PDPO โดยสรุป

PDPO จัดระบบรอบหลักการคุ้มครองข้อมูลหก (DPP) ประการที่ควบคุมการเก็บรวบรวม ความถูกต้อง การเก็บรักษา การใช้ ความปลอดภัย และการเปิดเผยข้อมูลส่วนบุคคล หลักการเหล่านี้มาก่อน GDPR เกือบสองทศวรรษและใช้คำศัพท์ที่แตกต่างกันเล็กน้อย แต่มาตรฐานเชิงเนื้อหาได้บรรจบกันผ่านการตีความ DPP1 (วัตถุประสงค์และวิธีการเก็บรวบรวม) DPP3 (การใช้ข้อมูลส่วนบุคคล) และ DPP5 (ข้อมูลที่พร้อมใช้งานทั่วไป) เป็นหลักการที่เกี่ยวข้องโดยตรงมากที่สุดกับการติดตามออนไลน์

กฎหมายฉบับนี้ใช้บังคับกับผู้ใช้ข้อมูลทุกราย ซึ่งเป็นคำของฮ่องกงสำหรับสิ่งที่ GDPR เรียกว่าผู้ควบคุม ที่ควบคุมการเก็บรวบรวม การถือครอง การประมวลผล หรือการใช้ข้อมูลส่วนบุคคล ขอบเขตดินแดนเป็นพื้นที่ที่มีข้อโต้แย้ง: PDPO มาก่อนหลักคำสอนนอกอาณาเขต และ PCPD มีมุมมองที่อนุรักษ์นิยมกว่า EDPB ในด้านการบังคับใช้นอกประเทศในประวัติศาสตร์ ในทางปฏิบัติ PCPD อ้างเขตอำนาจศาลเหนือผู้ดำเนินการนอกชายฝั่งที่กำหนดเป้าหมายผู้อยู่อาศัยในฮ่องกงหรือประมวลผลข้อมูลฮ่องกงด้วยความเชื่อมโยงที่เพียงพอ และผู้ดำเนินการที่ให้บริการทราฟฟิกฮ่องกงควรวางแผนโดยถือว่าการบังคับใช้นอกอาณาเขตมีผลบังคับ

PDPO ปฏิบัติต่อคุกกี้และการติดตามออนไลน์อย่างไร

PDPO ไม่มีข้อกำหนดเฉพาะสำหรับคุกกี้ ภาระผูกพันด้านการยินยอมและข้อมูลมาจาก DPP และจาก 2022 Guidance Note ของ PCPD เกี่ยวกับการติดตามออนไลน์และการโฆษณาตามพฤติกรรม แนวทางนี้เป็นหนึ่งในเอกสารที่ชัดเจนที่สุดเกี่ยวกับการปฏิบัติตามคุกกี้ของเอเชียและระบุความคาดหวังที่สอดคล้องอย่างใกล้ชิดกับจุดยืนของ EDPB Cookie Banner Taskforce

การยินยอมอย่างชัดแจ้งสำหรับการติดตามที่ไม่จำเป็น

จุดยืนของ PCPD คือการยินยอมต้องชัดแจ้งสำหรับการติดตามที่ไม่จำเป็น การยินยอมโดยนัย การใช้งานต่อเนื่อง และช่องที่ทำเครื่องหมายไว้ล่วงหน้าไม่เป็นไปตามข้อกำหนดเฉพาะเจาะจงและได้รับทราบ ของ DPP1 เมื่อตีความในบริบทออนไลน์ บันทึกแนวทางระบุชื่อ scroll-as-consent โดยเฉพาะว่าเป็นรูปแบบที่บกพร่อง

การควบคุมหมวดหมู่แบบละเอียด

แบนเนอร์ต้องอนุญาตให้ผู้ใช้ยอมรับและปฏิเสธหมวดหมู่อย่างอิสระ แนวทางถือว่าปุ่มยอมรับทั้งหมด ปุ่มเดียวโดยไม่มีการปฏิเสธที่เทียบเท่าเป็นข้อบกพร่องเชิงโครงสร้าง และระบุการติดฉลากผิดสำหรับคุกกี้การตลาดว่าจำเป็นอย่างเคร่งครัดเป็นการละเมิดแยกต่างหาก

