Cumplimiento de la Personal Data (Privacy) Ordinance (PDPO) de Hong Kong
Pandectes GDPR Compliance ayuda a las tiendas Shopify a cumplir los requisitos de la PDPO: informa con claridad sobre las cookies, las detecta y clasifica, y conserva registros del consentimiento.
Empiece gratis
La app de consentimiento de cookies n.º 1 para Shopify, con la confianza de 185k tiendas
¿Qué es la PDPO?
La Personal Data (Privacy) Ordinance (PDPO), Ordenanza de Datos Personales (Privacidad), capítulo 486 de las Leyes de Hong Kong, es la principal ley de protección de datos de Hong Kong. Regula cómo los “usuarios de datos” (data users), es decir, quienes controlan la recogida, conservación, tratamiento o uso de datos personales, gestionan la información sobre las personas. La supervisa el Comisionado de Privacidad de Datos Personales (Privacy Commissioner for Personal Data, PCPD).
Su núcleo son seis principios de protección de datos:
- Recogida: los datos personales deben recogerse de forma lícita y leal, con una finalidad relacionada con las actividades del usuario de datos, y sin exceder lo necesario. En el momento de la recogida o antes, se debe informar a las personas de la finalidad, de a quién pueden comunicarse los datos, de si facilitarlos es voluntario y de cómo solicitar el acceso y la rectificación.
- Exactitud y conservación: los datos deben ser exactos y no conservarse más tiempo del necesario.
- Uso: los datos no pueden usarse para una nueva finalidad sin el consentimiento expreso y voluntario de la persona.
- Seguridad: los datos deben protegerse frente al acceso, tratamiento, supresión, pérdida o uso no autorizados o accidentales.
- Transparencia: los usuarios de datos deben poner a disposición sus políticas y prácticas en materia de datos personales.
- Acceso y rectificación: las personas pueden pedir una copia de sus datos y solicitar que se rectifiquen.
La PDPO también contiene normas específicas sobre el uso de datos personales para marketing directo, que requiere el consentimiento de la persona.
¿A quién se aplica la PDPO?
La PDPO se aplica tanto al sector privado como al público de Hong Kong, y abarca a cualquier empresa que recoja o use datos personales en Hong Kong o desde Hong Kong. Las empresas de fuera de Hong Kong que recogen datos personales de clientes de Hong Kong deben considerar que la PDPO les afecta.
¿Qué ocurre si no cumplo la PDPO?
El PCPD puede investigar reclamaciones y, si detecta una infracción, emitir un requerimiento de ejecución (enforcement notice) que obligue al usuario de datos a adoptar medidas correctoras y preventivas. Las consecuencias pueden incluir:
- Incumplir un requerimiento de ejecución: delito penal castigado, en una primera condena, con una multa de hasta 50.000 HK$ y 2 años de prisión, más una multa diaria de hasta 1.000 HK$ si el delito continúa.
- Delitos de marketing directo: multas de hasta 500.000 HK$ y 3 años de prisión, que llegan a 1.000.000 HK$ y 5 años cuando los datos personales se ceden a un tercero con ánimo de lucro.
- Reclamaciones de indemnización: las personas pueden reclamar una indemnización por vía civil por los daños causados por una infracción.
- Publicación de conclusiones: el PCPD puede publicar un informe de su investigación y sus recomendaciones cuando sea de interés público.
¿Cuándo entró en vigor la PDPO?
La PDPO se aprobó en 1995 y entró en vigor en diciembre de 1996, salvo determinadas disposiciones. Las importantes modificaciones de 2012 introdujeron las disposiciones sobre marketing directo, y las de 2021 tipificaron el doxing como delito.
Cómo cumplir la PDPO
La PDPO no tiene una norma de consentimiento específica para las cookies como el RGPD, pero las cookies y herramientas de seguimiento que recogen datos personales están sujetas a sus principios. Para una tienda Shopify que vende a clientes de Hong Kong, eso significa informar a los visitantes con claridad, en el momento de la recogida o antes, de qué datos personales se recogen mediante cookies y herramientas similares, por qué y con quién se comparten, por ejemplo en un banner de cookies y en una declaración de recogida de información personal (Personal Information Collection Statement) o una política de privacidad. Si usa datos personales para marketing directo, debe obtener antes el consentimiento del cliente, y usar los datos para una nueva finalidad no relacionada requiere un consentimiento expreso y voluntario.
La disposición de la PDPO que restringiría las transferencias de datos personales fuera de Hong Kong todavía no está en vigor, pero el PCPD publica cláusulas contractuales tipo recomendadas para las transferencias. También debe estar preparado para responder a las solicitudes de acceso y rectificación de datos.
Una plataforma de gestión del consentimiento (CMP) como Pandectes GDPR Compliance le ayuda con la parte de todo esto que ocurre en su tienda online. Muestra un banner de cookies y puede bloquear las cookies no esenciales hasta que el visitante dé su consentimiento, detecta y clasifica automáticamente las cookies de su tienda y genera una declaración de cookies para su política. Conserva registros del consentimiento como prueba, le ayuda a gestionar las solicitudes de los interesados y le permite configurar el banner por región mediante geolocalización, para que los visitantes de Hong Kong vean un banner adaptado a la PDPO.
La PDPO está en revisión y puede cambiar, así que revise su configuración con un asesor legal cuando proceda.