Pangkalahatang-ideya ng Data Privacy Act

Ang Data Privacy Act ay nakabalangkas sa paligid ng limang pangkalahatang prinsipyo sa Section 11 — transparency, lehitimong layunin, proporsyonalidad, at wastong pamamahala — at isang mas detalyadong balangkas para sa mga pamantayan ng legal na pagpoproseso sa Section 12. Ang mga legal na batayan ay sumasalamin sa GDPR: pahintulot, kontrata, legal na obligasyon, mahahalagang interes, pampublikong gawain, at lehitimong interes. Ang Batas ay may extraterritorial na saklaw sa ilalim ng Section 6: nalalapat ito sa pagpoproseso ng personal na impormasyon tungkol sa isang mamamayan o residente ng Philippines anuman ang lokasyon ng controller, na sumasaklaw sa mga offshore publisher na naglilingkod sa trapikong Pilipino.

Dalawang katangiang istruktura ang may kaugnayan sa operasyon. Una, ang Batas ay nagtatangi sa pagitan ng personal na impormasyon at sensitibong personal na impormasyon (Section 3, mga talata (g) at (l)) at naglalapat ng mas mahigpit na mga panuntunan sa pagpoproseso sa huli — ang kalusugan, edukasyon, impormasyon sa pananalapi, at mga identifier na inisyu ng gobyerno ay lahat ay kwalipikado bilang sensitibo sa ilalim ng Section 3(l). Pangalawa, nangangailangan ang Section 21 na ang mga personal na impormasyon na controller at processor na lampas sa mga tinukoy na threshold ay magrehistro sa NPC at mag-designate ng Data Protection Officer. Aktibong sinusubaybayan ng NPC ang mga hindi nakarehistrong controller.

Paano Tinatrato ng Data Privacy Act ang Mga Cookie at Online na Pagsubaybay

Ang Batas ay walang tukoy na probisyon para sa cookie. Ang mga obligasyon sa pahintulot at impormasyon ay nagmumula sa Sections 11, 12, at 16 ng Batas at mula sa 2024 Advisory ng NPC sa Online Tracking at Behavioral Advertising. Ang Advisory ay isang kapaki-pakinabang na dokumento dahil tahasan nitong ipinapahayag ang mga inaasahan sa halip na iwan ang mga ito upang mahihinuha mula sa pangkalahatang balangkas.

Positibong pahintulot para sa hindi-esensyal na pagsubaybay

Ang posisyon ng NPC ay ang pahintulot ay dapat na malayang ibinigay, tiyak, may kaalaman, at pinatunayan ng isang nakasulat o elektronikong rekord. Tinatanggihan ng 2024 Advisory ang scroll-as-consent at continued-use-as-consent bilang pagpalya sa tiyak at may kaalaman na pamantayan ng Section 3(b). Ang mga pre-ticked na kahon ay tahasan na itinuring na may depekto.

Mga granular na kontrol sa kategorya

Inaasahan ng Advisory na pahintulutan ng mga banner ang gumagamit na tanggapin at tanggihan ang mga kategorya nang nakapag-iisa. Ang bundled accept-all nang walang granularity ay nabigo sa prinsipyo ng proporsyonalidad sa ilalim ng Section 11(d), na nangangailangan na ang pagpoproseso ay sapat, may kaugnayan, angkop, kinakailangan, at hindi labis — ang isang solong bundled na pahintulot ay itinuring na labis kapag ang paghihiwalay ay teknikal na simple.

Ang DPO at kinakailangan ng pagpaparehistro

Para sa mga controller na higit sa threshold ng pagpaparehistro, ang DPO designation ay isang makabuluhang kinakailangan sa operasyon, hindi isang ehersisyo sa papel. Binanggit ng NPC ang kawalan ng wastong itinalagang DPO sa ilang mga aksyon sa pagpapatupad, lalo na sa mga sektor ng BPO at fintech.

Cross-border na paglipat (Section 21)

Ang cross-border na balangkas ng Batas ay ipinapatupad sa pamamagitan ng NPC Circular 16-02 sa Mga Kasunduan sa Outsourcing at ang mas malawak na prinsipyo ng pananagutan. Ang mga paglipat sa mga tatanggap na hindi-Philippines ay nangangailangan ng alinman sa mga naaangkop na kontraktuwal na pangangalaga o tiyak na pahintulot. Nag-isyu ang NPC ng mga modelo ng kontraktuwal na probisyon; ang praktikal na inaasahan ng operasyon ay sinusubaybayan ang GDPR Chapter V sa substansya kahit na nagkakaiba ang legal na wika.

Postura ng Pagpapatupad ng NPC

Ang NPC ay isa sa mga mas aktibong awtoridad sa proteksyon ng data sa Timog-silangang Asya sa publiko. Tatlong pattern ang humuhubog sa diskarte nito sa pagpapatupad.

