La Oficina del Comisionado de Privacidad de Datos Personales ( PCPD ) es un organismo estatutario de Hong Kong que hace cumplir la Ordenanza de Datos Personales (Privacidad).
El Comisionado de Privacidad se encarga de garantizar la privacidad de las personas. La oficina está dirigida por la Comisionada de Privacidad de Datos Personales, Ada Chung. [1]
La oficina está dividida en diferentes unidades funcionales: División de Quejas, División de Investigación Criminal, División de Cumplimiento y Consultas, División Legal, División de Investigación y Asuntos Globales, División de Comunicaciones Corporativas y División de Soporte Corporativo. [2] Tiene poderes de investigación y aplicación, y publica mejores prácticas y otras orientaciones para organizaciones y el público en general. [1] Es miembro de varias organizaciones multinacionales, incluida la Asamblea Global de Privacidad (GPA), el APEC Cross-border Privacy Enforcement Arrangement (CPEA) y la Global Privacy Enforcement Network (GPEN). [3]
Para garantizar la preservación y el respeto de la privacidad de los datos personales, en diciembre de 1996 se fundó el Comisionado de Privacidad de Datos Personales (PCPD) para fomentar y hacer cumplir el cumplimiento de los datos personales.
La visión de PCPD es cultivar una sociedad que valore y defienda los derechos de privacidad con respecto a los datos personales. En primer lugar, el PCPD tiene como objetivo concienciar y educar a los ciudadanos sobre la privacidad de los datos personales a través de publicidad y actividades educativas. En segundo lugar, PCPD facilita el uso legal y responsable de los datos personales proporcionando sugerencias y directrices. En tercer lugar, el PCPD utiliza medidas de cumplimiento efectivas para monitorear y supervisar diligentemente el cumplimiento. Por último, PCPD revisa y mejora continuamente para alinearse con los estándares globales para la protección de la privacidad de los datos personales.
El PCPD funciona basándose en sus valores fundamentales que incluyen el respeto por la privacidad de los datos personales, la integridad, la adopción de avances tecnológicos y la independencia. Al apegarse a sus valores fundamentales, el PCPD brinda profesionalismo y equidad en sus acciones y decisiones.
Por lo tanto, para alcanzar sus valores y objetivos fundamentales, el PCPD ha desarrollado planes y estrategias en diferentes áreas críticas. El PCPD colabora con otros reguladores y oficinas de protección de datos para gestionar las preocupaciones de privacidad transfronterizas y solucionar las quejas de manera eficiente para garantizar la equidad y la equidad. El PCPD también monitorea y supervisa el cumplimiento, investiga riesgos significativos de privacidad de manera proactiva y ayuda a los usuarios de datos organizacionales a cumplir con sus valores fundamentales.
El PCPD es un organismo estatutario independiente establecido el 1 de agosto de 1996, en respuesta a requisitos legales que ratificaron su establecimiento y entró en vigor el 20 de diciembre de 1996. El predecesor del PCPD fue el “Subcomité de Privacidad de la Comisión de Reforma Legal”. Según el “Panorama del Comisionado de Privacidad 1999-2000”, el establecimiento del Subcomité estuvo influenciado por las “Directrices de Privacidad de la OCDE” de principios de los años 1980, [4] en las que el juez Micheal Kirby proporcionó principios clave para el manejo de datos personales y fue considerado por el primer Comisionado de Privacidad de Hong Kong como el “padre” de los principios de la OCDE (Organización para la Cooperación y el Desarrollo Económico) para la protección de datos personales [5] .
