En tant que l'une des quatre villes clés de la Greater Bay Area, Macao (Chine) joue un rôle essentiel dans la construction du corridor d'innovation scientifique et technologique Guangzhou-Zhuhai-Macao, avec le soutien fort de la Chine. En tant que lien central entre la diversification industrielle urbaine et la stratégie économique nationale de double circulation, l'investissement dans l'industrie technologique fait désormais l'objet d'un consensus général. Dans le cadre de la transformation de Macao (Chine) en ville intelligente, de nombreuses politiques de numérisation et infrastructures intelligentes ont vu le jour, couvrant les services gouvernementaux intelligents, les systèmes de transport intelligent, le tourisme intelligent et les soins médicaux intelligents. Dans le processus de promotion de l'innovation numérique, la construction d'infrastructures de ville intelligente constitue la priorité absolue.

Afin de protéger la cybersécurité et les données personnelles, l'Office for Personal Data Protection (GPDP) fonctionne de manière indépendante sous la supervision du Chef de l'exécutif pour superviser et coordonner la conformité à la Personal Data Protection Act, ainsi que la mise en œuvre des réglementations établies en matière de confidentialité et de surveillance. Le GPDP restructure en outre le cadre réglementaire pour soutenir l'innovation technologique et promouvoir l'innovation dans le secteur.

Régulateurs :
Conformément à la Macau Cybersecurity Law (No.13/2019, la MCSL), les entités de surveillance comprennent les agences ou autorités administratives publiques, qui doivent : (1) veiller au respect des obligations prévues par cette loi et des spécifications techniques ; (2) superviser les plans et actions liés à la cybersécurité des opérateurs d'infrastructures critiques ; et (3) exercer le pouvoir de sanction réglementé par cette loi. Plus précisément, la Judiciary Police est responsable de l'administration générale et de la supervision du Cybersecurity Incidents Alert and Response Center (CARIC) ; le Public Administration and Civil Service Bureau (SAFP) supervise les opérateurs publics d'infrastructures critiques ; et les opérateurs privés d'infrastructures critiques sont supervisés par des entités publiques établies sur la base de réglementations administratives.
L'Office for Personal Data Protection (GPDP) assure la surveillance de la protection des données personnelles à Macao (Chine).

Lois générales sur la sécurité :
Afin de mieux réglementer le système de cybersécurité de la RAS de Macao (Chine), le gouvernement de la RAS de Macao (Chine) a promulgué la Macau Cybersecurity Law (MCSL) le 24 juin 2019, dans le but d'assurer la cybersécurité, la sécurité des systèmes et la sécurité des données des opérateurs d'infrastructures critiques. La MCSL s'applique aux opérateurs publics et privés d'infrastructures critiques.
Le système de cybersécurité de la RAS de Macao (Chine) se compose des entités suivantes :
1. Commission for Cybersecurity
2. Cybersecurity Incidents Alert and Response Center (CARIC)
3. Supervisory Entities for Cybersecurity
La MCSL définit les obligations des opérateurs d'infrastructures critiques et des fournisseurs de services internet, ainsi que les sanctions en cas de non-conformité.

Lois générales sur la protection des données personnelles :
La Personal Data Protection Act (No. 8/2005, the PDPA) réglemente la collecte, le traitement et la transmission transfrontalière de données personnelles dans la RAS de Macao (Chine).

Exigences relatives au transfert transfrontalier de données :
Le chapitre 5 « Transfer of personal data outside the MSAR » du PDPA établit les réglementations relatives au transfert transfrontalier de données personnelles. Dans toute circonstance impliquant le transfert transfrontalier d'informations relatives à une personne physique collectées à Macao (Chine), les entités responsables du traitement des données personnelles doivent évaluer les environnements juridiques et réglementaires des lieux de destination des données personnelles afin de garantir une protection adéquate des données transférées. À ce jour, aucun pays ou région ne figure sur la liste blanche de transfert. Si les données personnelles transférées contiennent des informations sensibles d'une personne, le transfert doit être approuvé par le GPDP. Dans le cas contraire, les données peuvent être transférées soit avec le consentement explicite de la personne concernée, soit après notification au PDPA dans les cinq circonstances définies à l'article 20 du PDPA.

