Data Privacy Act בתמצית

Data Privacy Act מובנה סביב חמישה עקרונות כלליים ב-Section 11 — שקיפות, מטרה לגיטימית, מידתיות וטיפול ראוי — ומסגרת מפורטת יותר לקריטריונים של עיבוד חוקי ב-Section 12. הבסיסים החוקיים משקפים את ה-GDPR: הסכמה, חוזה, חובה חוקית, אינטרסים חיוניים, תפקיד ציבורי ואינטרס לגיטימי. לחוק יש תחולה טריטוריאלית מורחבת לפי Section 6: הוא חל על עיבוד מידע אישי על אזרח או תושב Philippines ללא קשר למיקום הבקר, ומכסה מפרסמים בחו"ל המשרתים תעבורה פיליפינית.

שתי תכונות מבניות חשובות מבחינה תפעולית. ראשית, החוק מבחין בין מידע אישי למידע אישי רגיש (Section 3, סעיפים (g) ו-(l)) ומחיל כללי עיבוד מחמירים יותר על האחרון — בריאות, חינוך, מידע פיננסי ומזהים שהונפקו על ידי הממשלה מוגדרים כולם כרגישים לפי Section 3(l). שנית, Section 21 מחייב בקרים ומעבדים של מידע אישי מעל לסף מוגדר להירשם ב-NPC ולמנות Data Protection Officer. NPC רדפה באופן פעיל אחר בקרים לא רשומים.

כיצד Data Privacy Act מתייחסת לקובצי Cookie ולמעקב מקוון

החוק אינו מכיל הוראה ספציפית לקובצי Cookie. חובות ההסכמה והמידע נובעות מ-Section 11, Section 12 ו-Section 16 של החוק ומ-2024 Advisory של NPC על מעקב מקוון ופרסום התנהגותי. ה-Advisory הוא מסמך שימושי מכיוון שהוא מבטא ציפיות במפורש במקום להשאיר אותן להסקה מהמסגרת הכללית.

הסכמה חיובית למעקב שאינו חיוני

עמדת NPC היא שהסכמה חייבת להינתן באופן חופשי, ספציפי, מושכל ולהיות מוכחת על ידי רשומה כתובה או אלקטרונית. ה-2024 Advisory דוחה גלילה כהסכמה ושימוש מתמשך כהסכמה ככישלון בקריטריונים הספציפי והמושכל של Section 3(b). תיבות מסומנות מראש מטופלות במפורש כפגומות.

בקרת קטגוריות מפורטת

ה-Advisory מצפה שבאנרים יאפשרו למשתמש לקבל ולדחות קטגוריות באופן עצמאי. קבלת הכל כחבילה ללא פירוט מפר את עקרון המידתיות לפי Section 11(d), הדורש שהעיבוד יהיה מספק, רלוונטי, מתאים, הכרחי ולא מופרז — הסכמת חבילה בודדת מטופלת כמופרזת כאשר ההפרדה פשוטה מבחינה טכנית.

DPO ודרישת הרישום

עבור בקרים מעל לסף הרישום, מינוי DPO הוא דרישה תפעולית משמעותית, לא תרגיל על נייר. NPC ציינה היעדרו של DPO שמונה כראוי במספר פעולות אכיפה, בעיקר במגזרי BPO ופינטק.

העברה חוצת גבולות (Section 21)

המסגרת הבינלאומית של החוק מיושמת באמצעות NPC Circular 16-02 על הסכמי מיקור חוץ ועקרון האחריות הרחב יותר. העברות לנמענים שאינם Philippines מחייבות הגנות חוזיות מתאימות או הסכמה ספציפית. NPC הוציאה סעיפים חוזיים לדוגמה; הציפייה התפעולית המעשית עוקבת אחר GDPR Chapter V במהותה גם אם שפת החוק שונה.

עמדת האכיפה של NPC

NPC הייתה אחת מרשויות הגנת הנתונים הפעילות ביותר בציבור בדרום-מזרח אסיה. שלושה דפוסים מעצבים את גישת האכיפה שלה.

