Yfirlit yfir Data Privacy Act

Data Privacy Act er uppbygt kringum fimm almenn meginreglur í Section 11 – gagnsæi, lögmætt tilgang, hlutföllun og rétta meðhöndlun – og nákvæmara rammaverki fyrir viðmið löglegrar vinnslu í Section 12. Lagalegar stofnanir spegla GDPR: samþykki, samningur, lagaleg skylda, lífsnauðsynlegir hagsmunir, almenn hlutverksvirkni og löglegur áhugi. Lögin hafa aukavald samkvæmt Section 6: þau gilda um vinnslu persónuupplýsinga um philippines borgara eða íbúa óháð því hvar stjórnandinn er staðsettur, þar með talið útgefendur erlendis sem þjóna Philippines umferð.

Tveir uppbyggingarlegar eiginleikar skipta máli rekstrarlega. Í fyrsta lagi aðgreinir lögin persónuupplýsingar frá viðkvæmum persónuupplýsingum (Section 3, málsgreinar (g) og (l)) og beitir strangari vinnsluákvæðum á þær síðarnefndu – heilsu, menntun, fjárhagsupplýsingar og auðkenni útgefin af stjórnvöldum eru allt flokkuð sem viðkvæm samkvæmt Section 3(l). Í öðru lagi krefst Section 21 þess að stjórnendur og vinnsluaðilar persónuupplýsinga yfir tilgreindum þröskuldum skrái sig hjá NPC og tilnefni Persónuverndarfulltrúa. NPC hefur virkt elt óskráða stjórnendur.

Hvernig Data Privacy Act meðhöndlar kökur og neteftirlit

Lögin innihalda ekki sértækt ákvæði um kökur. Skyldur um samþykki og upplýsingar leiða af Section 11, 12 og 16 laganna og af 2024 Advisory NPC um neteftirlit og hegðunarlegar auglýsingar. Advisory er gagnlegt skjal vegna þess að það orðar væntingar skýrt frekar en að láta álykta þær af almenna rammanum.

Jákvætt samþykki fyrir ógrundvallar eftirlit

Afstaða NPC er sú að samþykki verður að vera gefið frjálslega, sértækt, upplýst og sannað með skriflegum eða rafrænum gögnum. 2024 Advisory hafnar skruni-sem-samþykki og áframhaldandi-notkun-sem-samþykki sem ber ekki til þess að uppfylla sértæk og upplýst skilyrði Section 3(b). Gáðar gátreitir eru sérstaklega meðhöndlaðar sem gallaðar.

Nákvæmar flokkarstýringar

Advisory gerir ráð fyrir að borðar gefi notandanum kost á að samþykkja og hafna flokkum óháð hvorum öðrum. Sameinaðar samþykktu-allt án nákvæmni bregst hlutfallsreglunni samkvæmt Section 11(d), sem krefst þess að vinnsla sé viðeigandi, viðeigandi, hæf, nauðsynleg og ekki óhóflega mikil – eitt sameinað samþykki er meðhöndlað sem óhóflegt þegar aðskilnaður er tæknilega einföldur.

DPO og skráningarkrafa

Fyrir stjórnendur yfir skráningarþröskuldi er DPO tilnefning þýðingarmikil rekstrarkrafa, ekki pappírssýning. NPC hefur vísað til skorts á réttilega tilnefndum DPO í nokkrum framkvæmdaraðgerðum, sérstaklega í BPO og fintech geirunum.

Þverlanda flutningur (Section 21)

Þverlanda rammaverki laganna er innleitt í gegnum NPC Circular 16-02 um útvistun samninga og víðara meginregluna um ábyrgð. Flutningur til móttakenda utan Philippines krefst annaðhvort viðeigandi samningsbundinna verndar eða sértæks samþykkis. NPC hefur gefið út samningsbundin fyrirmyndarskilmála; hagnýtar rekstrarlegar væntingar fylgja efnislega GDPR Chapter V jafnvel þótt lagatextinn sé mismunandi.

Framkvæmdarstaða NPC

NPC hefur verið eitt af opinberustu virku persónuverndaryfirvöldunum í Suðaustur-Asíu. Þrír mynstur móta nálgun þess á framkvæmd.

