PDPO у загальних рисах

PDPO організований навколо шести Принципів захисту даних (DPP), які регулюють збір, точність, зберігання, використання, безпеку та відкритість персональних даних. Принципи передують GDPR майже на два десятиліття і використовують дещо відмінну термінологію, проте змістовні стандарти зблизились через тлумачення. DPP1 (мета і спосіб збору), DPP3 (використання персональних даних) і DPP5 (загальнодоступна інформація) є принципами, що найбезпосередніше стосуються онлайн-відстеження.

Ордонанс поширюється на будь-якого користувача даних — термін Гонконгу для того, що GDPR називає контролером, — який контролює збір, зберігання, обробку або використання персональних даних. Територіальна сфера застосування була спірною областю: PDPO передує позатериторіальним доктринам, а PCPD історично займав більш консервативну позицію, ніж EDPB, щодо позакордонного застосування. На практиці PCPD стверджує юрисдикцію щодо офшорних операторів, які орієнтуються на резидентів Гонконгу або обробляють дані Гонконгу з достатнім зв'язком, і оператори, що обслуговують трафік Гонконгу, мають планувати, ніби позатериторіальне охоплення застосовується.

Як PDPO регулює файли cookie та онлайн-відстеження

PDPO не містить спеціального положення щодо файлів cookie; зобов'язання щодо згоди та інформування випливають із DPP та 2022 Guidance Note PCPD щодо онлайн-відстеження та поведінкової реклами. Настанова є одним із найчіткіших документів щодо азійської відповідності файлів cookie і формулює очікування, що тісно узгоджуються з позицією EDPB Cookie Banner Taskforce.

Стверджувальна згода для необовʼязкового відстеження

Позиція PCPD полягає в тому, що згода повинна бути явною для необовʼязкового відстеження. Мовчазна згода, продовження використання та попередньо позначені прапорці не задовольняють вимогу DPP1 щодо конкретності та поінформованості при тлумаченні в онлайн-контексті. У настановній записці scroll-as-consent прямо названо дефектним шаблоном.

Детальне управління категоріями

Банери повинні дозволяти користувачу приймати та відхиляти категорії незалежно. Настанова розглядає єдину кнопку Прийняти все без еквівалентного відхилення як структурний дефект і визначає неправильне маркування маркетингових файлів cookie як суворо необхідних як окреме порушення.

Зміст повідомлення про конфіденційність

DPP5 історично був одним із найбільш активно застосовуваних принципів. Повідомлення про конфіденційність повинні ідентифікувати користувача даних, цілі, отримувачів (включаючи отримувачів передачі), рамку прав відповідно до DPP6 (доступ і виправлення) та контактний пункт для запитів. PCPD чітко заявив, що загальні типові повідомлення не задовольняють DPP5 — розкриття повинне відображати фактичну обробку.

Транскордонна передача (Section 33)

Section 33 PDPO регулює транскордонні передачі і протягом більшої частини історії Ордонансу був найнезвичнішою особливістю режиму: розділ було прийнято у 1995 році, але він так і не набрав чинності за рішенням Секретаря. Проте PCPD видав модельні договірні застереження і розглядає гарантії у стилі Section 33 як практично обов'язкові для передач до юрисдикцій за межами Гонконгу. Правовий статус є неоднозначним — Section 33 є законом, але не операційним — проте операційне очікування відповідає Chapter V GDPR.

Правозастосовна позиція PCPD

PCPD діє з характерним правозастосовним стилем, що відрізняється від великих європейських органів із захисту даних трьома помітними способами.

Широке використання перевірок відповідності

Основним інструментом правозастосування PCPD є перевірка відповідності, яка завершується повідомленням про виконання, а не штрафом. Повідомлення вимагають виправлення у визначені строки і зазвичай вирішуються без грошового стягнення. Цивільні санкції існують, але застосовувалися рідко.

Публічні коментарі як сигнал правозастосування

PCPD публікує детальні звіти про розслідування гучних справ, які функціонують як прецедентне право за відсутності значних штрафів, що встановлюють прецедент. Оператори уважно читають ці звіти, оскільки вони формулюють конкретні очікування, які можуть не з'являтися у формальних настановах.

Координація з материком

Транскордонні розслідування, що стосуються потоків даних між Гонконгом і Mainland China, дедалі більше ведуться через скоординовані процедури з Cyberspace Administration of China. Позатериторіальне охоплення PIPL і позиція Гонконгу в економічній рамці Greater Bay Area роблять цю координацію більш операційно значущою, ніж це було б у більшості юрисдикцій.

Практичний контрольний список відповідності

Шість конкретних питань, на які слід відповісти для будь-якого банера файлів cookie, що обслуговує трафік Гонконгу.

• Чи є явне відхилення на першому шарі? Шлях відхилення повинен знаходитися на тій самій поверхні, що й прийняття, з порівнянною помітністю. Scroll-as-consent і продовження використання не відповідають 2022 Guidance.
• Чи є категорії деталізованими? Необхідні, аналітичні та маркетингові категорії повинні бути окремо керованими.
• Чи є повідомлення DPP5 конкретним? Підтвердіть, що повідомлення про конфіденційність ідентифікує фактичних користувачів даних, цілі та отримувачів.
• Чи відповідна мова? Для аудиторій, що можуть включати носіїв китайської мови, банер і повідомлення повинні бути доступні мовою Traditional Chinese (стандарт у Гонконгу) та англійською.
• Чи задокументовані транскордонні передачі? Section 33 не є операційним, але PCPD розглядає договірні гарантії як очікувані. Визначте кожне місце призначення за межами Гонконгу та гарантію, що уповноважує передачу.
• Чи ведеться журнал згоди на рівні аудиту? Записи рішень про згоду з часовою міткою та версією банера необхідні для відповіді на перевірку відповідності PCPD.

Місце Гонконгу у багатоюрисдикційному стеку

Гонконг є найзрілішим режимом захисту даних у Greater China і слугує фактичним вхідним пунктом для транскордонних потоків даних між Mainland China та рештою світу. Для видавців, що будують pan-Asian операції, PDPO стоїть поряд із PDPA Сингапуру, APPI Японії та PIPA Південної Кореї як чотири найбільш операційно значущих азійських режими. PDPO є найбільш дозвільним із чотирьох на папері, але найвимогливішим щодо якості документації, оскільки правозастосування, кероване розслідуваннями PCPD, робить добре написане повідомлення про конфіденційність єдиною найсильнішою лінією захисту. Архітектура CMP, побудована відповідно до європейських стандартів, обробляє більшу частину відповідності Гонконгу з двома доповненнями: підтримка мови Traditional Chinese і модель документування транскордонних передач, яку Section 33 передбачає навіть тоді, коли офіційно не є чинним. Для операторів, що обслуговують Гонконг з-за кордону, практична позиція полягає в тому, щоб розглядати 2022 Guidance Note PCPD як авторитетний документ і проектувати проти його конкретних шаблонів збоїв, а не лише проти старішого тексту PDPO.