A partir de 1989, el Subcomité emprendió una revisión de las leyes de Hong Kong y formuló recomendaciones para proteger la privacidad de las personas contra interferencias indebidas. Este proceso de revisión culminó con la promulgación de la Ordenanza sobre datos personales (privacidad) el 3 de agosto de 1995. A principios de 1996, el subcomité publicó un documento de consulta en el que proponía medidas para abordar las actividades de vigilancia ilegal, como tipificar como delito colocar o utilizar dispositivos de vigilancia sin el consentimiento del ocupante legal de locales privados. [6]
En 1997, los debates sobre cuestiones como las llamadas no deseadas, las cámaras estenopeicas y las grabaciones no autorizadas contribuyeron a comprender que los datos personales podían estar expuestos al riesgo de acceso, procesamiento, eliminación, pérdida o uso no autorizado o accidental. Esta comprensión impulsó la ampliación del enfoque del subcomité para incluir la prevención de prácticas injustas de recopilación de datos en el sector empresarial, garantizando principios como los debidos medios y propósitos de recopilación, buena precisión y retención de los datos, apertura y seguridad de los datos, acceso y corrección de los datos. , y fomentando una cultura de protección y respeto de los datos personales. [6]
Como resultado, en breve se introdujeron requisitos con respecto al propósito y la forma de recopilación de datos, retención de datos, acceso y corrección de datos, divulgación y transferencia de datos personales, y el uso apropiado de dichos datos. La función del PCPD abarca hacer cumplir estas disposiciones y promover el cumplimiento de la Ordenanza sobre datos personales (privacidad), incluida, entre otras, la recopilación de datos de entidades públicas, en el sector empresarial y en la vida diaria. [7]
El Comisionado de Privacidad es designado por el Director Ejecutivo de Hong Kong y es responsable ante el Director Ejecutivo. Las responsabilidades principales del Comisionado implican supervisar y garantizar el cumplimiento de las regulaciones descritas en la Ordenanza. Estas responsabilidades incluyen investigar quejas y brindar orientación mediante la emisión de directrices y códigos de conducta. Al igual que el Director Ejecutivo de la Comisión de Valores y Futuros (SFC), el Comisionado de Privacidad se distingue de otros órganos estatutarios y encabeza una comisión que posee poderes estatutarios de investigación y ejecución penal, sin ocupar el cargo de funcionario principal dentro del gobierno de la RAEHK. . [8]
La comisionada adjunta de privacidad para datos personales es la Sra. Fanny Wong. Los tres comisionados adjuntos de privacidad son la Sra. Joyce Lai (Comunicación corporativa y cumplimiento), la Sra. Cecilia Siu (Asuntos legales, globales e investigación) y el Sr. Billy Kwan (Quejas e investigación criminal).
Dirigido por el Comisionado de Privacidad, el PCPD es un organismo estatutario independiente con siete divisiones funcionales, a saber, la División de Quejas, la División de Investigación Criminal, la División de Cumplimiento y Consultas, la División Legal, la División de Investigación y Asuntos Globales, la División de Comunicaciones Corporativas y la División de Apoyo Corporativo. [9]
Presidido por el Comisionado de Privacidad, el Comité Asesor de Datos Personales (Privacidad) (PDPAC) fue creado bajo la sección 11 de la Ordenanza de Datos Personales (Privacidad) con el propósito de brindar orientación y asesoramiento al Comisionado de Privacidad con respecto a la protección de la privacidad de los datos personales y el funcionamiento. de la Ordenanza. [10] Se compromete a garantizar un marco eficaz para salvaguardar la privacidad de los datos personales en Hong Kong.
Al mismo tiempo, se estableció el Comité Permanente sobre Desarrollos Tecnológicos (SCTD) para abordar específicamente el impacto de los avances en el procesamiento de datos y la tecnología informática en la privacidad individual relacionada con los datos personales. Su función principal es asesorar al Comisionado sobre asuntos relevantes relacionados con el panorama cambiante del procesamiento de datos y actualizar la comprensión del Comisionado sobre la importancia de proteger los derechos de privacidad de las personas en tiempos de rápidos avances tecnológicos. [11]
El PDPAC y el SCTD desempeñan papeles cruciales al asesorar al Comisionado de Privacidad, lo que permite la formulación de políticas y prácticas informadas que se alinean con la naturaleza cambiante de la privacidad de los datos personales y los avances tecnológicos.
El desarrollo de la Oficina del Comisionado de Privacidad para Datos Personales (PCPD) en Hong Kong se remonta a la promulgación de la Ordenanza de Datos Personales (Privacidad) (PDPO) en 1995, cuyo objetivo era regular la recopilación, el uso y la divulgación. de datos personales por parte de individuos y organizaciones.
