Schema del Data Privacy Act

Il Data Privacy Act è strutturato attorno a cinque principi generali nella Section 11 – trasparenza, scopo legittimo, proporzionalità e trattamento corretto – e un quadro più dettagliato per i criteri del trattamento lecito nella Section 12. Le basi giuridiche rispecchiano il GDPR: consenso, contratto, obbligo legale, interessi vitali, funzione pubblica e interesse legittimo. La legge ha portata extraterritoriale ai sensi della Section 6: si applica al trattamento di informazioni personali riguardanti un cittadino o residente filippino indipendentemente da dove sia stabilito il titolare, comprendendo gli editori offshore che servono traffico filippino.

Due caratteristiche strutturali sono importanti dal punto di vista operativo. In primo luogo, la legge distingue le informazioni personali dalle informazioni personali sensibili (Section 3, paragrafi (g) e (l)) e applica regole di trattamento più severe a queste ultime – salute, istruzione, informazioni finanziarie e identificatori rilasciati dal governo si qualificano tutti come sensibili ai sensi della Section 3(l). In secondo luogo, la Section 21 richiede che i titolari e i responsabili del trattamento di informazioni personali al di sopra di soglie specificate si registrino presso la NPC e designino un Responsabile della Protezione dei Dati. La NPC ha perseguito attivamente i titolari non registrati.

Come il Data Privacy Act tratta i cookie e il tracciamento online

La legge non contiene una disposizione specifica sui cookie. Gli obblighi di consenso e informazione derivano dalle Section 11, 12 e 16 della legge e dal 2024 Advisory della NPC sul Tracciamento Online e la Pubblicità Comportamentale. Il Advisory è un documento utile perché articola le aspettative esplicitamente piuttosto che lasciarle all'inferenza dal quadro generale.

Consenso affermativo per il tracciamento non essenziale

La posizione della NPC è che il consenso deve essere liberamente dato, specifico, informato e comprovato da un registro scritto o elettronico. Il 2024 Advisory respinge lo scorrimento-come-consenso e l'uso-continuato-come-consenso in quanto non soddisfano i requisiti specifico e informato della Section 3(b). Le caselle pre-selezionate sono esplicitamente trattate come difettose.

Controlli granulari delle categorie

Il Advisory si aspetta che i banner consentano all'utente di accettare e rifiutare le categorie in modo indipendente. L'accettazione-di-tutto raggruppata senza granularità non rispetta il principio di proporzionalità ai sensi della Section 11(d), che richiede che il trattamento sia adeguato, pertinente, adatto, necessario e non eccessivo – un singolo consenso raggruppato viene trattato come eccessivo quando la separazione è tecnicamente semplice.

Il DPO e il requisito di registrazione

Per i titolari al di sopra della soglia di registrazione, la designazione del DPO è un requisito operativo significativo, non un esercizio formale. La NPC ha citato l'assenza di un DPO adeguatamente designato in diverse azioni esecutive, in particolare nei settori BPO e fintech.

Trasferimento transfrontaliero (Section 21)

Il quadro transfrontaliero della legge è implementato attraverso NPC Circular 16-02 sugli Accordi di Outsourcing e il più ampio principio di responsabilità. I trasferimenti verso destinatari non filippini richiedono adeguate garanzie contrattuali o consenso specifico. La NPC ha emesso disposizioni contrattuali tipo; le aspettative operative pratiche seguono sostanzialmente il GDPR Chapter V anche dove il linguaggio giuridico differisce.

Posizione esecutiva della NPC

La NPC è stata una delle autorità di protezione dei dati più attivamente pubbliche nel Sud-Est asiatico. Tre schemi modellano il suo approccio esecutivo.

Casi di violazione ad alta visibilità

La NPC ha dato priorità alle indagini su violazioni su larga scala – la fuga di notizie del registro elettorale COMELEC del 2016 è stata la più consequenziale – e ha utilizzato questi casi per stabilire aspettative per la più ampia comunità regolamentata. Le dichiarazioni pubbliche durante le indagini sulle violazioni articolano frequentemente requisiti che vanno oltre il testo normativo stretto.

Focus su BPO e fintech

Le Philippines sono una delle più grandi economie BPO e di contact center al mondo, e la NPC ha storicamente concentrato l'applicazione su questi settori. Per gli editori che gestiscono attività supportate dalla pubblicità che si rivolgono agli utenti filippini, il clima normativo intorno al pubblico è modellato dalla postura di conformità BPO anche quando l'editore stesso non è in quel settore.

Coordinamento con i regolatori ASEAN

La NPC partecipa al flusso di lavoro del ASEAN Data Management Framework e mantiene relazioni di lavoro con Singapore PDPC, Thailand PDPC, l'autorità emergente dell'Indonesia e l'EDPB dell'EU. Le indagini transfrontaliere che coinvolgono traffico filippino ed europeo sono sempre più gestite attraverso procedure coordinate.

Lista di controllo pratica per la conformità

Sei domande concrete a cui rispondere per qualsiasi banner cookie che serve traffico filippino.

• Il titolare è registrato presso la NPC? Se il trattamento supera la soglia di registrazione, confermare che la registrazione NPC sia aggiornata e che la designazione del DPO sia agli atti.
• C'è un rifiuto esplicito al primo livello? Il percorso di rifiuto deve trovarsi sulla stessa superficie dell'accettazione, con una prominenza comparabile. Lo scorrimento-come-consenso non rispetta il 2024 Advisory.
• Le categorie sono granulari? Necessario, analisi e marketing devono essere separatamente controllabili.
• Le informazioni sensibili sono specificamente vincolate? Per i cookie che acquisiscono dati sanitari, finanziari o adiacenti all'ID governativo, confermare un opt-in esplicito distinto dal consenso generale al marketing.
• I trasferimenti transfrontalieri sono documentati? Identificare ogni destinazione non filippina e la garanzia che autorizza il trasferimento (disposizioni contrattuali, consenso esplicito o deroga).
• La registrazione del consenso è di qualità di audit? La Section 3(b) richiede che il consenso sia comprovato con mezzi scritti, elettronici o registrati – la registrazione non è facoltativa.

Dove si inserisce le Philippines in un stack multi-giurisdizionale

Le Philippines sono uno dei quattro regimi di protezione dei dati ASEAN più conseguentemente operativi insieme a Singapore, Tailandia e Indonesia. La data del 2012 della legge significa che precede il GDPR, ma la modernizzazione guidata dalle circolari della NPC ha allineato progressivamente lo standard operativo alle norme europee. Per gli editori che costruiscono verso operazioni pan-ASEAN, le Philippines si affiancano alle altre tre come mercato dove un'architettura CMP costruita secondo gli standard europei gestisce la maggior parte della conformità con due specifiche aggiunte: la registrazione NPC dove si applicano le soglie, e il livello di consenso per le informazioni sensibili che distingue il quadro delle Philippines dalle alternative regionali più allentate. La natura di lingua inglese del quadro normativo – insolita nell'ASEAN – rende le Philippines un obiettivo di conformità insolitamente accessibile per gli operatori offshore che non dispongono di consulenti legali locali.