Conformité à la Personal Data (Privacy) Ordinance (PDPO) de Hong Kong
Pandectes GDPR Compliance aide les boutiques Shopify à respecter les exigences de la PDPO en informant clairement sur les cookies, en scannant et classant les cookies et en conservant les preuves de consentement.
Commencer gratuitement
L'application de consentement aux cookies n° 1 sur Shopify, adoptée par 185k boutiques
Qu’est-ce que la PDPO ?
La Personal Data (Privacy) Ordinance (PDPO), chapitre 486 des lois de Hong Kong, est la principale loi de Hong Kong sur la protection des données. Elle encadre la manière dont les « utilisateurs de données » (data users), c’est-à-dire toute personne qui contrôle la collecte, la conservation, le traitement ou l’utilisation de données personnelles, traitent les informations relatives aux personnes. Son application est supervisée par le Privacy Commissioner for Personal Data (PCPD).
Elle repose sur six principes de protection des données :
- Collecte : les données personnelles doivent être collectées de manière licite et loyale, pour une finalité liée aux activités de l’utilisateur de données, et sans dépasser ce qui est nécessaire. Au plus tard au moment de la collecte, les personnes doivent être informées de la finalité, des destinataires possibles des données, du caractère facultatif ou obligatoire de leur communication et de la manière de demander à y accéder et à les rectifier.
- Exactitude et conservation : les données doivent être exactes et ne pas être conservées plus longtemps que nécessaire.
- Utilisation : les données ne peuvent pas être utilisées pour une nouvelle finalité sans le consentement exprès et volontaire de la personne.
- Sécurité : les données doivent être protégées contre tout accès, traitement, effacement, perte ou utilisation non autorisés ou accidentels.
- Transparence : les utilisateurs de données doivent rendre publiques leurs politiques et pratiques en matière de données personnelles.
- Accès et rectification : les personnes peuvent demander une copie de leurs données et en demander la rectification.
La PDPO prévoit aussi des règles spécifiques sur l’utilisation des données personnelles à des fins de marketing direct, qui exige le consentement de la personne.
À qui s’applique la PDPO ?
La PDPO s’applique aux secteurs privé et public de Hong Kong et couvre toute entreprise qui collecte ou utilise des données personnelles à Hong Kong ou depuis Hong Kong. Les entreprises situées hors de Hong Kong qui collectent des données personnelles de clients de Hong Kong doivent considérer que la PDPO les concerne.
Que se passe-t-il si je ne respecte pas la PDPO ?
Le PCPD peut instruire des plaintes et, s’il constate un manquement, adresser un avis d’exécution (enforcement notice) enjoignant à l’utilisateur de données de prendre des mesures correctives et préventives. Les conséquences peuvent notamment être les suivantes :
- Non-respect d’un avis d’exécution : infraction pénale punie, en cas de première condamnation, d’une amende pouvant atteindre 50 000 HK$ et de 2 ans d’emprisonnement, plus une amende journalière pouvant atteindre 1 000 HK$ si l’infraction se poursuit.
- Infractions liées au marketing direct : amendes pouvant atteindre 500 000 HK$ et 3 ans d’emprisonnement, portées à 1 000 000 HK$ et 5 ans lorsque des données personnelles sont fournies à un tiers contre rémunération.
- Demandes d’indemnisation : les personnes peuvent demander réparation, par une action civile, du préjudice causé par un manquement.
- Publication des conclusions : le PCPD peut publier un rapport sur son enquête et ses recommandations lorsque l’intérêt public le justifie.
Quand la PDPO est-elle entrée en vigueur ?
La PDPO a été adoptée en 1995 et est entrée en vigueur en décembre 1996, à l’exception de certaines dispositions. D’importantes modifications en 2012 ont introduit les dispositions sur le marketing direct, et celles de 2021 ont fait du doxxing une infraction pénale.
Se conformer à la PDPO
La PDPO ne comporte pas de règle de consentement propre aux cookies comme le RGPD, mais les cookies et outils de suivi qui collectent des données personnelles sont soumis à ses principes. Pour une boutique Shopify qui vend à des clients de Hong Kong, cela signifie indiquer clairement aux visiteurs, au plus tard au moment de la collecte, quelles données personnelles sont collectées au moyen de cookies et d’outils similaires, pourquoi, et avec qui elles sont partagées, par exemple dans une bannière de cookies et une déclaration de collecte des informations personnelles (Personal Information Collection Statement) ou une politique de confidentialité. Si vous utilisez des données personnelles pour du marketing direct, vous devez d’abord obtenir le consentement du client, et l’utilisation de données pour une nouvelle finalité sans rapport exige un consentement exprès et volontaire.
La disposition de la PDPO qui restreindrait les transferts de données personnelles hors de Hong Kong n’est pas encore en application, mais le PCPD publie des clauses contractuelles types recommandées pour les transferts. Vous devez aussi être prêt à répondre aux demandes d’accès et de rectification.
Une plateforme de gestion du consentement (CMP) comme Pandectes GDPR Compliance vous aide pour tout ce qui se passe sur votre vitrine. Elle affiche une bannière de cookies et peut bloquer les cookies non essentiels jusqu’à ce que le visiteur donne son consentement, scanne et classe automatiquement les cookies de votre boutique, et génère une déclaration de cookies pour votre politique. Elle conserve des journaux de consentement comme preuve, vous aide à traiter les demandes des personnes concernées et vous permet de configurer la bannière par région grâce à la géolocalisation, afin que les visiteurs de Hong Kong voient une bannière adaptée à la PDPO.
La PDPO est en cours de révision et pourrait évoluer : faites vérifier votre configuration par un conseiller juridique si nécessaire.