Overzicht van de Data Privacy Act

De Data Privacy Act is gestructureerd rond vijf algemene beginselen in Section 11 — transparantie, rechtmatig doel, evenredigheid en behoorlijke verwerking — en een meer gedetailleerd kader voor de criteria van rechtmatige verwerking in Section 12. De rechtsgrondslagen weerspiegelen de GDPR: toestemming, overeenkomst, wettelijke verplichting, vitale belangen, publieke taak en gerechtvaardigd belang. De wet heeft extraterritoriale werking op grond van Section 6: zij is van toepassing op de verwerking van persoonsgegevens van een Filipijns staatsburger of ingezetene, ongeacht waar de verwerkingsverantwoordelijke is gevestigd, waarmee ook offshore uitgevers die Filipijns verkeer bedienen worden gedekt.

Twee structurele kenmerken zijn operationeel van belang. Ten eerste maakt de wet onderscheid tussen "persoonsgegevens" en "gevoelige persoonsgegevens" (Section 3, paragrafen (g) en (l)) en gelden voor de laatste strengere verwerkingsregels — gezondheid, onderwijs, financiële informatie en door de overheid uitgegeven identificatoren kwalificeren allemaal als gevoelig onder Section 3(l). Ten tweede vereist Section 21 dat verwerkingsverantwoordelijken en verwerkers boven bepaalde drempelwaarden zich registreren bij de NPC en een Functionaris voor Gegevensbescherming (DPO) aanwijzen. De NPC heeft actief opgetreden tegen niet-geregistreerde verwerkingsverantwoordelijken.

Hoe de Data Privacy Act omgaat met cookies en online tracking

De wet bevat geen cookiespecifieke bepaling. De toestemmings- en informatieverplichtingen vloeien voort uit Sections 11, 12 en 16 van de wet en uit de 2024 Advisory van de NPC over Online Tracking en Gedragsreclame. De Advisory is een nuttig document omdat het de verwachtingen expliciet verwoordt in plaats van ze over te laten aan gevolgtrekkingen uit het algemene kader.

Actieve toestemming voor niet-essentiële tracking

Het standpunt van de NPC is dat toestemming vrijelijk gegeven, specifiek, geïnformeerd en aangetoond moet zijn door een schriftelijk of elektronisch vastgelegd bewijs. De 2024 Advisory verwerpt scrollen-als-toestemming en voortgezet-gebruik-als-toestemming als strijdig met de vereisten van "specifiek" en "geïnformeerd" in Section 3(b). Vooraf aangevinkte vakjes worden uitdrukkelijk als gebrekkig beschouwd.

Granulaire categoriecontroles

De Advisory verwacht dat banners de gebruiker in staat stellen categorieën onafhankelijk te accepteren en te weigeren. Gebundeld alles-accepteren zonder granulariteit is strijdig met het evenredigheidsbeginsel in Section 11(d), dat vereist dat verwerking "adequaat, relevant, passend, noodzakelijk en niet buitensporig" is — een enkelvoudige gebundelde toestemming wordt als buitensporig beschouwd wanneer scheiding technisch eenvoudig is.

DPO en registratieplicht

Voor verwerkingsverantwoordelijken boven de registratiedrempel is de aanwijzing van een DPO een zinvolle operationele vereiste, geen papieren oefening. De NPC heeft in meerdere handhavingsacties verwezen naar het ontbreken van een naar behoren aangewezen DPO, met name in de BPO- en fintech-sectoren.

Grensoverschrijdende doorgifte (Section 21)

Het grensoverschrijdende kader van de wet is geïmplementeerd via NPC Circular 16-02 over Outsourcingovereenkomsten en het bredere verantwoordelijkheidsbeginsel. Doorgiften aan niet-Filipijnse ontvangers vereisen passende contractuele waarborgen of specifieke toestemming. De NPC heeft modelcontractbepalingen uitgevaardigd; de praktische operationele verwachting volgt inhoudelijk GDPR Chapter V, zelfs waar de juridische bewoordingen verschillen.