תיקי הפרות בנראות גבוהה

NPC העניקה עדיפות לחקירות הפרות בקנה מידה גדול — דליפת רשם הבוחרים של COMELEC ב-2016 היא המשמעותית ביותר — והשתמשה באותם מקרים כדי לקבוע ציפיות לקהילה הרגולטורית הרחבה יותר. הצהרות פומביות במהלך חקירות הפרות מבטאות לעתים קרובות דרישות החורגות מהטקסט החוקי הקפדני.

מיקוד ב-BPO ופינטק

Philippines היא אחת הכלכלות הגדולות ביותר של BPO ומרכזי קשר בעולם, ו-NPC ריכזה היסטורית את האכיפה במגזרים אלה. עבור מפרסמים המפעילים עסקים הנתמכים בפרסום המכוונים למשתמשי Philippines, האקלים הרגולטורי סביב הקהל מעוצב על ידי עמדת הציות של BPO גם כאשר המפרסם עצמו אינו באותו מגזר.

תיאום עם רגולטורים של ASEAN

NPC משתתפת בזרם העבודה של מסגרת ניהול הנתונים של ASEAN ומקיימת קשרי עבודה עם Singapore PDPC, Thailand PDPC, הרשות המתפתחת של אינדונזיה ו-EU EDPB. חקירות חוצות גבולות הכוללות תעבורה פיליפינית ואירופית מנוהלות יותר ויותר באמצעות נהלים מתואמים.

רשימת בדיקה מעשית לציות

שש שאלות קונקרטיות לענות עליהן עבור כל באנר קובצי Cookie המשרת תעבורה פיליפינית.

• האם הבקר רשום ב-NPC? אם העיבוד חוצה את סף הרישום, אשר שהרישום ב-NPC תקף ושמינוי ה-DPO נמצא בתיק.
• האם יש דחייה מפורשת בשכבה הראשונה? נתיב הדחייה חייב להיות על אותה משטח כמו הקבלה, עם בולטות דומה. גלילה כהסכמה נכשלת לפי ה-2024 Advisory.
• האם הקטגוריות מפורטות? הכרחי, ניתוח ושיווק חייבים להיות ניתנים לשליטה בנפרד.
• האם מידע רגיש מוגן באופן ספציפי? לכל קובץ Cookie שלוכד נתוני בריאות, פיננסיים או קרובים למזהה ממשלתי, אשר קיים opt-in מפורש שנבדל מהסכמת השיווק הכללית.
• האם העברות חוצות גבולות מתועדות? זהה כל יעד שאינו Philippines ואת ההגנה המאשרת את ההעברה (סעיפים חוזיים, הסכמה מפורשת או סייג).
• האם רישום ההסכמה הוא ברמת ביקורת? Section 3(b) מחייב שהסכמה תוכח באמצעים כתובים, אלקטרוניים או מוקלטים — הרישום אינו אופציונלי.

היכן Philippines משתלבת במחסנית רב-תחומית

Philippines היא אחד מארבעת משטרי הגנת הנתונים של ASEAN המשמעותיים ביותר מבחינה תפעולית לצד Singapore, Thailand ואינדונזיה. גיל 2012 של Data Privacy Act אומר שהיא קדמה ל-GDPR, אבל המודרניזציה המונעת על ידי חוזרים של NPC יישרה באופן עקבי את התקן התפעולי עם הנורמות האירופיות. עבור מפרסמים הבונים לקראת פעולות pan-ASEAN, Philippines ניצבת לצד שלושת האחרות כשוק שבו ארכיטקטורת CMP הבנויה לתקנים אירופיים מטפלת ברוב הציות עם שתי תוספות ספציפיות: רישום NPC כאשר הסף חל, ושכבת הסכמת המידע הרגיש המבחינה את מסגרת Philippines מחלופות אזוריות מרוככות. אופיו האנגלופוני של המסגרת הרגולטורית — בלתי שכיח ב-ASEAN — הופך את Philippines למטרת ציות נגישה באופן יוצא דופן עבור מפעילים בחו"ל שאין להם יועץ מקומי.