Data Privacy Act 개요

Data Privacy Act는 Section 11의 다섯 가지 일반 원칙(투명성, 적법한 목적, 비례성, 적절한 처리)을 중심으로 구성되며, Section 12에는 적법한 처리 기준에 대한 더 상세한 프레임워크가 담겨 있습니다. 적법한 근거는 GDPR과 동일합니다. 동의, 계약, 법적 의무, 생명적 이익, 공적 기능, 정당한 이익입니다. 법은 Section 6에 따라 역외 적용됩니다. 관리자가 어디에 설립되어 있는지와 무관하게 필리핀 시민 또는 거주자에 관한 개인정보 처리에 적용되며, 필리핀 트래픽을 서비스하는 해외 퍼블리셔도 포함됩니다.

운영적으로 중요한 두 가지 구조적 특징이 있습니다. 첫째, 법은 개인정보와 민감한 개인정보(Section 3, (g) 및 (l) 항)를 구분하고 후자에 더 엄격한 처리 규칙을 적용합니다. 건강, 교육, 재무 정보 및 정부 발행 식별자 모두 Section 3(l)에 따라 민감 정보로 분류됩니다. 둘째, Section 21은 특정 임계값 이상의 개인정보 관리자 및 처리자에게 NPC 등록과 개인정보 보호책임자(DPO) 지정을 의무화합니다. NPC는 미등록 관리자를 적극적으로 추적해 왔습니다.

Data Privacy Act의 쿠키 및 온라인 추적 처리 방식

법에는 쿠키에 관한 특별 조항이 없습니다. 동의 및 정보 제공 의무는 법의 Section 11, 12, 16과 NPC의 온라인 추적 및 행동 광고에 관한 2024 Advisory에서 도출됩니다. Advisory는 일반적인 프레임워크에서의 추론에 맡기지 않고 기대 사항을 명시적으로 제시하기 때문에 유용한 문서입니다.

비필수 추적에 대한 적극적 동의

NPC의 입장은 동의가 자유롭게 제공되고, 구체적이며, 충분한 정보에 기반하고, 서면 또는 전자 기록으로 증명되어야 한다는 것입니다. 2024 Advisory는 스크롤-동의 및 계속-사용-동의가 Section 3(b)의 구체적·충분한 정보 요건을 충족하지 못한다고 하여 거부합니다. 사전 체크된 박스는 명시적으로 결함이 있는 것으로 취급됩니다.

세분화된 카테고리 제어

Advisory는 배너가 사용자에게 카테고리를 독립적으로 수락·거부할 수 있는 옵션을 제공해야 함을 기대합니다. 세분화 없이 일괄 수락하는 방식은 Section 11(d)의 비례성 원칙에 어긋납니다. 해당 조항은 처리가 적절하고, 관련성이 있으며, 적합하고, 필요하며, 과도하지 않아야 한다고 요구합니다. 기술적으로 분리가 간단할 때 단일 일괄 동의는 과도한 것으로 취급됩니다.

DPO 및 등록 요건

등록 임계값 이상의 관리자에게 DPO 지정은 서류상 절차가 아닌 실질적인 운영 요건입니다. NPC는 여러 집행 조치에서, 특히 BPO 및 핀테크 부문에서 제대로 지정된 DPO의 부재를 지적해 왔습니다.

국경 간 이전 (Section 21)

법의 국경 간 프레임워크는 NPC Circular 16-02 아웃소싱 계약과 광범위한 책임 원칙을 통해 구현됩니다. 필리핀 이외의 수신자에 대한 이전은 적절한 계약상 보호 장치 또는 특정 동의를 요구합니다. NPC는 표준 계약 조항을 발행했으며, 실무적 운영 기대치는 법적 언어가 다른 경우에도 실질적으로 GDPR Chapter V를 따릅니다.

NPC의 집행 기조

NPC는 동남아시아에서 가장 공개적으로 활발한 개인정보 보호 당국 중 하나였습니다. 세 가지 패턴이 집행 방식을 형성합니다.

