PDPO в общих чертах

PDPO организовано вокруг шести Принципов защиты данных (DPP), которые управляют сбором, точностью, хранением, использованием, безопасностью и открытостью персональных данных. Принципы предшествуют GDPR почти на два десятилетия и используют несколько иную терминологию, но материальные стандарты сошлись через интерпретацию. DPP1 (цель и способ сбора), DPP3 (использование персональных данных) и DPP5 (общедоступная информация) — это принципы, наиболее напрямую релевантные онлайн-отслеживанию.

Постановление применяется к любому пользователю данных — гонконгский термин для того, что GDPR называет контролёром — который контролирует сбор, хранение, обработку или использование персональных данных. Территориальный охват был спорной областью: PDPO предшествует экстерриториальным доктринам, и PCPD исторически занимало более консервативную позицию, чем EDPB, по офшорному правоприменению. На практике PCPD утверждает юрисдикцию над офшорными операторами, которые нацеливаются на жителей Гонконга или обрабатывают гонконгские данные с достаточной связью, и операторам, обслуживающим гонконгский трафик, следует планировать так, как если бы применялся экстерриториальный охват.

Как PDPO трактует cookie и онлайн-отслеживание

PDPO не содержит специфичного для cookie положения; обязательства по согласию и информации вытекают из DPP и из Руководящей записки PCPD 2022 года по онлайн-отслеживанию и поведенческой рекламе. Руководство является одним из самых чётких документов по азиатскому соответствию cookie и формулирует ожидания, которые тесно согласуются с позицией Целевой группы EDPB по баннерам cookie.

Утвердительное согласие на неосновное отслеживание

Позиция PCPD состоит в том, что согласие должно быть явным для неосновного отслеживания. Подразумеваемое согласие, продолжение использования и предварительно отмеченные флажки не удовлетворяют требованию «конкретный и информированный» DPP1 при интерпретации в онлайн-контексте. Руководящая записка конкретно называет прокрутку-как-согласие дефектным паттерном.

Гранулярные элементы управления категориями

Баннеры должны позволять пользователю принимать и отклонять категории независимо. Руководство трактует однокнопочное «Принять всё» без эквивалентного отклонения как структурный дефект и определяет неправильную маркировку маркетинговых cookie как строго необходимых как отдельное нарушение.

Содержание уведомления о конфиденциальности

DPP5 исторически был одним из наиболее активно применяемых принципов. Уведомления о конфиденциальности должны идентифицировать пользователя данных, цели, получателей (включая получателей передачи), систему прав по DPP6 (доступ и исправление) и контактный пункт для запросов. PCPD было явным в том, что общие шаблонные уведомления не проходят DPP5 — раскрытие должно отражать фактическую обработку.

Трансграничная передача (Раздел 33)

Раздел 33 PDPO управляет трансграничными передачами и был, на протяжении большей части истории Постановления, самой необычной чертой режима: раздел был принят в 1995 году, но никогда не вводился в силу Секретарём. PCPD тем не менее выпустило типовые договорные оговорки и трактует гарантии в стиле Раздела 33 как практически требуемые для передач в негонконгские юрисдикции. Правовой статус неоднозначен — Раздел 33 является законом, но не действующим — но операционное ожидание отслеживает Главу V GDPR.

Позиция правоприменения PCPD

PCPD работает с отличительным стилем правоприменения, который отличается от более крупных европейских DPA тремя наблюдаемыми способами.

Активное использование расследований соответствия

Основным инструментом правоприменения PCPD является расследование соответствия, которое завершается уведомлением о правоприменении, а не штрафом. Уведомления требуют устранения недостатков в установленные сроки и обычно разрешаются без денежного наказания. Гражданские наказания существуют, но использовались экономно.

Публичные комментарии как сигнал правоприменения

PCPD публикует подробные отчёты о расследованиях для громких дел, которые функционируют как прецедентное право в отсутствие сильных штрафов, устанавливающих прецеденты. Операторы внимательно читают эти отчёты, потому что они формулируют конкретные ожидания, которые могут не появляться в формальном руководстве.

Координация с материком

Трансграничные расследования, вовлекающие потоки данных Гонконга и материка, всё чаще обрабатываются через скоординированные процедуры с Администрацией киберпространства Китая. Экстерриториальный охват PIPL и положение Гонконга в экономической системе Большого залива делают эту координацию более операционно значимой, чем она была бы в большинстве юрисдикций.

Практический контрольный список соответствия

Шесть конкретных вопросов, на которые нужно ответить для любого cookie-баннера, обслуживающего гонконгский трафик.

• Есть ли явное отклонение на первом уровне? Путь отклонения должен находиться на той же поверхности, что и принятие, с сопоставимой заметностью. Прокрутка-как-согласие и продолжение-использования не проходят Руководство 2022 года.
• Гранулярны ли категории? Необходимые, аналитические и маркетинговые должны быть отдельно управляемыми.
• Конкретно ли уведомление DPP5? Подтвердите, что уведомление о конфиденциальности идентифицирует фактических пользователей данных, цели и получателей — не общий шаблон.
• Подходящий ли язык? Для аудиторий, которые могут включать носителей китайского, баннер и уведомление должны быть доступны на традиционном китайском (стандарт в Гонконге), а также на английском.
• Задокументированы ли трансграничные передачи? Раздел 33 не действует, но PCPD трактует договорные гарантии как ожидаемые. Определите каждое негонконгское направление и гарантию, авторизующую передачу.
• Является ли логирование согласия уровнем аудита? Записи решений о согласии с временной меткой и версией баннера нужны для ответа на расследование соответствия PCPD.

Где Гонконг вписывается в многоюрисдикционный стек

Гонконг — самый зрелый режим защиты данных в Большом Китае и служит фактической точкой входа для трансграничных потоков данных между материковым Китаем и остальным миром. Для издателей, строящих в направлении паназиатских операций, PDPO стоит рядом с PDPA Сингапура, APPI Японии и PIPA Южной Кореи как четыре наиболее операционно значимых азиатских режима. PDPO является самым разрешительным из четырёх на бумаге, но самым требовательным к качеству документации, потому что правоприменение PCPD, движимое расследованиями, делает хорошо написанное уведомление о конфиденциальности самой сильной единственной линией защиты. Архитектура CMP, построенная по европейским стандартам, обрабатывает основную часть соответствия Гонконга с двумя дополнениями: поддержка традиционного китайского языка и паттерн документации трансграничной передачи, который подразумевает Раздел 33, даже когда он формально не действует. Для операторов, обслуживающих Гонконг из офшора, практическая позиция — трактовать Руководящую записку PCPD 2022 года как авторитетный документ и проектировать против её конкретных паттернов сбоя, а не против старого текста PDPO.