance는 개인 데이터의 수집, 보유, 처리 또는 사용을 통제하는 모든 데이터 사용자에게 적용됩니다. 영토적 도달 범위는 논란이 있는 영역이었습니다. PDPO는 역외 적용 원칙보다 앞서며, PCPD는 역사적으로 역외 집행에 관해 EDPB보다 보수적인 견해를 취했습니다. 실제로 PCPD는 홍콩 거주자를 대상으로 하거나 충분한 연결고리로 홍콩 데이터를 처리하는 역외 운영자에 대해 관할권을 주장하며, 홍콩 트래픽을 서비스하는 운영자는 역외 적용이 적용된다는 전제로 계획해야 합니다.

PDPO가 쿠키와 온라인 추적을 다루는 방법

PDPO에는 쿠키 특정 조항이 없습니다. 동의 및 정보 의무는 DPP와 온라인 추적 및 행동 광고에 관한 PCPD의 2022 Guidance Note에서 비롯됩니다. 이 지침은 아시아 쿠키 컴플라이언스에 관한 가장 명확한 문서 중 하나이며 EDPB Cookie Banner Taskforce 입장과 밀접하게 일치하는 기대치를 명확히 합니다.

비필수 추적에 대한 적극적 동의

PCPD의 입장은 비필수 추적에 대한 동의가 명시적이어야 한다는 것입니다. 묵시적 동의, 지속적 사용, 사전 체크된 상자는 온라인 맥락에서 해석될 때 DPP1의 "구체적이고 사전 인지된" 요건을 충족하지 않습니다. Guidance Note는 구체적으로 scroll-as-consent를 결함 있는 패턴으로 명명합니다.

세분화된 카테고리 컨트롤

배너는 사용자가 카테고리를 독립적으로 수락하고 거부할 수 있도록 해야 합니다. 지침은 동등한 거부 없는 단일 버튼 "모두 수락"을 구조적 결함으로 처리하고, 마케팅 쿠키를 필수적인 것으로 잘못 표시하는 것을 별도 위반으로 식별합니다.

개인정보 공지 내용

DPP5는 역사적으로 가장 적극적으로 집행된 원칙 중 하나였습니다. 개인정보 공지는 데이터 사용자, 목적, 수신자(이전 수신자 포함), DPP6(접근 및 정정)에 따른 권리 프레임워크, 그리고 문의를 위한 연락처를 식별해야 합니다. PCPD는 일반적인 보일러플레이트 공지가 DPP5를 충족하지 못한다고 명시적으로 밝혔습니다. 공개는 실제 처리를 반영해야 합니다.

국경 간 이전 (Section 33)

PDPO의 Section 33은 국경 간 이전을 규율하며, Ordinance 역사의 대부분 동안 체제의 가장 특이한 특징이었습니다. 이 조항은 1995년 통과되었지만 장관에 의해 시행된 적이 없습니다. 그럼에도 PCPD는 모델 계약 조항을 발행하고 홍콩 이외의 관할권으로의 이전에 대해 Section 33 스타일의 보호 장치를 실제로 요구되는 것으로 취급합니다. 법적 지위는 모호하지만, 운영적 기대는 GDPR의 Chapter V를 따릅니다.

PCPD의 집행 자세

PCPD는 세 가지 관찰 가능한 방식으로 더 큰 유럽 DPA와 다른 특유의 집행 스타일로 운영됩니다.

컴플라이언스 조사의 집중적 사용

PCPD의 주요 집행 도구는 컴플라이언스 조사이며, 이는 벌금이 아닌 집행 통지로 마무리됩니다. 통지는 명시된 기간 내 시정을 요구하며 일반적으로 금전적 제재 없이 해결됩니다. 민사 제재는 존재하지만 드물게 사용되었습니다.

집행 신호로서의 공개 논평

PCPD는 강력한 선례 설정 벌금 부재 시 판례법으로 기능하는 고프로파일 사건에 대한 상세한 조사 보고서를 발행합니다. 운영자들은 이러한 보고서를 공식 지침에 나타나지 않을 수 있는 구체적인 기대치를 명확히 하기 때문에 주의 깊게 읽습니다.

본토와의 협력

홍콩과 본토 데이터 흐름을 포함하는 국경 간 조사는 Cyberspace Administration of China와의 조율된 절차를 통해 점점 더 처리됩니다. PIPL의 역외 도달 범위와 Greater Bay Area 경제 프레임워크에서 홍콩의 위치는 이 협력을 대부분의 관할권보다 운영적으로 더 중요하게 만듭니다.

실용적인 컴플라이언스 체크리스트

홍콩 트래픽을 서비스하는 모든 쿠키 배너에 대해 답해야 할 6가지 구체적인 질문.

• 첫 번째 레이어에 명시적인 거부가 있는가? 거부 경로는 수락과 동일한 표면에 있어야 하며 비슷한 눈에 띔이 있어야 합니다. Scroll-as-consent와 지속적 사용은 2022 Guidance를 충족하지 못합니다.
• 카테고리가 세분화되어 있는가? 필수, 분석, 마케팅은 별도로 제어 가능해야 합니다.
• DPP5 공지가 구체적인가? 개인정보 공지가 실제 데이터 사용자, 목적, 수신자를 식별하는지 확인하세요. 일반 보일러플레이트가 아닌.
• 언어가 적절한가? 중국어 원어민 화자를 포함할 수 있는 대상에게는 배너와 공지가 Traditional Chinese(홍콩의 표준)와 영어로 이용 가능해야 합니다.
• 국경 간 이전이 문서화되어 있는가? Section 33은 시행되지 않지만, PCPD는 계약상 보호 장치를 기대되는 것으로 처리합니다. 홍콩 이외의 각 목적지와 이전을 승인하는 보호 장치를 식별하세요.
• 동의 로깅이 감사 수준인가? 타임스탬프와 배너 버전이 있는 동의 결정 기록은 PCPD 컴플라이언스 조사에 대응하기 위해 필요합니다.

다중 관할권 스택에서 홍콩의 위치

홍콩은 Greater China에서 가장 성숙한 데이터 보호 체제이며 Mainland China와 세계의 나머지 사이의 국경 간 데이터 흐름을 위한 사실상의 진입 지점으로 역할합니다. 범아시아 운영을 향해 구축하는 퍼블리셔들에게 PDPO는 싱가포르의 PDPA, 일본의 APPI, 한국의 PIPA와 함께 운영적으로 가장 중요한 4대 아시아 체제 중 하나입니다. PDPO는 서면상 4개 중 가장 허용적이지만 문서화 품질에서 가장 까다로운데, PCPD의 조사 기반 집행이 잘 작성된 개인정보 공지를 가장 강력한 단일 방어선으로 만들기 때문입니다. 유럽 기준에 맞게 구축된 CMP 아키텍처는 두 가지 추가 사항으로 홍콩 컴플라이언스의 대부분을 처리합니다. Traditional Chinese 언어 지원과 Section 33이 공식적으로 시행되지 않더라도 암시하는 국경 간 이전 문서화 패턴입니다. 홍콩을 역외에서 서비스하는 운영자들에게 실용적인 자세는 PCPD의 2022 Guidance Note를 권위 있는 문서로 취급하고 구식 PDPO 텍스트만이 아닌 그것의 구체적인 실패 패턴에 대응하여 설계하는 것입니다.