높은 주목도의 침해 사건

NPC는 대규모 침해 조사를 우선시해 왔습니다. 2016년 COMELEC 유권자 등록 정보 유출이 가장 중대한 사건이었습니다. NPC는 이러한 사건들을 활용하여 더 넓은 규제 대상 커뮤니티에 대한 기대치를 설정했습니다. 침해 조사 중 공개 성명은 엄격한 법조문을 넘어서는 요건을 자주 표명합니다.

BPO 및 핀테크 집중

Philippines는 세계 최대 BPO 및 콘택트센터 경제 중 하나이며, NPC는 역사적으로 이 부문에 집행을 집중해 왔습니다. 필리핀 사용자를 대상으로 광고 지원 사업을 운영하는 퍼블리셔의 경우, 해당 퍼블리셔 자신이 그 부문에 없더라도 청중을 둘러싼 규제 환경은 BPO 컴플라이언스 기조에 의해 형성됩니다.

ASEAN 규제기관과의 협력

NPC는 ASEAN 데이터 관리 프레임워크 작업 흐름에 참여하며 Singapore PDPC, Thailand PDPC, 인도네시아의 신흥 당국, 그리고 EU의 EDPB와 업무 관계를 유지합니다. 필리핀과 유럽 트래픽을 포함하는 국경 간 조사는 점점 조율된 절차를 통해 처리되고 있습니다.

실무 컴플라이언스 체크리스트

필리핀 트래픽을 서비스하는 쿠키 배너에 대해 답변해야 할 여섯 가지 구체적인 질문입니다.

• 관리자가 NPC에 등록되어 있습니까? 처리가 등록 임계값을 초과하는 경우, NPC 등록이 최신 상태이고 DPO 지정이 기록에 있음을 확인하십시오.
• 첫 번째 레이어에 명시적 거부 버튼이 있습니까? 거부 경로는 수락과 동일한 화면에 있어야 하며 유사한 두드러짐을 가져야 합니다. 스크롤-동의는 2024 Advisory를 충족하지 못합니다.
• 카테고리가 세분화되어 있습니까? 필수, 분석, 마케팅은 개별적으로 제어 가능해야 합니다.
• 민감한 정보가 별도로 보호됩니까? 건강, 재무 또는 정부 ID에 인접한 데이터를 수집하는 쿠키에 대해 일반 마케팅 동의와 구별되는 명시적 옵트인을 확인하십시오.
• 국경 간 이전이 문서화되어 있습니까? 각 필리핀 이외의 목적지와 이전을 승인하는 보호 장치(계약 조항, 명시적 동의 또는 적용 제외)를 식별하십시오.
• 동의 로깅이 감사 수준입니까? Section 3(b)는 동의가 서면, 전자 또는 기록된 수단으로 증명되어야 함을 요구합니다. 로깅은 선택 사항이 아닙니다.

다중 법역 스택에서 Philippines의 위치

Philippines는 Singapore, 태국, 인도네시아와 함께 운영적으로 가장 중요한 ASEAN 개인정보 보호 4개 체제 중 하나입니다. 법의 2012년 제정 일자는 GDPR보다 앞선다는 것을 의미하지만, NPC의 회람 기반 현대화를 통해 운영 기준이 점진적으로 유럽 규범과 일치하게 되었습니다. 범ASEAN 운영을 구축하는 퍼블리셔에게 Philippines는 유럽 기준으로 구축된 CMP 아키텍처가 두 가지 특정 추가 사항과 함께 컴플라이언스의 대부분을 처리하는 시장으로서 다른 세 곳과 나란히 위치합니다. 임계값이 적용되는 경우의 NPC 등록, 그리고 Philippines 프레임워크를 더 느슨한 지역적 대안과 구별하는 민감한 정보 동의 레이어가 그것입니다. 규제 프레임워크의 영어 특성(ASEAN에서 드문 경우)은 현지 법률 고문이 없는 해외 운영자에게 Philippines를 특히 접근하기 쉬운 컴플라이언스 대상으로 만듭니다.