Datenschutz- und Privatrechts-Compliance in Hongkong für Unternehmen

In einer zunehmend digitalen und vernetzten Welt ist Daten ein entscheidender Vermögenswert für Unternehmen geworden. Mit der Erhebung, Verarbeitung und Speicherung personenbezogener Daten geht jedoch eine erhebliche Verantwortung und rechtliche Verpflichtungen einher. Für Unternehmen, die in Hongkong tätig sind, ist das Verständnis und die Einhaltung der Personal Data (Privacy) Ordinance (PDPO) nicht nur eine rechtliche Formalität, sondern ein grundlegender Aspekt zur Erhaltung von Vertrauen, zum Schutz des Rufs und zur Vermeidung erheblicher Strafen. Dieser Artikel bietet einen umfassenden Überblick über das Datenschutzumfeld in Hongkong und gibt praktische Einblicke für Unternehmer und Fachleute.

Die Personal Data (Privacy) Ordinance (PDPO): Ein Überblick

Die Personal Data (Privacy) Ordinance (Cap. 486), erlassen 1996, ist die wichtigste Rechtsvorschrift Hongkongs, die die Erhebung, Aufbewahrung, Verarbeitung und Verwendung personenbezogener Daten regelt. Sie wird vom Office of the Privacy Commissioner for Personal Data (PCPD) verwaltet. Die PDPO zielt darauf ab, die Privatsphäre von Personen in Bezug auf personenbezogene Daten zu schützen und gleichzeitig den freien Informationsfluss zu erleichtern. Im Gegensatz zur General Data Protection Regulation (GDPR) der Europäischen Union hat die PDPO nicht in gleicher Weise eine extraterritoriale Reichweite, gilt jedoch für jeden Data User (d. h. eine Person, die die Erhebung, Aufbewahrung, Verarbeitung oder Verwendung personenbezogener Daten kontrolliert), der personenbezogene Daten innerhalb Hongkongs erhebt oder verarbeitet, unabhängig davon, wo der Data User eingetragen ist oder sich befindet.

Zentrale Grundsätze der PDPO: Data Protection Principles (DPPs)

Die PDPO ist um sechs Data Protection Principles (DPPs) aufgebaut, die das Fundament der Datenschutz-Compliance in Hongkong bilden. Unternehmen müssen diese Grundsätze während des gesamten Datenlebenszyklus beachten:

1. DPP1 - Zweck und Art der Erhebung: Personenbezogene Daten dürfen nur für einen rechtmäßigen Zweck erhoben werden, der direkt mit einer Funktion oder Tätigkeit des Data Users zusammenhängt. Die erhobenen Daten sollten für diesen Zweck notwendig und angemessen sein, und die Erhebung muss fair und rechtmäßig erfolgen. Personen müssen über den Zweck der Erhebung, die Klassen von Personen, an die die Daten weitergegeben werden können, und über ihre Rechte auf Zugriff und Berichtigung der Daten informiert werden.

2. DPP2 - Genauigkeit und Dauer der Aufbewahrung: Es müssen alle zumutbaren Schritte unternommen werden, um sicherzustellen, dass personenbezogene Daten genau, aktuell sind und nicht länger aufbewahrt werden, als es zur Erfüllung des Zwecks, für den sie erhoben wurden, erforderlich ist. Unternehmen sollten klare Richtlinien zur Datenaufbewahrung festlegen.

3. DPP3 - Verwendung personenbezogener Daten: Personenbezogene Daten dürfen nur für den Zweck verwendet werden, für den sie erhoben wurden, oder für einen direkt damit verbundenen Zweck, es sei denn, die ausdrückliche und freiwillige Zustimmung der betroffenen Person wird eingeholt oder es greift eine Ausnahme nach der PDPO.

4. DPP4 - Sicherheit personenbezogener Daten: Data User müssen alle zumutbaren Schritte unternehmen, um personenbezogene Daten gegen unbefugten oder acc