Data Privacy Actin yleiskatsaus

Data Privacy Act on rakennettu viiden yleisperiaatteen ympärille Section 11:ssä — läpinäkyvyys, laillinen tarkoitus, suhteellisuus ja asianmukainen käsittely — ja yksityiskohtaisemman kehyksen ympärille laillisen käsittelyn kriteerien osalta Section 12:ssa. Lailliset perusteet heijastavat GDPR:ää: suostumus, sopimus, lakisääteinen velvoite, elintärkeät edut, julkinen tehtävä ja oikeutettu etu. Lailla on ekstraterritoriaalinen ulottuvuus Section 6:n nojalla: sitä sovelletaan Philippines-kansalaisen tai -asukkaan henkilötietojen käsittelyyn riippumatta siitä, missä rekisterinpitäjä on sijoittautunut, kattaen merellä toimivat kustantajat, jotka palvelevat filippiiniläistä liikennettä.

Kaksi rakenteellista ominaisuutta on operatiivisesti tärkeää. Ensinnäkin laki erottaa henkilötiedot ja arkaluonteiset henkilötiedot (Section 3, kohdat (g) ja (l)) ja soveltaa jälkimmäiseen tiukempia käsittelysääntöjä — terveys, koulutus, taloudellinen tieto ja valtion myöntämät tunnisteet kaikki luokitellaan arkaluonteisiksi Section 3(l):n nojalla. Toiseksi Section 21 edellyttää, että henkilötietojen rekisterinpitäjät ja henkilötietojen käsittelijät, jotka ylittävät määritellyt kynnykset, rekisteröityvät NPC:ssä ja nimeävät Data Protection Officerin. NPC on aktiivisesti seurannut rekisteröimättömiä rekisterinpitäjiä.

Miten Data Privacy Act käsittelee evästeitä ja verkkosuorausta

Laissa ei ole evästeitä koskevaa erityissäännöstä. Suostumus- ja tietovelvoitteet johtuvat lain Section 11:stä, Section 12:sta ja Section 16:sta sekä NPC:n vuoden 2024 Advisory verkkosuorauksesta ja käyttäytymiseen perustuvasta mainonnasta. Neuvonta on hyödyllinen asiakirja, koska se ilmaisee odotukset nimenomaisesti sen sijaan, että jättäisi ne yleisestä kehyksestä pääteltäviksi.

Myönteinen suostumus ei-välttämättömään suoraukseen

NPC:n kanta on, että suostumuksen on oltava vapaaehtoisesti annettu, erityinen, tietoinen ja todistettu kirjallisella tai sähköisellä rekisterillä. 2024 Advisory hylkää vierittämisen suostumuksena ja jatkuvan käytön suostumuksena Section 3(b):n erityinen ja tietoinen -kriteerien täyttymättömänä. Ennakkoon valitut ruudut käsitellään nimenomaisesti viallisina.

Yksityiskohtaiset luokkakontrollit

Neuvonta odottaa, että bannerit antavat käyttäjälle mahdollisuuden hyväksyä ja hylätä luokat itsenäisesti. Kaikkien luokkien hyväksyminen ilman yksityiskohtaisuutta rikkoo Section 11(d):n suhteellisuusperiaatetta, joka edellyttää käsittelyn olevan riittävää, asianmukaista, sopivaa, välttämätöntä ja ei liiallista — yksittäinen niputettu suostumus katsotaan liialliseksi, kun erottelu on teknisesti suoraviivaista.

DPO ja rekisteröintivaatimus

Rekisteröintikynnyksen ylittäville rekisterinpitäjille DPO:n nimeäminen on merkityksellinen operatiivinen vaatimus, ei paperilla tehtävä harjoitus. NPC on viitannut asianmukaisesti nimetyn DPO:n puuttumiseen useissa täytäntöönpanotoimissa, erityisesti BPO- ja fintech-sektoreilla.

Rajat ylittävä siirto (Section 21)

Lain rajat ylittävää kehystä toteutetaan NPC Circular 16-02:n kautta ulkoistamissopimuksista ja laajemmasta vastuuperiaatteesta. Siirrot ei-Philippines-vastaanottajille edellyttävät joko asianmukaisia sopimussuojia tai erityistä suostumusta. NPC on antanut mallisopimusmääräyksiä; käytännön operatiivinen odotus seuraa GDPR Chapter V:ttä sisällöllisesti, vaikka juridinen kieli eroaakin.

NPC:n täytäntöönpanoasenne

NPC on ollut yksi Kaakkois-Aasian julkisesti aktiivisimmista tietosuojaviranomaisista. Kolme mallia muovaavat sen täytäntöönpanolähestymistapaa.