Brotsmál með mikla sýnileika

NPC hefur forgangsraðað rannsóknum á broti í stórum stíl – COMELEC kjósendaskrá lekinn 2016 var þyngst veginn – og notað þessi mál til að setja fram væntingar fyrir breiðara hóp sem sætir eftirliti. Opinberar yfirlýsingar meðan á brotarannsóknum stendur kveða oft á um kröfur sem ganga lengra en strangur lagalegur texti.

BPO og fintech fókus

Philippines er eitt af stærstu BPO og þjónustuviðtakssetur hagkerfum í heiminum og NPC hefur sögulega einbeitt framkvæmd að þessum geirum. Fyrir útgefendur sem reka auglýsingastyrkt rekstur sem miðar að Philippines notendum er reglulegt loftslag í kring við áhorfendur mótað af BPO samræmissniðinu jafnvel þegar útgefandinn sjálfur er ekki í þeim geira.

Samhæfing með ASEAN eftirlitsaðilum

NPC tekur þátt í ASEAN Data Management Framework vinnuferlinu og viðheldur vinnuvenslum við Singapore PDPC, Thailand PDPC, vaxandi yfirvald Indónesíu og EDPB hjá EU. Þverlanda rannsóknir sem fela í sér Philippines og evrópska umferð eru í auknum mæli meðhöndlaðar í gegnum samhæfðar málsmeðferðir.

Hagnýtur samræmisgátlisti

Sex skýrar spurningar til að svara fyrir hvaða kökuborða sem þjónar Philippines umferð.

• Er stjórnandinn skráður hjá NPC? Ef vinnsla fer yfir skráningarþröskuldinn, staðfestu að NPC skráning sé í gildi og DPO tilnefning sé skráð.
• Er til skýrt hafnaval á fyrsta lagi? Hafnarleiðin verður að vera á sömu yfirborðinu og samþykki, með sambærilegri sýnileika. Skruni-sem-samþykki bregst 2024 Advisory.
• Eru flokkar nákvæmir? Nauðsynlegir, greiningarlegar og markaðssetningarflokkar verða að vera stýranlegir hverjir fyrir sig.
• Er viðkvæmum upplýsingum sérstaklega lokað? Fyrir allar kökur sem fanga heilsu, fjármála eða ríkisauðkenni tengd gögn, staðfestu skýrt opt-in aðskilið frá almenna markaðssetningarsamþykkinu.
• Eru þverlanda flutningar skjalaðir? Auðkenndu hvert áfangastað utan Philippines og verndaraðila sem heimilar flutninginn (samningsbundin skilmálar, skýrt samþykki eða frábrigði).
• Er samþykkisskráning endurskoðunargæðar? Section 3(b) krefst þess að samþykki sé sannað með skriflegum, rafrænum eða skráðum hætti – skráningin er ekki valfrjáls.

Hvar Philippines passar inn í fjölkerfis stafla

Philippines er eitt af fjórum rekstrarlega þyngst vegna ASEAN persónuverndarlögsögusvæðum ásamt Singapore, Thailand og Indónesíu. 2012 dagssetning laganna þýðir að þau eru eldri en GDPR, en hringlur-knúin nýjungagerð NPC hefur smám saman samræmt rekstrarstaðalinn við evrópska viðmið. Fyrir útgefendur sem eru að byggja upp pan-ASEAN rekstur stendur Philippines hlið við hlið hinum þremur sem markaður þar sem CMP arkitektúr byggður samkvæmt evrópskum stöðlum sér um meirihluta samræmis með tveimur sértækum viðbótum: NPC skráningu þar sem þröskuldar gilda, og viðkvæmt samþykki upplýsingalag sem aðgreinir Philippines rammaverk frá lauslegri svæðisbundnum valkostum. Enskumælandi eðli regluramma – óalgægt í ASEAN – gerir Philippines að einstaklega aðgengilegum samræmismarkmiði fyrir erlenda rekstraraðila sem hafa ekki staðbundið lögfræðiráð.