เนื้อหาของประกาศความเป็นส่วนตัว

DPP5 มีประวัติศาสตร์เป็นหนึ่งในหลักการที่บังคับใช้อย่างแข็งขันที่สุด ประกาศความเป็นส่วนตัวต้องระบุผู้ใช้ข้อมูล วัตถุประสงค์ ผู้รับ (รวมถึงผู้รับการโอน) กรอบสิทธิภายใต้ DPP6 (การเข้าถึงและการแก้ไข) และจุดติดต่อสำหรับการสอบถาม PCPD ระบุอย่างชัดเจนว่าประกาศทั่วไปแบบสำเร็จรูปไม่เป็นไปตาม DPP5 การเปิดเผยต้องสะท้อนการประมวลผลจริง

การโอนข้ามพรมแดน (Section 33)

Section 33 ของ PDPO ควบคุมการโอนข้ามพรมแดน และตลอดประวัติศาสตร์ส่วนใหญ่ของกฎหมาย ถือเป็นลักษณะที่ผิดปกติที่สุดของระบอบ: ส่วนนี้ผ่านในปี 2538 แต่ไม่เคยถูกบังคับใช้โดยเลขานุการ แม้กระนั้น PCPD ได้ออกข้อกำหนดตามสัญญาต้นแบบและถือว่ามาตรการป้องกันในรูปแบบ Section 33 เป็นสิ่งที่จำเป็นในทางปฏิบัติสำหรับการโอนไปยังเขตอำนาจศาลที่ไม่ใช่ฮ่องกง สถานะทางกฎหมายมีความกำกวม — Section 33 เป็นกฎหมายแต่ไม่สามารถใช้งานได้ — แต่ความคาดหวังในการดำเนินงานเป็นไปตาม Chapter V ของ GDPR

ท่าทีการบังคับใช้ของ PCPD

PCPD ดำเนินการด้วยรูปแบบการบังคับใช้ที่โดดเด่นซึ่งแตกต่างจากหน่วยงานคุ้มครองข้อมูลขนาดใหญ่ของยุโรปในสามวิธีที่สังเกตได้

การใช้การสอบสวนการปฏิบัติตามกฎอย่างกว้างขวาง

เครื่องมือบังคับใช้หลักของ PCPD คือการสอบสวนการปฏิบัติตามกฎ ซึ่งสิ้นสุดด้วยหนังสือบังคับใช้มากกว่าการปรับ หนังสือเหล่านี้กำหนดให้แก้ไขภายในกรอบเวลาที่ระบุและมักได้รับการแก้ไขโดยไม่มีค่าปรับทางการเงิน บทลงโทษทางแพ่งมีอยู่แต่ถูกใช้อย่างประหยัด

ความคิดเห็นสาธารณะเป็นสัญญาณการบังคับใช้

PCPD เผยแพร่รายงานการสอบสวนโดยละเอียดสำหรับกรณีที่มีชื่อเสียงสูงซึ่งทำหน้าที่เป็นกฎหมายกรณีในกรณีที่ไม่มีค่าปรับที่สร้างบรรทัดฐานที่แข็งแกร่ง ผู้ดำเนินการอ่านรายงานเหล่านี้อย่างระมัดระวังเพราะระบุความคาดหวังเฉพาะที่อาจไม่ปรากฏในแนวทางอย่างเป็นทางการ

การประสานงานกับแผ่นดินใหญ่

การสอบสวนข้ามพรมแดนที่เกี่ยวข้องกับการไหลเวียนของข้อมูลฮ่องกงและ Mainland China ได้รับการจัดการมากขึ้นเรื่อยๆ ผ่านขั้นตอนที่ประสานงานกับ Cyberspace Administration of China การบังคับใช้นอกอาณาเขตของ PIPL และตำแหน่งของฮ่องกงในกรอบเศรษฐกิจของ Greater Bay Area ทำให้การประสานงานนี้มีความสำคัญในการดำเนินงานมากกว่าที่จะเป็นในเขตอำนาจศาลส่วนใหญ่