La PDPO fue un hito importante en el desarrollo de la protección de la privacidad en Hong Kong. Estableció un marco legal para la protección de datos personales y estableció las responsabilidades de los usuarios y de los interesados. Sin embargo, carecía de un organismo regulador independiente para supervisar y hacer cumplir la ordenanza. Reconociendo la necesidad de una autoridad independiente para hacer cumplir la PDPO, tras la promulgación de la Ordenanza sobre datos personales (privacidad) (PDPO), se estableció la PCPD en virtud del artículo 5(1) de la Ordenanza. Al PCPD se le otorgó el poder de investigar quejas, emitir avisos de cumplimiento y promover el cumplimiento del PDPO. Opera independientemente del gobierno y rinde cuentas ante el Comisionado de Privacidad, quien es designado por el Director Ejecutivo. A lo largo de los años, el PCPD ha experimentado evoluciones y desarrollos para mantenerse al día con los desafíos emergentes en la compleja sociedad contemporánea.
Un avance destacado serían las enmiendas al PDPO. Ha habido discusiones sobre modificar la ley para mejorar la protección de datos personales dentro del territorio. La ordenanza modificada entró en vigor a finales de 2021, a saber, la Ordenanza (enmienda) de datos personales (privacidad) (PDPAO). El PDPAO se diferenciaba del PDPO por la característica principal de criminalizar los actos de doxxing (es decir, exponer abiertamente los datos personales privados de alguien, como el nombre, la dirección y la ocupación). El artículo 64(3A) de la ordenanza enmendada dice: "Una persona comete un delito si revela cualquier dato personal de un interesado sin el consentimiento del interesado...".
Por lo tanto, se amplió el alcance de la PCPD en el sentido de que estaba facultada para investigar actividades delictivas, incluido el doxxing, así como la autoridad para iniciar procedimientos legales para el enjuiciamiento de los delitos relacionados. Además, al Comisionado de Privacidad también se le otorgaron poderes legales para garantizar el cese de compartir mensajes doxxing. Según la Ordenanza de Enmienda, el PCPD recibe nuevos poderes de investigación y enjuiciamiento criminal para manejar los casos de doxxing de forma integral, desde la investigación criminal hasta la recopilación de pruebas y el enjuiciamiento.
Para ponerse al día con la evolución global del panorama de la privacidad, el PCPD también participó en iniciativas internacionales relacionadas con la privacidad. Por ejemplo, el PCPD participa en el Subgrupo de Privacidad de Datos del Grupo Directivo de Economía Digital, que se ocupa de las transferencias transfronterizas de información; El PCPD también participó activamente en foros convocados por miembros de las Autoridades de Privacidad de Asia Pacífico, discutiendo y compartiendo una amplia gama de cuestiones relacionadas con la privacidad y la seguridad. Estos compromisos permiten que el PCPD se convierta en un organismo más integral a través del intercambio de ideas y conocimientos, de modo que pueda contribuir mejor al desarrollo de políticas y estándares de privacidad tanto dentro como fuera de Hong Kong.
Con un estatus global similar en el que Hong Kong y Singapur son centros financieros asiáticos altamente desarrollados y reconocidos por sus economías bien desarrolladas, infraestructura consumada y entornos comerciales favorables, las leyes de privacidad son ligeramente diferentes entre los dos.
Mientras que la ley de privacidad en Hong Kong se rige por la PDPO como se mencionó anteriormente, la autoridad en Singapur sería la Ley de Protección de Datos Personales (PDPA). En cumplimiento de la PDPA, la Comisión de Protección de Datos Personales (PDPC) como organismo de aplicación (similar a la PCPD). Regula la recopilación, uso, divulgación y cuidado de datos personales en Singapur (Chesterman, 2012). [12]
Las principales diferencias residen en su aplicación. La forma y la naturaleza de la disuasión son muy distintas entre Hong Kong y Singapur. El incumplimiento en Hong Kong daría lugar a la imputación de delitos penales y a multas monetarias, como se ilustra en el artículo 64(3B) de la PDPO: “Una persona que cometa un delito contemplado en la subsección (3A) está sujeta, en caso de condena, a una multa de nivel 6 y a prisión de 2 años”. Para el caso de Singapur, la sanción se inclina más al aspecto administrativo. La Sección 48I establece las instrucciones para el incumplimiento, que consisten en "dar a la organización o persona (según sea el caso) cualquier instrucción que la Comisión considere adecuada en las circunstancias para garantizar el cumplimiento de esa disposición". Es más indulgente y flexible en comparación con el de Hong Kong.