Mga kaso ng paglabag na may mataas na visibility

Inuuna ng NPC ang malalaking imbestigasyon ng paglabag — ang 2016 na pagtagas ng rehistro ng botante ng COMELEC ang pinakamahalaga — at ginamit ang mga kasong iyon upang itakda ang mga inaasahan para sa mas malawak na komunidad na pinamamahalaan. Ang mga pampublikong pahayag sa panahon ng mga imbestigasyon sa paglabag ay madalas na nagpapahayag ng mga kinakailangan na higit pa sa mahigpit na teksto ng batas.

Pokus sa BPO at fintech

Ang Philippines ay isa sa pinakamalaking ekonomiya ng BPO at call-center sa mundo, at ang NPC ay makasaysayang nakatutok sa pagpapatupad sa mga sektong ito. Para sa mga publisher na nagpapatakbo ng mga negosyong sinusuportahan ng ad na nagta-target sa mga gumagamit ng Philippines, ang regulatoryong klima sa paligid ng audience ay hinuhubog ng postura ng pagsunod ng BPO kahit na ang publisher mismo ay wala sa sektong iyon.

Koordinasyon sa mga regulator ng ASEAN

Nakikilahok ang NPC sa workstream ng ASEAN Data Management Framework at nagpapanatili ng mga relasyon sa trabaho sa Singapore PDPC, Thailand PDPC, ang umuusbong na awtoridad ng Indonesia, at ang EU EDPB. Ang mga cross-border na imbestigasyon na kinasasangkutan ng trapiko ng Philippines at Europeo ay lalong pinamamahalaan sa pamamagitan ng mga koordinadong pamamaraan.

Praktikal na Checklist ng Pagsunod

Anim na kongkretong tanong na sasagutin para sa anumang cookie banner na naglilingkod sa trapikong Pilipino.

• Nakarehistra ba ang controller sa NPC? Kung ang pagpoproseso ay lumagpas sa threshold ng pagpaparehistro, kumpirmahin na ang pagpaparehistro sa NPC ay kasalukuyan at ang DPO designation ay nasa file.
• Mayroon bang tahasang pagtanggi sa unang layer? Ang landas ng pagtanggi ay dapat nasa parehong ibabaw ng tinatanggap, na may kapareho ng katanyagan. Ang scroll-as-consent ay nabigo sa 2024 Advisory.
• Granular ba ang mga kategorya? Ang kinakailangan, analytics, at marketing ay dapat na hiwalay na makontrol.
• Espesipiko bang naka-gate ang sensitibong impormasyon? Para sa anumang mga cookie na nagkukuha ng data na nauugnay sa kalusugan, pananalapi, o katulad ng government-ID, kumpirmahin ang tahasang opt-in na naiiba sa pangkalahatang pahintulot sa marketing.
• Naidokumento ba ang mga cross-border na paglipat? Tukuyin ang bawat destinasyon na hindi-Philippines at ang pangangalaga na nagpapahintulot ng paglipat (mga probisyong kontraktuwal, tahasang pahintulot, o derogasyon).
• Audit-grade ba ang pag-log ng pahintulot? Nangangailangan ang Section 3(b) na ang pahintulot ay patunayan ng nakasulat, elektroniko, o naitala na paraan — ang pag-log ay hindi opsyonal.

Kung Saan Akma ang Philippines sa isang Multi-Jurisdiction Stack

Ang Philippines ay isa sa apat na pinaka-operasyonalmente makabuluhang rehimen ng proteksyon ng data ng ASEAN kasama ang Singapore, Thailand, at Indonesia. Ang edad ng 2012 ng Data Privacy Act ay nangangahulugang nauna pa ito sa GDPR, ngunit ang modernisasyon na pinapatakbo ng circular ng NPC ay patuloy na nag-align ng pamantayang operasyon sa mga pamantayan ng Europa. Para sa mga publisher na nagtatayo patungo sa mga operasyon ng pan-ASEAN, ang Philippines ay kabi-kabila ng tatlo pa bilang isang merkado kung saan ang arkitektura ng CMP na itinayo ayon sa pamantayang Europeo ay humahawak sa karamihan ng pagsunod nang may dalawang tiyak na karagdagan: pagpaparehistro ng NPC kung saan nalalapat ang mga threshold, at ang layer ng pahintulot sa sensitibong impormasyon na nagtatangi sa balangkas ng Philippines mula sa mas maluwag na mga alternatibo sa rehiyon. Ang katangian ng wikang Ingles ng regulatoryong balangkas — hindi karaniwan sa ASEAN — ay ginagawang hindi karaniwang accessible na target ng pagsunod ang Philippines para sa mga offshore operator na walang lokal na tagapayo.