Data Privacy Act की रूपरेखा

Data Privacy Act Section 11 में पांच सामान्य सिद्धांतों के आसपास संरचित है — पारदर्शिता, वैध उद्देश्य, आनुपातिकता और उचित प्रबंधन — और Section 12 में वैध प्रसंस्करण के मानदंडों के लिए एक अधिक विस्तृत ढांचा। वैध आधार GDPR को प्रतिबिंबित करते हैं: सहमति, अनुबंध, कानूनी दायित्व, महत्वपूर्ण हित, सार्वजनिक कार्य और वैध हित। कानून का Section 6 के तहत अतिरिक्त-क्षेत्रीय प्रभाव है: यह Philippines के नागरिक या निवासी के बारे में व्यक्तिगत जानकारी की प्रक्रिया पर लागू होता है, चाहे नियंत्रक कहीं भी स्थापित हो, जिसमें फिलीपींस ट्रैफिक सेवा करने वाले अपतटीय प्रकाशक शामिल हैं।

दो संरचनात्मक विशेषताएं परिचालन रूप से महत्वपूर्ण हैं। पहला, कानून व्यक्तिगत जानकारी और संवेदनशील व्यक्तिगत जानकारी के बीच अंतर करता है (Section 3, पैराग्राफ (g) और (l)) और बाद वाले पर सख्त प्रसंस्करण नियम लागू करता है — स्वास्थ्य, शिक्षा, वित्तीय जानकारी और सरकार द्वारा जारी पहचानकर्ता सभी Section 3(l) के तहत संवेदनशील के रूप में योग्य हैं। दूसरा, Section 21 के लिए आवश्यक है कि निर्दिष्ट सीमा से ऊपर व्यक्तिगत जानकारी के नियंत्रक और प्रोसेसर NPC के साथ पंजीकरण करें और Data Protection Officer नियुक्त करें। NPC ने अपंजीकृत नियंत्रकों का सक्रिय रूप से पीछा किया है।

Data Privacy Act कुकीज़ और ऑनलाइन ट्रैकिंग को कैसे मानती है

कानून में कुकी-विशिष्ट प्रावधान नहीं है। सहमति और सूचना दायित्व कानून के Section 11, Section 12 और Section 16 से और ऑनलाइन ट्रैकिंग और व्यवहार संबंधी विज्ञापन पर NPC के 2024 Advisory से प्रवाहित होते हैं। Advisory एक उपयोगी दस्तावेज है क्योंकि यह सामान्य ढांचे से अनुमान लगाने के बजाय अपेक्षाओं को स्पष्ट रूप से व्यक्त करता है।

गैर-आवश्यक ट्रैकिंग के लिए सकारात्मक सहमति

NPC की स्थिति यह है कि सहमति स्वतंत्र रूप से दी जानी चाहिए, विशिष्ट, सूचित और लिखित या इलेक्ट्रॉनिक रिकॉर्ड द्वारा प्रमाणित होनी चाहिए। 2024 Advisory स्क्रॉल-ऐज-सहमति और निरंतर-उपयोग-ऐज-सहमति को Section 3(b) के विशिष्ट और सूचित मानदंडों को पूरा करने में विफल के रूप में अस्वीकार करती है। पूर्व-टिक किए गए बॉक्स को स्पष्ट रूप से दोषपूर्ण माना जाता है।

विस्तृत श्रेणी नियंत्रण

Advisory अपेक्षा करती है कि बैनर उपयोगकर्ता को श्रेणियों को स्वतंत्र रूप से स्वीकार और अस्वीकार करने की अनुमति दें। बंडल एक्सेप्ट-ऑल बिना विस्तार के Section 11(d) के आनुपातिकता सिद्धांत का उल्लंघन करता है, जिसके लिए प्रसंस्करण पर्याप्त, प्रासंगिक, उपयुक्त, आवश्यक और अत्यधिक नहीं होने की आवश्यकता है — एकल बंडल सहमति अत्यधिक मानी जाती है जब पृथक्करण तकनीकी रूप से सरल हो।

DPO और पंजीकरण आवश्यकता

पंजीकरण सीमा से ऊपर के नियंत्रकों के लिए, DPO नियुक्ति एक सार्थक परिचालन आवश्यकता है, न कि कागजी अभ्यास। NPC ने कई प्रवर्तन कार्रवाइयों में उचित रूप से नामित DPO की अनुपस्थिति का उल्लेख किया है, विशेष रूप से BPO और फिनटेक क्षेत्रों में।

सीमा-पार स्थानांतरण (Section 21)

कानून का सीमा-पार ढांचा आउटसोर्सिंग समझौतों पर NPC Circular 16-02 और व्यापक जवाबदेही सिद्धांत के माध्यम से लागू किया गया है। गैर-Philippines प्राप्तकर्ताओं को स्थानांतरण के लिए या तो उचित संविदात्मक सुरक्षा या विशिष्ट सहमति की आवश्यकता होती है। NPC ने मॉडल संविदात्मक प्रावधान जारी किए हैं; व्यावहारिक परिचालन अपेक्षा कानूनी भाषा के भिन्न होने पर भी GDPR Chapter V का पालन करती है।

