Ο Data Privacy Act σε Περίγραμμα

Ο Data Privacy Act δομείται γύρω από πέντε γενικές αρχές στο Section 11 — διαφάνεια, νόμιμος σκοπός, αναλογικότητα και ορθή διαχείριση — και ένα πιο αναλυτικό πλαίσιο για τα κριτήρια νόμιμης επεξεργασίας στο Section 12. Οι νόμιμες βάσεις αντικατοπτρίζουν το GDPR: συγκατάθεση, σύμβαση, νομική υποχρέωση, ζωτικά συμφέροντα, δημόσια λειτουργία και έννομο συμφέρον. Ο νόμος έχει εξωεδαφική εμβέλεια βάσει του Section 6: εφαρμόζεται στην επεξεργασία προσωπικών πληροφοριών ενός Φιλιππινέζου πολίτη ή κατοίκου ανεξαρτήτως του πού είναι εγκατεστημένος ο υπεύθυνος επεξεργασίας, καλύπτοντας τους εξωχώριους εκδότες που εξυπηρετούν φιλιππινέζικη κίνηση.

Δύο δομικά χαρακτηριστικά έχουν λειτουργική σημασία. Πρώτον, ο νόμος διακρίνει μεταξύ "προσωπικών πληροφοριών" και "ευαίσθητων προσωπικών πληροφοριών" (Section 3, παράγραφοι (g) και (l)) και εφαρμόζει αυστηρότερους κανόνες επεξεργασίας στις τελευταίες — οι πληροφορίες υγείας, εκπαίδευσης, οικονομικές πληροφορίες και αναγνωριστικά που εκδίδονται από την κυβέρνηση χαρακτηρίζονται ως ευαίσθητες βάσει του Section 3(l). Δεύτερον, το Section 21 απαιτεί από τους υπεύθυνους επεξεργασίας και τους εκτελούντες επεξεργασία προσωπικών πληροφοριών που υπερβαίνουν συγκεκριμένα όρια να εγγραφούν στην NPC και να ορίσουν Υπεύθυνο Προστασίας Δεδομένων DPO. Η NPC έχει επιθετικά ακολουθήσει τους μη εγγεγραμμένους υπεύθυνους επεξεργασίας.

Πώς Αντιμετωπίζει ο Data Privacy Act τα Cookies και την Online Παρακολούθηση

Ο νόμος δεν περιέχει ειδική διάταξη για τα cookies. Οι υποχρεώσεις συγκατάθεσης και ενημέρωσης απορρέουν από τα Section 11, 12 και 16 του νόμου και από το 2024 Advisory της NPC για την online παρακολούθηση και συμπεριφορική διαφήμιση. Το Advisory είναι ένα χρήσιμο έγγραφο επειδή διατυπώνει τις προσδοκίες ρητά αντί να τις αφήνει να συναχθούν από το γενικό πλαίσιο.

Καταφατική συγκατάθεση για μη απαραίτητη παρακολούθηση

Η θέση της NPC είναι ότι η συγκατάθεση πρέπει να δίνεται ελεύθερα, να είναι συγκεκριμένη, ενημερωμένη και τεκμηριωμένη με γραπτό ή ηλεκτρονικό αρχείο. Το 2024 Advisory απορρίπτει την κύλιση ως συγκατάθεση και τη συνεχιζόμενη χρήση ως συγκατάθεση ως αποτυχία εκπλήρωσης των απαιτήσεων "συγκεκριμένης" και "ενημερωμένης" του Section 3(b). Τα προεπιλεγμένα πλαίσια ελέγχου αντιμετωπίζονται ρητά ως ελαττωματικά.

Λεπτομερείς κατηγορικοί έλεγχοι

Το Advisory αναμένει ότι τα banners θα επιτρέπουν στον χρήστη να αποδέχεται και να απορρίπτει κατηγορίες ανεξάρτητα. Η συνδυαστική αποδοχή όλων χωρίς λεπτομέρειες αποτυγχάνει στην αρχή της αναλογικότητας βάσει Section 11(d), που απαιτεί η επεξεργασία να είναι "επαρκής, συναφής, κατάλληλη, αναγκαία και όχι υπερβολική" — μια ενιαία συνδυαστική συγκατάθεση θεωρείται υπερβολική όταν ο διαχωρισμός είναι τεχνικά απλός.

Ο DPO και η απαίτηση εγγραφής

Για υπεύθυνους επεξεργασίας πάνω από το όριο εγγραφής, ο ορισμός DPO είναι ουσιαστική λειτουργική απαίτηση, όχι τυπική διαδικασία. Η NPC έχει αναφέρει την απουσία κατάλληλα ορισμένου DPO σε αρκετές ενέργειες επιβολής, ιδιαίτερα στους τομείς BPO και fintech.

Διασυνοριακή μεταφορά (Section 21)

Το διασυνοριακό πλαίσιο του νόμου εφαρμόζεται μέσω NPC Circular 16-02 για Συμφωνίες Outsourcing και της ευρύτερης αρχής λογοδοσίας. Οι μεταφορές σε μη Φιλιππινέζους αποδέκτες απαιτούν είτε κατάλληλες συμβατικές εγγυήσεις είτε συγκεκριμένη συγκατάθεση. Η NPC έχει εκδώσει τυποποιημένες συμβατικές ρήτρες· η πρακτική λειτουργική προσδοκία ακολουθεί ουσιαστικά το GDPR Chapter V ακόμα και όπου η νομική γλώσσα διαφέρει.

Η Επιβλητική Στάση της NPC

Η NPC υπήρξε μία από τις πιο δημόσια ενεργές αρχές προστασίας δεδομένων στη Νοτιοανατολική Ασία. Τρία πρότυπα διαμορφώνουν την προσέγγισή της στην επιβολή.