Présentation :
Alibaba Cloud offre une grande flexibilité dans la conception et la mise en œuvre d'architectures informatiques dans le cloud. Alibaba Cloud fournit également un cloud public, un cloud privé et un cloud hybride pour accompagner les entreprises dans leur transformation numérique. Grâce à une conception de solution adaptée, le déploiement dans le cloud peut aider le secteur des services financiers à satisfaire les exigences réglementaires en matière de sécurité, de disponibilité, de confidentialité et de performance. Alibaba Cloud a aidé ses clients du secteur financier à améliorer leur efficacité opérationnelle et leur expérience utilisateur, à alléger la charge de la conformité en matière de sécurité et à gérer les risques informatiques dans le cadre de la transformation numérique.

Alibaba Cloud s'engage à accompagner ses clients dans la conformité aux exigences réglementaires spécifiques au secteur financier, notamment la due diligence initiale de haut niveau et l'évaluation des risques, l'enregistrement des mesures réglementaires, la conception de solutions, la migration vers le cloud et la surveillance continue de la conformité en matière de sécurité dans le cloud. Alibaba Cloud fournit une gamme complète de services et de bonnes pratiques associées pour aider ses clients à concevoir et mettre en œuvre des solutions de conformité en matière de sécurité et de protection des données personnelles.

Régulateur :
L'Autorité monétaire de Macao (AMCM) stabilise le système financier de la RAS de Macao (Chine), normalise les réglementations relatives aux marchés monétaire, financier, des changes et de l'assurance, et guide, coordonne et supervise ces marchés pour assurer leur fonctionnement normal. L'AMCM supervise en outre les opérateurs de ces marchés.

Réglementations et directives à consulter pour l'utilisation de services de cloud computing :
L'AMCM a publié une série de circulaires et de directives définissant ses dernières politiques de surveillance, exigences et orientations que les LFI doivent suivre en matière de gestion des activités d'externalisation technologique.
- Guideline on Outsourcing
- Business Continuity Management
- Incident Reporting Measures for Major Emergencies

Le cloud est-il autorisé ？
Oui.

Une approbation supplémentaire est-elle nécessaire pour l'adoption du cloud ？
L'AMCM autorise l'utilisation de services cloud par les institutions financières agréées (LFI). Les LFI doivent consulter l'AMCM avant de signer un accord d'externalisation d'activités ou de fonctions commerciales majeures et, dans les 30 jours suivant la signature de l'accord, notifier l'AMCM et continuer à gérer et surveiller les risques liés à l'externalisation. Les LFI doivent discuter à l'avance avec l'AMCM de leurs plans d'externalisation concernant les activités ou fonctions commerciales majeures et s'assurer que ces plans sont pleinement conformes au Guideline on Outsourcing. Les plans d'externalisation soumis à l'AMCM doivent généralement inclure : (i) les détails des activités ou fonctions externalisées ; (ii) les raisons de l'externalisation ; (iii) les détails des prestataires de services ; et (iv) une description des mesures prises par la LFI pour assurer sa supervision et son suivi des activités ou fonctions externalisées. L'AMCM peut en outre demander aux LFI de fournir des documents complémentaires si nécessaire.

Les accords d'externalisation offshore sont-ils autorisés ？
L'AMCM autorise les accords d'externalisation auprès d'un prestataire de services en dehors de Macao (Chine). Les LFI doivent mettre en place des cadres complets de gestion des risques avec des contrôles suffisants pour gérer les risques associés, et traiter les risques pays, la confidentialité des informations ainsi que le droit d'audit et le droit d'accès aux données de l'AMCM. Les LFI sont également tenues, conformément aux dispositions relatives au transfert transfrontalier de données du PDPA, d'obtenir l'autorisation explicite des clients et de remplir leurs obligations de déclaration auprès du GPDP.