รายการตรวจสอบการปฏิบัติตามกฎเชิงปฏิบัติ

หกคำถามที่เป็นรูปธรรมที่ต้องตอบสำหรับแบนเนอร์คุกกี้ใดๆ ที่ให้บริการทราฟฟิกฮ่องกง

• มีการปฏิเสธที่ชัดแจ้งในชั้นแรกหรือไม่? เส้นทางการปฏิเสธต้องอยู่บนพื้นผิวเดียวกับการยอมรับ โดยมีความโดดเด่นที่เทียบเคียงกันได้ Scroll-as-consent และการใช้งานต่อเนื่องไม่ผ่าน 2022 Guidance
• หมวดหมู่มีความละเอียดหรือไม่? ที่จำเป็น การวิเคราะห์ และการตลาดต้องสามารถควบคุมได้แยกต่างหาก
• ประกาศ DPP5 มีความเฉพาะเจาะจงหรือไม่? ยืนยันว่าประกาศความเป็นส่วนตัวระบุผู้ใช้ข้อมูลจริง วัตถุประสงค์ และผู้รับ ไม่ใช่แบบฟอร์มทั่วไป
• ภาษาเหมาะสมหรือไม่? สำหรับผู้ชมที่อาจรวมถึงผู้พูดภาษาจีนเป็นภาษาแม่ แบนเนอร์และประกาศควรมีให้ใน Traditional Chinese (มาตรฐานในฮ่องกง) รวมถึงภาษาอังกฤษ
• การโอนข้ามพรมแดนได้รับการบันทึกหรือไม่? Section 33 ไม่สามารถใช้งานได้ แต่ PCPD ถือว่ามาตรการป้องกันตามสัญญาเป็นสิ่งที่คาดหวัง ระบุปลายทางแต่ละแห่งที่ไม่ใช่ฮ่องกงและมาตรการป้องกันที่อนุมัติการโอน
• การบันทึกการยินยอมอยู่ในระดับการตรวจสอบหรือไม่? บันทึกการตัดสินใจยินยอมพร้อมการประทับเวลาและเวอร์ชันแบนเนอร์จำเป็นสำหรับการตอบสนองต่อการสอบสวนการปฏิบัติตามกฎของ PCPD

ฮ่องกงเหมาะกับสแต็กหลายเขตอำนาจศาลอย่างไร

ฮ่องกงเป็นระบอบการคุ้มครองข้อมูลที่เป็นผู้ใหญ่ที่สุดใน Greater China และทำหน้าที่เป็นจุดเข้าสู่ระบบ de facto สำหรับการไหลเวียนของข้อมูลข้ามพรมแดนระหว่าง Mainland China และส่วนอื่นๆ ของโลก สำหรับผู้เผยแพร่ที่กำลังสร้างสู่การดำเนินงานแบบ pan-Asian PDPO อยู่ข้างๆ PDPA ของสิงคโปร์ APPI ของญี่ปุ่น และ PIPA ของเกาหลีใต้ในฐานะระบอบเอเชียสี่อันที่มีผลกระทบในการดำเนินงานมากที่สุด PDPO มีความผ่อนปรนมากที่สุดในสี่อันบนกระดาษแต่ต้องการคุณภาพเอกสารสูงสุด เพราะการบังคับใช้ที่ขับเคลื่อนด้วยการสอบสวนของ PCPD ทำให้ประกาศความเป็นส่วนตัวที่เขียนดีเป็นแนวป้องกันเดี่ยวที่แข็งแกร่งที่สุด สถาปัตยกรรม CMP ที่สร้างตามมาตรฐานยุโรปจัดการการปฏิบัติตามส่วนใหญ่ของฮ่องกงด้วยสองส่วนเพิ่มเติม: การสนับสนุนภาษา Traditional Chinese และรูปแบบเอกสารการโอนข้ามพรมแดนที่ Section 33 บอกเป็นนัยแม้เมื่อไม่ได้บังคับใช้อย่างเป็นทางการ สำหรับผู้ดำเนินการที่ให้บริการฮ่องกงจากนอกประเทศ ท่าทีในทางปฏิบัติคือถือว่า 2022 Guidance Note ของ PCPD เป็นเอกสารที่มีอำนาจและออกแบบต่อต้านรูปแบบความล้มเหลวเฉพาะของมันมากกว่าข้อความ PDPO ที่เก่ากว่าเพียงอย่างเดียว