Ordenanza de Protección de Datos Personales de Hong Kong (PDPO)

Desde su promulgación, la PDPO ha experimentado varias modificaciones importantes para adaptarse al panorama digital en expansión. En 2012, se introdujeron disposiciones sobre marketing directo para abordar las preocupaciones públicas sobre la privacidad en línea, y en 2021, se incorporaron enmiendas significativas para combatir el “doxxing” —la publicación de datos privados de una persona en línea.

Bajo esta enmienda contra el doxxing, cualquier persona que revele o conspire para revelar los datos personales de otro individuo sin su consentimiento explícito —ya sea por negligencia o con la intención de causar daño— comete un delito sancionable con multas o prisión. Estas facultades otorgan al Comisionado de Privacidad la capacidad de llevar a cabo investigaciones penales, lo que ha permitido a la PDPO tomar medidas más severas contra los abusos a la privacidad.

En el núcleo de la ley se encuentran los Principios de Protección de Datos (DPP, por sus siglas en inglés), que ofrecen a individuos y organizaciones un marco sobre cómo se deben recopilar, gestionar, divulgar y utilizar los datos personales. La Oficina del Comisionado de Privacidad para Datos Personales (PCPD) es responsable de hacer cumplir los principios de la PDPO en Hong Kong, además de actuar como guía de cumplimiento.

Las definiciones clave aplicables a esta ley son las siguientes:

Datos Personales

Cualquier información relativa a una persona viva que permita su identificación. Estos datos deben estar en una forma que permita su acceso y tratamiento práctico.

Titular de los Datos

La persona a la que se refieren los datos personales.

Usuario de Datos

Cualquier individuo o entidad que controla, recopila, mantiene, procesa o utiliza datos personales —ya sea solo o junto con otros.

Encargado del Tratamiento

Cualquier individuo, organización o entidad que trata datos personales en nombre de un usuario de datos, y no para sus propios fines. Aunque los encargados del tratamiento no están directamente regulados por la PDPO, los usuarios de datos deben asegurarse de que sus encargados cumplan con las regulaciones, mediante contrato u otro medio.

Consentimiento

A menos que los datos recopilados se utilicen para marketing directo u otro uso específicamente definido, no se requiere consentimiento. En los casos en que sí se necesite, el consentimiento debe ser una expresión voluntaria de aprobación.

Los principios de protección de datos de la PDPO otorgan a los titulares de los datos el derecho a acceder y solicitar la modificación de su información personal.

Si un usuario de datos se niega a proporcionar acceso a la información personal, debe ofrecer una justificación válida. Además, los titulares de los datos tienen derecho a ser informados si algún usuario de datos conserva información sobre ellos.

Aunque la PDPO no otorga un derecho explícito de supresión, los titulares pueden solicitar la eliminación de datos si ya no son necesarios para el tratamiento.

Desde la perspectiva del usuario de datos, la ley prohíbe conservar datos personales por más tiempo del estrictamente necesario. Por tanto, los titulares tienen derecho a excluirse de campañas de marketing directo.

La regulación de la PDPO aplica a toda organización del sector público o privado que recopile, procese, mantenga o utilice datos personales. Aunque estas reglas se aplican sin importar la ubicación del procesamiento, solo afectan a los usuarios de datos con sede en Hong Kong.

Sin embargo, existen excepciones a la PDPO. La normativa puede no aplicarse si:

Aunque la PDPO no detalla mecanismos específicos para la gestión de la privacidad, recomienda que las entidades establezcan sistemas que aseguren el cumplimiento. Entre sus recomendaciones están la designación de oficiales de protección de datos y evaluaciones periódicas de los sistemas de privacidad.

Los Principios de Protección de Datos de la ordenanza fomentan la transparencia en las prácticas de tratamiento de datos, así como la protección contra accesos no autorizados, pérdidas o usos indebidos.

En caso de una violación de seguridad, no existe una obligación legal bajo la PDPO de hacer pública dicha violación, aunque se recomienda notificar tanto al PCPD como a los titulares de los datos afectados.

Aunque el incumplimiento de la PDPO no constituye un delito en sí mismo, las disposiciones específicas establecidas en la ordenanza conllevan fuertes multas y penas de prisión si no se cumplen.

Algunas de las disposiciones y sanciones más relevantes son las siguientes:

Consulte esta lista completa de todas las sanciones del PCPD.

Para asegurarse de que su sitio web recopila datos conforme a la normativa de la PDPO, póngase en contacto con CookieHub. Como solución de datos eficiente, CookieHub ofrece todas las herramientas necesarias para garantizar el cumplimiento regional, independientemente de dónde tenga su sede.