Законът за защита на личните данни в общи линии

Законът за защита на личните данни е структуриран около пет общи принципа в Section 11 — прозрачност, законна цел, пропорционалност и правилно обработване — и по-подробна рамка за критериите на законосъобразното обработване в Section 12. Законните основания отразяват GDPR: съгласие, договор, законово задължение, жизненоважни интереси, публична функция и законен интерес. Законът има извънтериториален обхват съгласно Section 6: той се прилага към обработването на лична информация на филипински гражданин или резидент независимо от местонахождението на администратора, обхващайки чуждестранните издатели, обслужващи филипинския трафик.

Две структурни характеристики имат оперативно значение. Първо, Законът прави разлика между „лична информация" и „чувствителна лична информация" (Section 3, параграфи (g) и (l)) и прилага по-строги правила за обработване към последната — здравна, образователна, финансова информация и издадени от правителството идентификатори попадат в категорията на чувствителните съгласно Section 3(l). Второ, Section 21 изисква администраторите и обработващите лична информация над определени прагове да се регистрират в NPC и да определят Длъжностно лице по защита на данните (DPO). NPC е активно преследвала нерегистрирани администратори.

Как Законът третира бисквитките и онлайн проследяването

Законът не съдържа специфична разпоредба за бисквитки. Задълженията за съгласие и информация произтичат от Section 11, 12 и 16 на Закона и от Консултативното становище на NPC от 2024 г. относно онлайн проследяването и поведенческата реклама. Консултативното становище е полезен документ, тъй като формулира изискванията изрично, вместо да ги оставя за извеждане от общата рамка.

Изрично съгласие за несъществено проследяване

Позицията на NPC е, че съгласието трябва да бъде свободно дадено, конкретно, информирано и доказано с писмен или електронен запис. Консултативното становище от 2024 г. отхвърля превъртането като съгласие и продължаването на използването като съгласие, тъй като те не отговарят на изискванията за „конкретност" и „информираност" по Section 3(b). Предварително отметнатите квадратчета изрично се третират като дефектни.

Детайлни категорийни контроли

Консултативното становище очаква банерите да позволяват на потребителя да приема и отхвърля категории независимо. Обобщеното „приемам всички" без детайлизация нарушава принципа на пропорционалност съгласно Section 11(d), който изисква обработването да бъде „адекватно, уместно, подходящо, необходимо и не прекомерно" — едно обобщено съгласие се третира като прекомерно, когато разделянето е технически лесно.

DPO и изискването за регистрация

За администраторите над прага за регистрация, назначаването на DPO е значимо оперативно изискване, а не формалност. NPC е цитирала липсата на правилно назначен DPO в няколко принудителни действия, особено в секторите BPO и финтех.

Трансгранично предаване (Section 21)

Трансграничната рамка на Закона се прилага чрез NPC Circular 16-02 относно договорите за аутсорсинг и по-широкия принцип на отчетност. Предаването на получатели извън Филипините изисква или подходящи договорни гаранции, или конкретно съгласие. NPC е издала типови договорни клаузи; практическото оперативно очакване следва GDPR Chapter V по същество, дори когато правният език се различава.

Правоприлагащата позиция на NPC

NPC е един от по-публично активните органи за защита на данните в Югоизточна Азия. Три модела оформят нейния подход към правоприлагане.

Случаи на нарушения с висока видимост

NPC е приоритизирала разследванията на мащабни нарушения — изтичането на данни от регистъра на избирателите на COMELEC от 2016 г. е най-показателното — и е използвала тези случаи, за да постави изисквания пред по-широката регулирана общност. Публичните изявления по време на разследванията на нарушения нерядко формулират изисквания, надхвърлящи строгия законодателен текст.

Фокус върху BPO и финтех

Филипините са една от най-големите икономики в сферата на BPO и кол-центровете в света, и NPC е исторически фокусирала правоприлагането върху тези сектори. За издателите, управляващи рекламно подкрепен бизнес, насочен към филипински потребители, регулаторният климат около аудиторията е оформен от позицията за съответствие в BPO, дори когато самият издател не е в този сектор.

Координация с регулаторите на ASEAN

NPC участва в работния поток на Рамката за управление на данни на ASEAN и поддържа работни взаимоотношения с PDPC на Сингапур, PDPC на Тайланд, новосъздадения орган на Индонезия и EDPB на ЕС. Трансграничните разследвания, включващи филипински и европейски трафик, все по-често се обработват чрез координирани процедури.

Практически контролен списък за съответствие

Шест конкретни въпроса за отговор за всеки банер с бисквитки, обслужващ филипински трафик.

• Регистриран ли е администраторът в NPC? Ако обработването надхвърля прага за регистрация, потвърдете, че регистрацията в NPC е актуална и назначаването на DPO е документирано.
• Има ли изрично „Отказвам" на първия слой? Пътят за отказ трябва да е на същата повърхност като „Приемам" с съпоставима видимост. Превъртането като съгласие не отговаря на Консултативното становище от 2024 г.
• Детайлизирани ли са категориите? Необходимите, аналитичните и маркетинговите бисквитки трябва да бъдат управляеми поотделно.
• Чувствителната информация специално ли е ограничена? За всички бисквитки, улавящи здравни, финансови или свързани с правителствен идентификатор данни, потвърдете изрично включване, различно от общото маркетингово съгласие.
• Документирани ли са трансграничните предавания? Идентифицирайте всяка дестинация извън Филипините и гаранцията, разрешаваща предаването (договорни клаузи, изрично съгласие или дерогация).
• Записите на съгласие на ниво одит ли са? Section 3(b) изисква съгласието да бъде „доказано с писмени, електронни или записани средства" — воденето на дневник не е по избор.

Мястото на Филипините в многоюрисдикционния стек

Филипините са едни от четирите най-оперативно значими режима за защита на данните в ASEAN заедно със Сингапур, Тайланд и Индонезия. Годината на приемане на Закона — 2012 г. — означава, че той предшества GDPR, но модернизацията на NPC чрез циркуляри е постепенно привела оперативния стандарт в съответствие с европейските норми. За издатели, изграждащи паназиатски операции, Филипините застават редом с другите три пазара, на които CMP архитектура, изградена по европейски стандарти, обработва по-голямата част от съответствието с две конкретни допълнения: регистрация в NPC, когато се прилагат праговете, и слоят за съгласие за чувствителна информация, който отличава филипинската рамка от по-неформалните регионални алтернативи. Англоезичният характер на регулаторната рамка — необичаен в ASEAN — прави Филипините изключително достъпна цел за съответствие за чуждестранни оператори, нямащи местни правни консултанти.