Andmekaitseseaduse ülevaade

Andmekaitseseadus on struktureeritud viie üldprintsiibi ümber Section 11 — läbipaistvus, seaduslik eesmärk, proportsionaalsus ja nõuetekohane käitlemine — ning üksikasjalikuma raamistikuga seadusliku töötlemise kriteeriumide jaoks Section 12. Õiguslikud alused peegeldavad GDPRi: nõusolek, leping, juriidiline kohustus, elutähtsad huvid, avalik ülesanne ja õigustatud huvi. Seadusel on ekstraterritooriaalne ulatus Section 6 kohaselt: see kehtib Philippines kodaniku või elaniku isikuandmete töötlemisele olenemata sellest, kus vastutav töötleja asub, hõlmates meretaguseid kirjastajaid, kes teenindavad Filipiinide liiklust.

Kaks struktuurilist aspekti on tegevuslikult olulised. Esiteks teeb seadus vahet isikuandmetel ja delikaatsetel isikuandmetel (Section 3, lõiked (g) ja (l)) ning kohaldab viimaste suhtes rangemaid töötlemiseeskirju — tervis, haridus, finantsteave ja riigi väljastatud identifikaatorid kvalifitseeruvad kõik delikaatseteks Section 3(l) alusel. Teiseks nõuab Section 21, et isikuandmete vastutavad töötlejad ja volitatud töötlejad, kes ületavad määratud künniseid, registreeriksid end NPC-s ja määraksid Data Protection Officer. NPC on aktiivselt järginud registreerimata vastutavaid töötlejaid.

Kuidas Data Privacy Act kohtleb küpsiseid ja veebijälgimist

Seadus ei sisalda küpsistekohast sätet. Nõusoleku- ja teavitamiskohustused tulenevad seaduse Section 11, Section 12 ja Section 16 ning NPC 2024 Advisory veebijälgimise ja käitumusliku reklaami kohta. Nõuandekirjast on kasu, kuna see sõnastab ootused selgesõnaliselt, selle asemel et jätta need tuletamiseks üldisest raamistikust.

Otsene nõusolek mittevajalikuks jälgimiseks

NPC seisukoht on, et nõusolek peab olema vabatahtlikult antud, konkreetne, teadlik ja tõendatud kirjaliku või elektroonilise registriga. 2024 Advisory lükkab tagasi kerimise-nõusolekuna ja jätkuva kasutuse-nõusolekuna käsitlemise kui Section 3(b) kohaselt puuduliku. Eelnevalt märgitud lahtrid loetakse selgesõnaliselt defektseks.

Üksikasjalikud kategooriahaldurid

Nõuandekiri ootab, et bännerid võimaldaksid kasutajal kategooriaid sõltumatult aktsepteerida ja tagasi lükata. Kõikide kategooriate aktsepteerimine ilma üksikasjalikkuseta rikub Section 11(d) proportsionaalsusprintsiipi, mis nõuab, et töötlemine oleks piisav, asjakohane, sobiv, vajalik ja mitte ülemäärane — ühtset koondnõusolekut käsitletakse ülemäärasena, kui eraldamine on tehniliselt lihtne.

DPO ja registreerimisnõue

Registreerimiskünnist ületavate vastutavate töötlejate jaoks on DPO määramine sisukas tegevusnõue, mitte paberil harjutus. NPC on tsiteerinud nõuetekohaselt määratud DPO puudumist mitmetes täitmismeetmetes, eriti BPO ja fintechsektorites.

Piiriülene andmeedastus (Section 21)

Seaduse piiriülest andmeedastust käsitlev raamistik rakendatakse NPC Circular 16-02 allhankelepingute kohta ja laialdasema vastutuspõhimõtte kaudu. Mitte-Philippines saajatele edastamine nõuab kas asjakohaseid lepingulisi kaitsemeetmeid või konkreetset nõusolekut. NPC on väljastanud näidislepingute sätted; praktiline tegevusootus järgib sisuliselt GDPR Chapter V, isegi kui õiguslik keel erineb.