Handhavingshouding van de NPC

De NPC is een van de meest openlijk actieve gegevensbeschermingsautoriteiten in Zuidoost-Azië. Drie patronen bepalen haar handhavingsaanpak.

Spraakmakende datalekzaken

De NPC heeft prioriteit gegeven aan grootschalige datalekonderzoeken — het lek van het COMELEC-kiezersregister in 2016 is het meest ingrijpende — en deze zaken gebruikt om verwachtingen te stellen voor de bredere gereguleerde gemeenschap. Publieke verklaringen tijdens datalekonderzoeken bevatten vaak vereisten die verder gaan dan de strikte wettekst.

Focus op BPO en fintech

De Filipijnen zijn een van de grootste BPO- en contactcentereconomieën ter wereld en de NPC heeft historisch gezien haar handhaving op deze sectoren gericht. Voor uitgevers die door advertenties ondersteunde bedrijven runnen die Filipijnse gebruikers targeten, wordt het regelgevingsklimaat rond de doelgroep gevormd door de BPO-compliancehouding, ook wanneer de uitgever zelf niet in die sector actief is.

Samenwerking met ASEAN-toezichthouders

De NPC neemt deel aan de werkstroom van het ASEAN Data Management Framework en onderhoudt werkrelaties met Singapore PDPC, Thailand PDPC, de opkomende autoriteit van Indonesië en EU EDPB. Grensoverschrijdende onderzoeken met Filipijns en Europees verkeer worden steeds vaker via gecoördineerde procedures afgehandeld.

Praktische compliance-checklist

Zes concrete vragen om te beantwoorden voor elke cookiebanner die Filipijns verkeer bedient.

• Is de verwerkingsverantwoordelijke geregistreerd bij de NPC? Als de verwerking de registratiedrempel overschrijdt, bevestig dan dat de NPC-registratie actueel is en dat de DPO-aanwijzing op bestand staat.
• Is er een expliciete weigering op de eerste laag? De weigeringsweg moet op hetzelfde niveau staan als accepteren, met vergelijkbare prominentie. Scrollen-als-toestemming voldoet niet aan de 2024 Advisory.
• Zijn categorieën granullair? Noodzakelijk, analytisch en marketing moeten afzonderlijk beheerbaar zijn.
• Zijn gevoelige gegevens specifiek afgegrendeld? Voor cookies die gezondheids-, financiële of aan overheids-ID grenzende gegevens vastleggen, bevestig een expliciete opt-in die los staat van de algemene marketingtoestemming.
• Zijn grensoverschrijdende doorgiften gedocumenteerd? Identificeer elke niet-Filipijnse bestemming en de waarborg die de doorgifte autoriseert (contractbepalingen, expliciete toestemming of afwijking).
• Is de toestemmingsregistratie van auditkwaliteit? Section 3(b) vereist dat toestemming "wordt aangetoond door schriftelijke, elektronische of opgenomen middelen" — de registratie is niet optioneel.

De positie van de Filipijnen in een multi-jurisdictionele stack

De Filipijnen zijn een van de vier operationeel meest consequente ASEAN-gegevensbeschermingsregimes naast Singapore, Thailand en Indonesië. Het jaar 2012 van de wet betekent dat ze dateert van vóór de GDPR, maar de door NPC-circulaires gedreven modernisering heeft de operationele standaard geleidelijk afgestemd op Europese normen. Voor uitgevers die bouwen aan pan-ASEAN-activiteiten staan de Filipijnen naast de andere drie als een markt waar een CMP-architectuur gebouwd op Europese normen het grootste deel van de compliance afhandelt met twee specifieke aanvullingen: NPC-registratie waar drempelwaarden van toepassing zijn, en de toestemmingslaag voor gevoelige informatie die het Filipijnse kader onderscheidt van lossere regionale alternatieven. Het Engelstalige karakter van het regelgevingskader — ongebruikelijk in ASEAN — maakt de Filipijnen een bijzonder toegankelijk compliancedoel voor offshore operators zonder lokale juridische adviseurs.