البيانات الشخصية في هونغ كونغ - PDPO ونقلها إلى الصين

نحن لا نبدأ بشعار ملفات تعريف الارتباط، بل بخريطة البيانات

ينظم PDPO البيانات الشخصية المتعلقة بشكل مباشر أو غير مباشر بـ شخص حي يمكن التعرف عليه عمليا. تصف الشركة فئات الأشخاص والبيانات والمصادر والأهداف، المستلمون والأنظمة وفترات التخزين والتحويلات الدولية.

Clients

KYC وجهات الاتصال والعقود والاتصالات وسجل المعاملات.

Employees

التوظيف وكشوف المرتبات والأداء والهجرة والمراقبة.

Visitors

ملفات تعريف الارتباط والتحليلات والنماذج وكاميرات المراقبة وسجلات الوصول.

UBO / directors

الهوية والملكية والفحص والإفصاحات التنظيمية.

تشكل ستة DPPs دورة حياة واحدة

DPP 1: جمع قانوني وعادل؛ البيانات كافية، ولكنها ليست مفرطة
DPP 2: الدقة والتخزين لم تعد أكثر من اللازم
DPP 3: الاستخدام لغرض أصلي أو متوافق أو بموافقة محددة
DPP 4: التدابير الأمنية العملية، بما في ذلك المعالجات
DPP 5: سياسات وممارسات الخصوصية العامة
DPP 6: حقوق الوصول والتصحيح للموضوع

يجب أن يتزامن إشعار الخصوصية مع الأهداف الحقيقية

عند نقطة التجميع، الغرض، البيانات الإلزامية، عواقب الرفض، فئات المنقولين وحقوق الوصول / تصحيح. بالنسبة لهدف جديد، يتم التحقق من التوافق أيضًا الموافقة المقررة. الصيغة الاحتياطية "لأي غرض تجاري" ليست كذلك يحل محل الوصف المحدد للمعالجة.

Website

النماذج وملفات تعريف الارتباط والتحليلات ووحدات البكسل والتضمينات التابعة لجهات خارجية.

KYC

الهوية، UBO، مصدر الثروة/الأموال والفحص.

إشعار المرشح وسياسة الموظف وحدود المراقبة.

Events

التسجيل والتصوير وقوائم الحضور ومتابعة التسويق.

النقل إلى المقاول لا ينقل المسؤولية

يستخدم مستخدم البيانات وسائل تعاقدية أو غيرها من الوسائل امتثل المعالج لمتطلبات الاحتفاظ والأمن. البائع مستحق يغطي الاجتهاد المواقع والمعالجات الفرعية والوصول والتشفير الحذف والإخطار بالحادث وأدلة التدقيق ودعم الخروج.

Cloud: المنطقة والمرونة والمفاتيح ووصول المسؤول والمعالجات الفرعية
Payroll / HR: سرية الموظف والاحتفاظ به والنقل الآمن
KYC provider: مصادر البيانات، منطق المطابقة، الإيجابيات والأدلة الكاذبة
CRM / marketing: الأذونات والصادرات وقوائم القمع والحذف
Exit: الإرجاع والترحيل وشهادة الحذف والنسخ الاحتياطية المتبقية

التسويق المباشر لديه إجراء منفصل

قبل استخدام البيانات الشخصية في شركة التسويق المباشر ينقل المعلومات المطلوبة بموجب القانون، ويستقبلها الموافقة المناسبة ويوفر إلغاء الاشتراك بشكل واضح. يتطلب بيع أو نقل البيانات إلى طرف آخر لأغراض التسويق تحليل منفصل وطريق موافقة أكثر صرامة.

لا تعني جهة الاتصال من بطاقة العمل الموافقة على أي بريد.

يتم تحديد الغرض والقناة وفئة المنتجات/الخدمات وهوية المسوق؛ يتم تطبيق إلغاء الاشتراك بدون رسوم وتتم مزامنته عبر جميع الأنظمة.