La propuesta del proyecto de ley de enmienda tiene como objetivo abordar la cuestión de los actos de doxxing invasivos que violan la privacidad de los datos personales al convertir los actos de doxxing en un delito penal y facultar al Comisionado con facultades legales para emitir avisos de cesación, que exigen el cese inmediato o la limitación de la divulgación de contenido doxxing. [13] Sin embargo, la enmienda fue criticada por otorgar poderes excesivos al PCPD, como el poder de iniciar una investigación criminal y el poder de procesar. [14] La Coalición Asiática de Internet (AIC), una asociación industrial de empresas líderes de Internet y tecnología en la región de Asia Pacífico, expresó su preocupación porque la definición ambigua de “actos de doxxing”:
“La definición de “actos de doxxing” en las enmiendas propuestas crea una ambigüedad problemática; en particular, dado que en la actualidad no existe una definición universalmente aceptada o reconocida de “doxxing”, esto genera preocupaciones legítimas de que el “doxxing” en las enmiendas propuestas podría tener una interpretación demasiado amplia, de modo que incluso los actos inocentes de compartir información en línea podrían considerarse ilegales según la PDPO”. [15]
AIC también sugirió que la disposición anti-doxxing propuesta no consideraba situaciones legítimas en las que se pudieran divulgar datos personales sin el consentimiento del interesado, por ejemplo, la divulgación de datos personales para intereses públicos.
En 2019, personas que afirmaban ser personal del PCPD emitieron una carta abierta anónima para expresar sus opiniones sobre los incidentes sociales. En respuesta a la carta, el PCPD emitió un comunicado. [dieciséis]
En 2010, se informó que el emisor de la tarjeta Octopus había ganado 44 millones de dólares de Hong Kong en los últimos 4 años.+1 ⁄ 2 años vendiendo datos de titulares de tarjetas. Así lo reveló en una audiencia especial realizada por el comisionado de privacidad de datos personales. La directora ejecutiva de Octopus Holdings, Prudence Chan Bik-wah, dijo que deseaba "disculparse sinceramente" con los titulares de tarjetas afectados. [17]
En agosto de 2010, la Autoridad Monetaria de Hong Kong reveló públicamente que CITIC Bank International, Citibank, Fubon Bank, Industrial and Commercial Bank of China, Wing Hang Bank y Wing Lung Bank eran culpables de transferir datos de clientes a partes no afiliadas con fines de marketing. En una investigación separada, el comisionado de privacidad de datos personales concluyó que las acciones de algunos de los bancos equivalían a la venta de datos personales. [18]
La Oficina de Registro y Electoral informó en marzo de 2017, inmediatamente después de la elección del jefe ejecutivo, que habían perdido dos computadoras portátiles que contenían información personal de 3,7 millones de votantes. Esta podría ser una de las filtraciones de datos más importantes jamás vividas en Hong Kong, teniendo en cuenta que la población de la ciudad es inferior a 8 millones. [19]
Desde 2019, un sitio web llamado HK Leaks ha publicado información personal sobre más de 2.000 figuras a favor de la democracia. Cuando se le preguntó en agosto de 2021 si el sitio violaba alguna ley, el PCPD dijo que no haría comentarios sobre casos individuales y repitió la misma respuesta en mayo de 2023. [20]
En 2023, este documental “Para mi yo de diecinueve años” supuestamente violaba el consentimiento de los estudiantes para filmar el documental. La Comisionada de Privacidad de Datos Personales, Sra. Ada Cheung Lai Ling, declaró que el PCPD se ha puesto en contacto con la escuela para obtener más información. También dijo que, de acuerdo con la Ordenanza sobre datos personales (privacidad), si el propósito de los datos recopilados ha cambiado, se debe obtener el consentimiento del interesado. El interesado también tiene derecho a retirar el consentimiento que ha otorgado. [21] En la declaración de prensa del PCPD en respuesta a este incidente, el PCPD no ha recibido ninguna queja o investigación sobre el incidente. [22]