Υψηλής ορατότητας υποθέσεις παραβιάσεων

Η NPC ιεράρχησε τις έρευνες μεγάλης κλίμακας παραβιάσεων — η διαρροή του μητρώου ψηφοφόρων COMELEC του 2016 είναι η πιο σημαντική — και χρησιμοποίησε αυτές τις υποθέσεις για να θέσει προσδοκίες για τη γενικότερη ρυθμιζόμενη κοινότητα. Οι δημόσιες δηλώσεις κατά τη διάρκεια ερευνών παραβιάσεων συχνά διατυπώνουν απαιτήσεις που υπερβαίνουν το αυστηρό νομοθετικό κείμενο.

Εστίαση σε BPO και fintech

Οι Φιλιππίνες είναι μία από τις μεγαλύτερες οικονομίες BPO και τηλεφωνικών κέντρων στον κόσμο, και η NPC έχει ιστορικά εστιάσει την επιβολή σε αυτούς τους τομείς. Για εκδότες που λειτουργούν διαφημιστικά υποστηριζόμενες επιχειρήσεις που απευθύνονται σε Φιλιππινέζους χρήστες, το ρυθμιστικό κλίμα γύρω από το κοινό διαμορφώνεται από τη στάση συμμόρφωσης BPO, ακόμα και όταν ο ίδιος ο εκδότης δεν ανήκει σε αυτόν τον τομέα.

Συντονισμός με τους ρυθμιστές ASEAN

Η NPC συμμετέχει στη ροή εργασίας ASEAN Data Management Framework και διατηρεί εργασιακές σχέσεις με το PDPC της Σιγκαπούρης, το PDPC της Ταϊλάνδης, την αναδυόμενη αρχή της Ινδονησίας και το EDPB της ΕΕ. Οι διασυνοριακές έρευνες που περιλαμβάνουν φιλιππινέζικη και ευρωπαϊκή κίνηση αντιμετωπίζονται όλο και περισσότερο μέσω συντονισμένων διαδικασιών.

Ένα Πρακτικό Checklist Συμμόρφωσης

Έξι συγκεκριμένες ερωτήσεις για να απαντηθούν για οποιοδήποτε banner cookies εξυπηρετεί φιλιππινέζικη κίνηση.

• Είναι εγγεγραμμένος ο υπεύθυνος επεξεργασίας στην NPC; Εάν η επεξεργασία υπερβαίνει το όριο εγγραφής, επιβεβαιώστε ότι η εγγραφή NPC είναι ενημερωμένη και ο ορισμός DPO τεκμηριωμένος.
• Υπάρχει ρητή απόρριψη στο πρώτο επίπεδο; Η διαδρομή απόρριψης πρέπει να βρίσκεται στην ίδια επιφάνεια με την αποδοχή με συγκρίσιμη εμφάνεια. Η κύλιση ως συγκατάθεση δεν πληροί τις απαιτήσεις του 2024 Advisory.
• Είναι λεπτομερείς οι κατηγορίες; Τα απαραίτητα, αναλυτικά και διαφημιστικά cookies πρέπει να ελέγχονται χωριστά.
• Είναι ειδικά περιορισμένες οι ευαίσθητες πληροφορίες; Για cookies που συλλέγουν δεδομένα υγείας, οικονομικά ή συναφή κυβερνητικό αναγνωριστικό, επιβεβαιώστε ρητή opt-in που διαφέρει από τη γενική συγκατάθεση μάρκετινγκ.
• Τεκμηριώνονται οι διασυνοριακές μεταφορές; Προσδιορίστε κάθε μη φιλιππινέζικο προορισμό και την εγγύηση που εξουσιοδοτεί τη μεταφορά (συμβατικές ρήτρες, ρητή συγκατάθεση ή παρέκκλιση).
• Είναι η καταγραφή συγκατάθεσης επιπέδου ελέγχου; Το Section 3(b) απαιτεί η συγκατάθεση να είναι "τεκμηριωμένη με γραπτά, ηλεκτρονικά ή καταγεγραμμένα μέσα" — η καταγραφή δεν είναι προαιρετική.

Η Θέση των Φιλιππίνων σε μια Πολυδικαιοδοτική Στοίβα

Οι Φιλιππίνες είναι ένα από τα τέσσερα λειτουργικά σημαντικότερα καθεστώτα προστασίας δεδομένων ASEAN μαζί με τη Σιγκαπούρη, την Ταϊλάνδη και την Ινδονησία. Η χρονολογία 2012 του νόμου σημαίνει ότι προηγείται του GDPR, αλλά ο εκσυγχρονισμός που οδηγεί η NPC μέσω εγκυκλίων έχει σταδιακά ευθυγραμμίσει το λειτουργικό πρότυπο με τα ευρωπαϊκά πρότυπα. Για εκδότες που χτίζουν πανασιατικές δραστηριότητες, οι Φιλιππίνες στέκονται δίπλα στις άλλες τρεις ως αγορά όπου μια αρχιτεκτονική CMP χτισμένη σε ευρωπαϊκά πρότυπα αντιμετωπίζει τη μεγαλύτερη μερίδα συμμόρφωσης με δύο συγκεκριμένες προσθήκες: εγγραφή NPC όπου ισχύουν τα όρια, και το επίπεδο συγκατάθεσης ευαίσθητων πληροφοριών που διακρίνει το φιλιππινέζικο πλαίσιο από χαλαρότερες περιφερειακές εναλλακτικές. Ο αγγλόφωνος χαρακτήρας του ρυθμιστικού πλαισίου — ασυνήθιστος στην ASEAN — κάνει τις Φιλιππίνες εξαιρετικά προσβάσιμο στόχο συμμόρφωσης για offshore χειριστές που δεν έχουν τοπική νομική συμβουλή.