NPC का प्रवर्तन रुख

NPC दक्षिण-पूर्व एशिया में सार्वजनिक रूप से अधिक सक्रिय डेटा संरक्षण प्राधिकरणों में से एक रहा है। तीन पैटर्न इसके प्रवर्तन दृष्टिकोण को आकार देते हैं।

उच्च-दृश्यता उल्लंघन मामले

NPC ने बड़े पैमाने पर उल्लंघन जांचों को प्राथमिकता दी है — 2016 COMELEC मतदाता रजिस्ट्री रिसाव सबसे परिणामी है — और व्यापक विनियमित समुदाय के लिए अपेक्षाएं स्थापित करने के लिए उन मामलों का उपयोग किया है। उल्लंघन जांचों के दौरान सार्वजनिक बयान अक्सर ऐसी आवश्यकताओं को व्यक्त करते हैं जो सख्त वैधानिक पाठ से परे जाती हैं।

BPO और फिनटेक फोकस

Philippines दुनिया की सबसे बड़ी BPO और कॉल-सेंटर अर्थव्यवस्थाओं में से एक है, और NPC ने ऐतिहासिक रूप से इन क्षेत्रों पर प्रवर्तन केंद्रित किया है। Philippines उपयोगकर्ताओं को लक्षित करने वाले विज्ञापन-समर्थित व्यवसाय चलाने वाले प्रकाशकों के लिए, दर्शकों के आसपास का नियामक माहौल BPO अनुपालन रुख से आकार लेता है, भले ही प्रकाशक स्वयं उस क्षेत्र में न हो।

ASEAN नियामकों के साथ समन्वय

NPC ASEAN Data Management Framework कार्यधारा में भाग लेता है और Singapore PDPC, Thailand PDPC, इंडोनेशिया के उभरते प्राधिकरण और EU EDPB के साथ कार्यशील संबंध बनाए रखता है। Philippines और यूरोपीय ट्रैफिक वाली सीमा-पार जांचें तेजी से समन्वित प्रक्रियाओं के माध्यम से संभाली जाती हैं।

व्यावहारिक अनुपालन चेकलिस्ट

Philippines ट्रैफिक सेवा करने वाले किसी भी कुकी बैनर के लिए उत्तर देने के लिए छह ठोस प्रश्न।

• क्या नियंत्रक NPC-पंजीकृत है? यदि प्रसंस्करण पंजीकरण सीमा को पार करता है, तो पुष्टि करें कि NPC पंजीकरण वर्तमान है और DPO नियुक्ति फाइल पर है।
• क्या पहली परत पर स्पष्ट अस्वीकृति है? अस्वीकरण पथ समान सतह पर होना चाहिए जैसा स्वीकृति है, तुलनीय प्रमुखता के साथ। स्क्रॉल-ऐज-सहमति 2024 Advisory में विफल होती है।
• क्या श्रेणियां विस्तृत हैं? आवश्यक, विश्लेषण और विपणन को अलग-अलग नियंत्रणीय होना चाहिए।
• क्या संवेदनशील जानकारी विशेष रूप से गेट की गई है? किसी भी कुकी के लिए जो स्वास्थ्य, वित्तीय या सरकारी-आईडी से सटे डेटा को कैप्चर करती है, सामान्य विपणन सहमति से अलग स्पष्ट ऑप्ट-इन की पुष्टि करें।
• क्या सीमा-पार स्थानांतरण दस्तावेज़ीकृत हैं? प्रत्येक गैर-Philippines गंतव्य और स्थानांतरण को अधिकृत करने वाली सुरक्षा (संविदात्मक प्रावधान, स्पष्ट सहमति या छूट) की पहचान करें।
• क्या सहमति लॉगिंग ऑडिट-ग्रेड है? Section 3(b) को सहमति लिखित, इलेक्ट्रॉनिक या रिकॉर्ड किए गए साधनों द्वारा प्रमाणित होने की आवश्यकता है — लॉगिंग वैकल्पिक नहीं है।

Philippines बहु-क्षेत्राधिकार स्टैक में कहां फिट होता है

Philippines Singapore, Thailand और इंडोनेशिया के साथ चार सबसे परिचालन रूप से परिणामी ASEAN डेटा सुरक्षा शासनों में से एक है। Data Privacy Act की 2012 की उम्र का मतलब है कि यह GDPR से पहले है, लेकिन NPC के परिपत्र-संचालित आधुनिकीकरण ने लगातार परिचालन मानक को यूरोपीय मानदंडों के साथ संरेखित किया है। pan-ASEAN संचालन की ओर निर्माण करने वाले प्रकाशकों के लिए, Philippines दो विशिष्ट जोड़ के साथ यूरोपीय मानकों के लिए निर्मित CMP आर्किटेक्चर अधिकांश अनुपालन को संभालता है: NPC पंजीकरण जहां सीमाएं लागू होती हैं, और संवेदनशील-जानकारी सहमति परत जो Philippines ढांचे को ढीले क्षेत्रीय विकल्पों से अलग करती है। नियामक ढांचे की अंग्रेजी-भाषा प्रकृति — ASEAN में असामान्य — Philippines को अपतटीय ऑपरेटरों के लिए असामान्य रूप से सुलभ अनुपालन लक्ष्य बनाती है जिनके पास स्थानीय सलाहकार नहीं है।