En 2022, el PCPD investigó dos incidentes de violación de datos personales que involucraron a la Oficina de Registro y Electoral (REO). En el primer incidente, un miembro del personal de REO envió por error archivos que contenían los datos de unos 15.000 electores a un destinatario desconocido. El PCPD afirmó que este incidente se debió principalmente a errores humanos. [23]
En el segundo incidente, la REO adjuntó una hoja de respuesta que contenía datos personales de un miembro del Comité Electoral (CE) y su asistente (nombres, direcciones de correo electrónico y números de teléfono) a un correo electrónico enviado a 38 miembros del CE y 26 asistentes. Después de la investigación, el PCPD concluyó que este incidente también se debió a errores humanos. Según la Comisionada de Privacidad, Sra. Ada CHUNG Lai-ling, estos dos incidentes revelaron que REO no ha tomado medidas viables para garantizar que los datos personales estuvieran protegidos contra el acceso, procesamiento, eliminación, pérdida o uso no autorizado o accidental, contraviniendo así la DPP4( 1) relativo a la seguridad de los datos personales en virtud de la Ordenanza de datos personales (privacidad).
En respuesta a las preocupaciones planteadas por la prohibición de cubrirse la cara, el PCPD declaró que el Reglamento sobre la prohibición de cubrirse la cara no estaba en conflicto con la Ordenanza sobre datos personales (privacidad) con la razón de que los derechos de los sospechosos no prevalecerían sobre los intereses públicos de la prevención, detección y aprehensión o procesamiento oportuno y efectivo de la policía. [24] El PCPD sugirió que los derechos de privacidad también pueden verse restringidos por cuestiones de orden público y seguridad nacional.
En 2021, el gobierno de Hong Kong propuso reforzar la búsqueda de empresas, incluido que el público no accedería a la dirección residencial y el número de identificación de los directores y secretarios de la empresa, [25] que la búsqueda requiere información de identificación personal, como el nombre y el número HKID. [26] y que el propietario individual del vehículo registrado será notificado mediante la búsqueda de registro de vehículo en el Departamento de Transporte. [27]
El PCPD afirmó que el endurecimiento del acuerdo por parte del Departamento de Transporte no es problemático desde la perspectiva de la Ordenanza de Datos Personales (Privacidad). [28] En respuesta a las diversas medidas adoptadas por el gobierno para endurecer los acuerdos de búsqueda, la Comisionada de Privacidad de Datos Personales, Sra. Ada Cheung Lai Ling, afirmó que si la restricción era proporcionada depende de los propósitos de los acuerdos de búsqueda. [29]
Durante 2022-2023, se enviaron más de mil avisos de cese a 28 plataformas en línea. La mayoría de ellos eran operados por proveedores de servicios extranjeros, solicitando la eliminación de casi 20.000 [30] mensajes doxxing. Aunque la tasa de cumplimiento para eliminar estos mensajes fue alta, llevó mucho tiempo solicitar a los proveedores de servicios que los eliminaran. Incluso si se elimina el contenido, la víctima ha sufrido daños durante mucho tiempo.
En 1996 se introdujo una multa máxima de 50.000 dólares de Hong Kong y una pena de prisión de hasta dos años. Sin embargo, se cree ampliamente que la eficacia de esta pena para disuadir los delitos es relativamente baja. El comisionado de privacidad, Chung Lai Ling, afirmó en una entrevista que el principio de la Ordenanza de privacidad es voluntario y claro. Si la empresa notifica a los clientes que sus datos personales serán transferidos y declara el propósito de su uso, la situación es legal. Los incidentes que ocurrieron antes fueron solo eventos independientes. Sin embargo, considera que el efecto disuasorio ya no es suficiente y el PCPD está cooperando con el gobierno para revisar las sanciones correspondientes. [31]