Voldoen aan de Hong Kong Personal Data (Privacy) Ordinance (PDPO)
Pandectes GDPR Compliance helpt Shopify-winkels te voldoen aan de eisen van de PDPO met duidelijke informatie over cookies, het scannen en indelen van cookies en het bijhouden van toestemmingen.
Gratis starten
De #1 app voor cookietoestemming op Shopify, vertrouwd door 185k winkels
Wat is de PDPO?
De Personal Data (Privacy) Ordinance (PDPO), hoofdstuk 486 van de wetten van Hongkong, is de belangrijkste wet op de gegevensbescherming in Hongkong. De wet regelt hoe “gegevensgebruikers” (data users), dat wil zeggen iedereen die zeggenschap heeft over het verzamelen, bewaren, verwerken of gebruiken van persoonsgegevens, met informatie over mensen omgaan. Het toezicht ligt bij de Privacy Commissioner for Personal Data (PCPD).
De kern van de wet bestaat uit zes beginselen van gegevensbescherming:
- Verzamelen: persoonsgegevens moeten rechtmatig en eerlijk worden verzameld, voor een doel dat verband houdt met de activiteiten van de gegevensgebruiker, en niet meer dan nodig. Bij of vóór het verzamelen moeten mensen te horen krijgen wat het doel is, aan wie de gegevens kunnen worden verstrekt, of het verstrekken vrijwillig is en hoe ze inzage en correctie kunnen aanvragen.
- Juistheid en bewaren: gegevens moeten juist zijn en mogen niet langer worden bewaard dan nodig.
- Gebruik: gegevens mogen niet voor een nieuw doel worden gebruikt zonder uitdrukkelijke en vrijwillige toestemming van de betrokkene.
- Beveiliging: gegevens moeten worden beschermd tegen onbevoegde of onbedoelde toegang, verwerking, verwijdering, verlies of gebruik.
- Openheid: gegevensgebruikers moeten hun beleid en werkwijze rond persoonsgegevens beschikbaar stellen.
- Inzage en correctie: mensen kunnen een kopie van hun gegevens opvragen en vragen om correctie.
De PDPO heeft ook specifieke regels voor het gebruik van persoonsgegevens voor direct marketing, waarvoor toestemming van de betrokkene nodig is.
Voor wie geldt de PDPO?
De PDPO geldt voor zowel de private als de publieke sector in Hongkong en dekt elk bedrijf dat persoonsgegevens in of vanuit Hongkong verzamelt of gebruikt. Bedrijven buiten Hongkong die persoonsgegevens van klanten in Hongkong verzamelen, doen er goed aan de PDPO als relevant voor hen te beschouwen.
Wat gebeurt er als ik me niet aan de PDPO houd?
De PCPD kan klachten onderzoeken en, als er een overtreding wordt vastgesteld, een handhavingsbevel (enforcement notice) uitvaardigen waarin de gegevensgebruiker wordt opgedragen herstel- en preventieve maatregelen te nemen. Mogelijke gevolgen:
- Overtreden van een handhavingsbevel: een strafbaar feit, bij een eerste veroordeling bestraft met een boete tot HK$50.000 en 2 jaar gevangenisstraf, plus een dagboete tot HK$1.000 als de overtreding voortduurt.
- Overtredingen bij direct marketing: boetes tot HK$500.000 en 3 jaar gevangenisstraf, oplopend tot HK$1.000.000 en 5 jaar als persoonsgegevens tegen betaling aan een derde worden verstrekt.
- Schadeclaims: mensen kunnen via een civiele procedure schadevergoeding eisen voor schade door een overtreding.
- Gepubliceerde bevindingen: de PCPD kan een rapport van haar onderzoek en aanbevelingen publiceren als dat in het algemeen belang is.
Wanneer ging de PDPO in?
De PDPO werd in 1995 aangenomen en trad in december 1996 in werking, met uitzondering van bepaalde bepalingen. Grote wijzigingen in 2012 introduceerden de regels voor direct marketing, en wijzigingen in 2021 maakten doxing strafbaar.
Aan de PDPO voldoen
De PDPO heeft geen specifieke toestemmingsregel voor cookies zoals de AVG, maar cookies en trackingtools die persoonsgegevens verzamelen, vallen wel onder de beginselen van de wet. Voor een Shopify-winkel die verkoopt aan klanten in Hongkong betekent dat: vertel bezoekers duidelijk, bij of vóór het verzamelen, welke persoonsgegevens via cookies en vergelijkbare tools worden verzameld, waarom en met wie ze worden gedeeld, bijvoorbeeld in een cookiebanner en een Personal Information Collection Statement of privacybeleid. Gebruik je persoonsgegevens voor direct marketing, dan heb je eerst toestemming van de klant nodig, en voor het gebruik van gegevens voor een nieuw, ongerelateerd doel is uitdrukkelijke en vrijwillige toestemming vereist.
De bepaling van de PDPO die doorgifte van persoonsgegevens buiten Hongkong zou beperken, is nog niet in werking, maar de PCPD publiceert aanbevolen modelcontractbepalingen voor doorgiften. Zorg er daarnaast voor dat je klaar bent om verzoeken om inzage en correctie te beantwoorden.
Een Consent Management Platform (CMP) zoals Pandectes GDPR Compliance helpt bij de onderdelen die in je webwinkel plaatsvinden. Het toont een cookiebanner en kan niet-essentiële cookies blokkeren tot de bezoeker toestemming geeft, scant en deelt de cookies in je winkel automatisch in, en maakt een cookieverklaring voor je beleid. Het bewaart toestemmingslogs als bewijs van toestemming, helpt je verzoeken van betrokkenen af te handelen en laat je de bannerinstellingen per regio instellen met geolocatie, zodat bezoekers uit Hongkong een banner zien die past bij de PDPO.
De PDPO wordt herzien en kan veranderen, dus bekijk je instellingen waar nodig samen met een jurist.