Korkean näkyvyyden tietomurtoasiat

NPC on priorisoinut suurimittakaavaisten tietomurtojen tutkimukset — vuoden 2016 COMELEC äänestäjärekisterin vuoto on merkittävin — ja on käyttänyt näitä tapauksia odotusten asettamiseen laajemmalle säännellylle yhteisölle. Julkiset lausunnot tietomurtotutkimusten aikana ilmaisevat usein vaatimuksia, jotka ylittävät tiukan lakitekstissä.

BPO- ja fintech-painotus

Philippines on yksi maailman suurimmista BPO- ja yhteyskeskustalousista, ja NPC on historiallisesti kohdentanut täytäntöönpanon näihin sektoreihin. Filippiiniläisiä käyttäjiä kohdeyleisönä pitäville mainostuettujen yritysten kustantajille yleisön ympärillä oleva sääntelykliima on muovattu BPO-vaatimustenmukaisuusasenteella, vaikka kustantaja itse ei olisikaan kyseisellä sektorilla.

Koordinointi ASEAN-sääntelijöiden kanssa

NPC osallistuu ASEAN Data Management Framework -työvirtaan ja ylläpitää työsuhdetta Singapore PDPC:n, Thailand PDPC:n, Indonesian kehittyvän viranomaisen ja EU EDPB:n kanssa. Philippines- ja eurooppalaiseen liikenteeseen liittyviä rajat ylittäviä tutkimuksia käsitellään yhä useammin koordinoiduilla menettelyillä.

Käytännön vaatimustenmukaisuuden tarkistuslista

Kuusi konkreettista kysymystä, joihin vastataan minkä tahansa Philippines-liikennettä palvelevan evästebannerin osalta.

• Onko rekisterinpitäjä NPC-rekisteröity? Jos käsittely ylittää rekisteröintikynnyksen, vahvista, että NPC-rekisteröinti on voimassa ja DPO-nimeäminen on asiakirjoissa.
• Onko ensimmäisessä kerroksessa nimenomainen hylkääminen? Hylkäyspolun on sijaittava samalla pinnalla kuin hyväksyminen, vastaavalla näkyvyydellä. Vierittäminen suostumuksena ei täytä 2024 Advisory -vaatimuksia.
• Ovatko luokat yksityiskohtaisia? Välttämätön, analytiikka ja markkinointi on voitava hallita erikseen.
• Onko arkaluonteinen tieto erityisesti portitettu? Evästeiden osalta, jotka keräävät terveys-, talous- tai hallituksen tunnukseen liittyviä tietoja, vahvista nimenomainen opt-in, joka on erillinen yleisestä markkinointisuostumuksesta.
• Ovatko rajat ylittävät siirrot dokumentoitu? Tunnista jokainen ei-Philippines-kohde ja siirron valtuuttava suoja (sopimusmääräykset, nimenomainen suostumus tai poikkeus).
• Onko suostumuksen kirjaaminen tarkastuskelpoista? Section 3(b) edellyttää suostumuksen olevan todistettu kirjallisilla, sähköisillä tai tallennetuilla keinoilla — kirjaaminen ei ole valinnaista.

Missä Philippines sijoittuu monijurisdiktioisessa pinossa

Philippines on yksi neljästä operatiivisesti merkittävimmästä ASEAN-tietosuojajärjestelmästä Singapore, Thailand ja Indonesian rinnalla. Data Privacy Actin vuoden 2012 ikä tarkoittaa, että se on GDPR:ää vanhempi, mutta NPC:n kiertokirjepohjainen nykyaikaistaminen on tasaisesti sovittanut operatiivisen standardin eurooppalaisiin normeihin. Kustantajille, jotka rakentavat kohti pan-ASEAN-toimintoja, Philippines sijoittuu muiden kolmen rinnalle markkinana, jossa eurooppalaisiin standardeihin rakennettu CMP-arkkitehtuuri hoitaa suurimman osan vaatimustenmukaisuudesta kahdella erityisellä lisäyksellä: NPC-rekisteröinti kynnysarvojen soveltuessa ja arkaluonteisten tietojen suostumuskerros, joka erottaa Philippines-kehyksen löyhemmistä alueellisista vaihtoehdoista. Sääntelykehyksen englanninkielinen luonne — epätavallinen ASEAN:ssa — tekee Philippines-alueesta poikkeuksellisen helposti lähestyttävän vaatimustenmukaisuuskohteen merellä toimiville operaattoreille, joilla ei ole paikallista neuvonantajaa.