تتم معالجة الوصول والتصحيح كعملية قانونية

تحدد الشركة مقدم الطلب، وتجد البيانات في كل شيء الأنظمة ذات الصلة، وتطبيق القيود المسموح بها، والسلوك المراسلات والرد بالطريقة المنصوص عليها. السياسة مقدما يعين المالك والشروط والأدلة والتصعيد للمحامي.

يعتمد الأمن على الضرر، وليس فقط على معايير تكنولوجيا المعلومات

يتطلب DPP 4 خطوات عملية تأخذ في الاعتبار نوع البيانات، الضرر المحتمل، الموقع، التدابير الفنية، الكفاءة الناس والنقل الآمن. تتضمن الضوابط أقل الامتيازات، MFA والتشفير والتسجيل والنسخ الاحتياطي والتخلص الآمن والعادي فحص الوصول.

تصنيف البيانات وتحديد صاحب كل مجموعة.
الحد من الوصول إلى الدور والمدة وضرورة العمل.
حماية عمليات النقل ونقاط النهاية والحسابات المميزة والنسخ الاحتياطية.
التحقق من البائعين والأذونات والمستخدمين غير النشطين.
إجراء تمرين الطاولة على التسرب والانتعاش.

يبدأ التسرب بالاحتواء وتقييم الضرر

الأمر يحافظ على الأدلة، ويوقف الوصول غير المصرح به، يحدد البيانات والأفراد، ويحلل مخاطر إساءة الاستخدام ويقبلها قرار الإخطار. اعتبارًا من تاريخ التفتيش، لم يتم إخطار PCPD هو مطلب قانوني عام، ولكن PCPD توصي به الممارسة الجيدة؛ يعتمد إخطار الأشخاص المتضررين على المخاطر و التدابير التي يمكنهم اتخاذها.

قد تفرض أنظمة أخرى موعدًا نهائيًا إلزاميًا

قد يتطلب البنك أو جهة الإصدار المدرجة أو المعالج في البر الرئيسي أو الكيان الخارجي أو اتفاقية العميل إشعارًا منفصلاً بدلاً من نهج PDPO العام.

ويجري اليوم توثيق عمليات النقل عبر الحدود

يحتوي القسم 33 PDPO على وضع إرسال خاص خارج الحدود هونغ كونغ، ولكن لم تدخل حيز التنفيذ بعد في تاريخ التفتيش. في نفس الوقت يستمر تطبيق DPP 1 و3 و4 وتوصي PCPD بالاستحقاق الاجتهاد والشفافية والضمانات التعاقدية، بما في ذلك البنود التعاقدية النموذجية الموصى بها.

Data route: المرسل والمستلم والاستضافة والوصول عن بعد والنقل المباشر
Purpose: نفس الإشعار/الموافقة وليس مفرطًا
Contract: حدود الاستخدام، الأمان، الخرق، الحقوق، التدقيق، الإرجاع والحذف
Foreign law: يتم التحقق من متطلبات بلدان المرسل والمتلقي والموضوعات بشكل منفصل

هونغ كونغ والبر الرئيسي للصين - وضعان مختلفان

يتم التحقق من البيانات الواردة من البر الرئيسي للصين بواسطة PIPL، أمن البيانات القانون وقانون الأمن السيبراني والآلية المطبقة عبر الحدود. يجب على المستلم في هونغ كونغ الالتزام بـ PDPO التعاقدي والمحلي الالتزامات. الوصول عن بعد من هونج كونج إلى نظام البر الرئيسى أيضا تحليلها على أنها سيناريو عابر للحدود.

General route

تقييم الأمان أو العقد القياسي أو الشهادة أو الإعفاء المطبق.

GBA SC

آلية التسهيل بين هونج كونج وتسع مدن في منطقة GBA في البر الرئيسي.

Limits

لا يغطي البيانات الهامة ولا يسمح بالنقل خارج منطقة GBA.

Assessment

تقييم تأثير حماية المعلومات الشخصية قبل النقل.