NPC täitmishoiak

NPC on olnud Kagu-Aasia aktiivsemaid andmekaitseametnikke avalikkuse ees. Kolm mustrit kujundavad selle täitmislähenemist.

Kõrge nähtavusega rikkumisjuhtumid

NPC on seadnud prioriteediks laiaulatuslike rikkumiste uurimise — 2016. aasta COMELEC valijate registri leke on kõige olulisem — ning on kasutanud neid juhtumeid laiema reguleeritud kogukonna ootuste kehtestamiseks. Avalikud avaldused rikkumiste uurimiste käigus sõnastavad sageli nõudeid, mis ületavad ranget seaduse teksti.

BPO ja fintechfookus

Philippines on üks maailma suurimaid BPO ja kõnekeskuste majandusi ning NPC on ajalooliselt koondanud täitmise neile sektoritele. Reklaamtoetusega ettevõtteid juhtivate kirjastajate jaoks, kes sihivad Philippines kasutajaid, kujuneb regulatiivne kliima publiku ümber BPO vastavushoiaku tõttu, isegi kui kirjastaja ise pole selles sektoris.

Koostöö ASEAN regulaatoritega

NPC osaleb ASEAN andmehalduse raamistiku töövoos ja hoiab töökontakte Singapore PDPC, Thailand PDPC, Indoneesia kujuneva ametiasutuse ja EU EDPB-ga. Philippines ja Euroopa liiklust hõlmavad piiriülesed uurimised lahendatakse üha enam koordineeritud menetluste kaudu.

Praktiline vastavuskontrolliloend

Kuus konkreetset küsimust, millele vastata mis tahes küpsistebänneri puhul, mis teenindab Philippines liiklust.

• Kas vastutav töötleja on NPC-s registreeritud? Kui töötlemine ületab registreerimiskünnist, kinnitage, et NPC registreerimine on ajakohane ja DPO määramine on toimikus.
• Kas esimesel kihil on otsene tagasilükkamine? Tagasilükkamise tee peab asuma samal pinnal kui aktsepteerimine, sarnase nähtavusega. Kerimise-nõusolek ei vasta 2024 Advisory nõuetele.
• Kas kategooriad on üksikasjalikud? Vajalikke, analüütilisi ja turundusküpsiseid peab saama eraldi hallata.
• Kas delikaatne teave on spetsiaalselt piiratud? Kõigi küpsiste puhul, mis koguvad tervise-, finants- või riigi ID-ga seotud andmeid, kinnitage selgesõnaline opt-in, mis erineb üldisest turunduse nõusolekust.
• Kas piiriülesed edastused on dokumenteeritud? Tuvastage iga mitte-Philippines sihtkoht ja edastust lubav kaitsemeede (lepingulised sätted, selgesõnaline nõusolek või erand).
• Kas nõusoleku logimine on auditikvaliteediga? Section 3(b) nõuab, et nõusolek oleks tõendatud kirjaliku, elektroonilise või salvestatud vahendiga — logimine ei ole vabatahtlik.

Kus Philippines asub mitmejurisdiktsioonilises struktuuris

Philippines on üks neljast kõige tegevuslikult olulisemast ASEAN andmekaitserežiimist koos Singapore, Tai ja Indoneesiaga. Data Privacy Act 2012. aasta ajalugu tähendab, et see on vanem kui GDPR, kuid NPC ringkirjapõhine ajakohastamine on pidevalt viinud tegevusstandardi vastavusse Euroopa normidega. Kirjastajatele, kes ehitavad üle-ASEAN-tegevust, asuvad Philippines teiste kolme kõrval turuks, kus Euroopa standarditele üles ehitatud CMP arhitektuur käsitleb enamiku vastavusest kahe konkreetse lisandusega: NPC registreerimine künniste kohaldamisel ja delikaatse teabe nõusolekukiht, mis eristab Philippines raamistikku leebemate piirkondlike alternatiivide seast. Regulatiivse raamistiku ingliskeelne olemus — ebatavaline ASEAN-is — muudab Philippines ebaharilikult ligipääsetavaks vastavuseesmärgiks mere taga tegutsevatele operaatoritele, kellel puudub kohalik nõustaja.