Conformità alla Personal Data (Privacy) Ordinance (PDPO) di Hong Kong
Pandectes GDPR Compliance aiuta i negozi Shopify a rispettare i requisiti della PDPO informando chiaramente sui cookie, individuando e classificando i cookie e conservando i registri del consenso.
Inizia gratis
L'app di consenso ai cookie n. 1 per Shopify, scelta da 185k negozi
Cos’è la PDPO?
La Personal Data (Privacy) Ordinance (PDPO), capitolo 486 delle leggi di Hong Kong, è la principale legge sulla protezione dei dati di Hong Kong. Regola il modo in cui i “data user”, cioè chiunque controlli la raccolta, la conservazione, il trattamento o l’uso di dati personali, gestiscono le informazioni sulle persone. La sua applicazione è vigilata dal Privacy Commissioner for Personal Data (PCPD).
Il suo nucleo è costituito da sei principi di protezione dei dati:
- Raccolta: i dati personali devono essere raccolti in modo lecito e corretto, per una finalità legata alle attività del data user, e non oltre il necessario. Al momento della raccolta o prima, le persone devono essere informate della finalità, dei soggetti a cui i dati possono essere comunicati, del carattere volontario o meno del conferimento e di come chiedere l’accesso e la rettifica.
- Esattezza e conservazione: i dati devono essere esatti e non conservati più a lungo del necessario.
- Uso: i dati non possono essere usati per una nuova finalità senza il consenso espresso e volontario della persona.
- Sicurezza: i dati devono essere protetti da accessi, trattamenti, cancellazioni, perdite o usi non autorizzati o accidentali.
- Trasparenza: i data user devono rendere disponibili le proprie politiche e pratiche in materia di dati personali.
- Accesso e rettifica: le persone possono chiedere una copia dei propri dati e chiederne la rettifica.
La PDPO prevede anche regole specifiche sull’uso dei dati personali per il marketing diretto, che richiede il consenso della persona.
A chi si applica la PDPO?
La PDPO si applica sia al settore privato sia a quello pubblico di Hong Kong e riguarda qualsiasi azienda che raccolga o usi dati personali a Hong Kong o da Hong Kong. Le aziende al di fuori di Hong Kong che raccolgono dati personali di clienti di Hong Kong dovrebbero considerare la PDPO rilevante anche per loro.
Cosa succede se non rispetto la PDPO?
Il PCPD può indagare sui reclami e, se accerta una violazione, emettere un avviso di esecuzione (enforcement notice) che impone al data user di adottare misure correttive e preventive. Le conseguenze possono includere:
- Violazione di un avviso di esecuzione: un reato punibile, alla prima condanna, con una multa fino a 50.000 HK$ e la reclusione per 2 anni, oltre a una multa giornaliera fino a 1.000 HK$ se il reato prosegue.
- Reati legati al marketing diretto: multe fino a 500.000 HK$ e la reclusione per 3 anni, che salgono a 1.000.000 HK$ e 5 anni quando i dati personali vengono forniti a terzi a scopo di lucro.
- Richieste di risarcimento: le persone possono chiedere un risarcimento con un’azione civile per i danni causati da una violazione.
- Pubblicazione degli esiti: il PCPD può pubblicare un rapporto sulla propria indagine e le relative raccomandazioni quando ciò è nell’interesse pubblico.
Quando è entrata in vigore la PDPO?
La PDPO è stata approvata nel 1995 ed è entrata in vigore nel dicembre 1996, salvo alcune disposizioni. Importanti modifiche del 2012 hanno introdotto le disposizioni sul marketing diretto, e le modifiche del 2021 hanno reso reato il doxxing.
Come rispettare la PDPO
La PDPO non prevede una regola sul consenso specifica per i cookie come il GDPR, ma i cookie e gli strumenti di tracciamento che raccolgono dati personali sono soggetti ai suoi principi. Per un negozio Shopify che vende a clienti di Hong Kong, ciò significa informare chiaramente i visitatori, al momento della raccolta o prima, su quali dati personali vengono raccolti tramite cookie e strumenti simili, perché e con chi vengono condivisi, ad esempio in un banner dei cookie e in una Personal Information Collection Statement o informativa sulla privacy. Se usa dati personali per il marketing diretto, deve prima ottenere il consenso del cliente, e l’uso dei dati per una finalità nuova e non collegata richiede un consenso espresso e volontario.
La disposizione della PDPO che limiterebbe i trasferimenti di dati personali al di fuori di Hong Kong non è ancora operativa, ma il PCPD pubblica clausole contrattuali tipo consigliate per i trasferimenti. Dovrebbe inoltre essere pronto a rispondere alle richieste di accesso e rettifica dei dati.
Una piattaforma di gestione del consenso (CMP) come Pandectes GDPR Compliance La aiuta con la parte di questi obblighi che riguarda la vetrina del negozio. Mostra un banner dei cookie e può bloccare i cookie non essenziali finché il visitatore non dà il consenso, individua e classifica automaticamente i cookie del Suo negozio e genera una dichiarazione dei cookie per la Sua informativa. Conserva i registri del consenso come prova del consenso, La aiuta a gestire le richieste degli interessati e Le permette di configurare il banner per area geografica tramite geolocalizzazione, così i visitatori di Hong Kong possono vedere un banner adatto alla PDPO.
La PDPO è in fase di revisione e potrebbe cambiare, quindi, se opportuno, verifichi la Sua configurazione con un consulente legale.