Zarys Data Privacy Act

Data Privacy Act jest skonstruowana wokół pięciu ogólnych zasad zawartych w Section 11 — przejrzystości, uzasadnionego celu, proporcjonalności i właściwego postępowania — oraz bardziej szczegółowych ram kryteriów legalnego przetwarzania zawartych w Section 12. Podstawy prawne przetwarzania odzwierciedlają GDPR: zgoda, umowa, obowiązek prawny, żywotne interesy, zadanie publiczne i prawnie uzasadniony interes. Ustawa ma zasięg ekstraterytorialny na mocy Section 6: ma zastosowanie do przetwarzania danych osobowych obywatela lub rezydenta Filipin niezależnie od miejsca siedziby administratora, obejmując tym samym wydawców offshore obsługujących ruch filipiński.

Dwie cechy strukturalne mają znaczenie operacyjne. Po pierwsze, ustawa rozróżnia dane osobowe od wrażliwych danych osobowych (Section 3, ustępy (g) i (l)) i stosuje do tych ostatnich bardziej rygorystyczne zasady przetwarzania — zdrowie, edukacja, informacje finansowe i identyfikatory wydawane przez władze publiczne kwalifikują się jako wrażliwe na mocy Section 3(l). Po drugie, Section 21 nakłada na administratorów i przetwarzających dane osobowe powyżej określonych progów obowiązek rejestracji w NPC oraz wyznaczenia Inspektora Ochrony Danych (DPO). NPC aktywnie ścigała niezarejestrowanych administratorów.

Jak Data Privacy Act traktuje pliki cookie i śledzenie online

Ustawa nie zawiera przepisu dotyczącego konkretnie plików cookie. Obowiązki w zakresie zgody i informacji wynikają z Sections 11, 12 i 16 ustawy oraz z 2024 Advisory NPC dotyczącej śledzenia online i reklamy behawioralnej. Advisory jest przydatnym dokumentem, ponieważ wyraźnie formułuje oczekiwania, zamiast pozostawiać je do wnioskowania z ogólnych ram.

Aktywna zgoda na śledzenie nieistotne

Stanowisko NPC jest takie, że zgoda musi być swobodnie udzielona, konkretna, świadoma i udokumentowana pisemnym lub elektronicznym zapisem. 2024 Advisory odrzuca przewijanie-jako-zgoda i kontynuowane-użytkowanie-jako-zgoda jako niespełniające kryteriów konkretności i świadomości z Section 3(b). Wcześniej zaznaczone pola wyboru są wyraźnie traktowane jako wadliwe.

Szczegółowe kontrole kategorii

Advisory oczekuje, że banery umożliwią użytkownikowi niezależne akceptowanie i odrzucanie kategorii. Zbiorcze zaakceptowanie wszystkich bez granularności narusza zasadę proporcjonalności zawartą w Section 11(d), która wymaga, aby przetwarzanie było adekwatne, istotne, odpowiednie, konieczne i nieprzesadne — jedna zbiorcza zgoda jest traktowana jako nadmierna, gdy rozdzielenie jest technicznie proste.

DPO i wymóg rejestracji

Dla administratorów powyżej progu rejestracyjnego wyznaczenie DPO jest istotnym wymogiem operacyjnym, a nie ćwiczeniem papierowym. NPC powoływała się na brak właściwie wyznaczonego DPO w kilku działaniach egzekucyjnych, szczególnie w sektorach BPO i fintech.

Przekazywanie transgraniczne (Section 21)

Transgraniczne ramy ustawy są wdrożone przez NPC Circular 16-02 dotyczącą umów outsourcingowych i szerszą zasadę odpowiedzialności. Przekazywanie do odbiorców spoza Filipin wymaga albo odpowiednich zabezpieczeń umownych, albo konkretnej zgody. NPC wydała wzorcowe klauzule umowne; praktyczne oczekiwania operacyjne w treści odpowiadają GDPR Chapter V, nawet jeśli język prawny różni się.

Podejście NPC do egzekwowania

NPC jest jednym z bardziej publicznie aktywnych organów ochrony danych w Azji Południowo-Wschodniej. Trzy wzorce kształtują jej podejście do egzekwowania.

Głośne sprawy naruszeń

NPC priorytetowo traktowała dochodzenia w sprawie naruszeń na dużą skalę — wyciek rejestru wyborców COMELEC w 2016 roku jest najbardziej konsekwentny — i wykorzystała te sprawy do ustalenia oczekiwań wobec szerszej regulowanej społeczności. Publiczne oświadczenia podczas dochodzeń w sprawie naruszeń często formułują wymagania wykraczające poza ścisły tekst ustawowy.

Fokus na BPO i fintech

Filipiny są jedną z największych gospodarek BPO i centrów kontaktowych na świecie, a NPC historycznie koncentrowała egzekwowanie na tych sektorach. Dla wydawców prowadzących działalność wspieraną reklamami, skierowaną do filipińskich użytkowników, klimat regulacyjny wokół odbiorców jest kształtowany przez postawę compliance BPO, nawet gdy sam wydawca nie należy do tego sektora.

Koordynacja z regulatorami ASEAN

NPC uczestniczy w strumieniu prac ASEAN Data Management Framework i utrzymuje relacje robocze z Singapore PDPC, Thailand PDPC, wschodzącym organem Indonezji i EU EDPB. Dochodzenia transgraniczne dotyczące ruchu filipińskiego i europejskiego są coraz częściej prowadzone w ramach skoordynowanych procedur.

Praktyczna lista kontrolna compliance

Sześć konkretnych pytań do odpowiedzi dla każdego banera plików cookie obsługującego ruch filipiński.

• Czy administrator jest zarejestrowany w NPC? Jeśli przetwarzanie przekracza próg rejestracyjny, potwierdź, że rejestracja NPC jest aktualna i że wyznaczenie DPO jest odnotowane.
• Czy jest możliwość odmowy na pierwszej warstwie? Ścieżka odmowy musi znajdować się na tej samej powierzchni co akceptacja, z porównywalną widocznością. Przewijanie-jako-zgoda nie spełnia 2024 Advisory.
• Czy kategorie są szczegółowe? Niezbędne, analityczne i marketingowe muszą być kontrolowane oddzielnie.
• Czy wrażliwe informacje są osobno chronione? W przypadku plików cookie przechwytujących dane dotyczące zdrowia, finansów lub zbliżone do ID wydawanego przez władze publiczne, potwierdź wyraźne wyrażenie zgody odrębne od ogólnej zgody marketingowej.
• Czy przekazywania transgraniczne są udokumentowane? Zidentyfikuj każde miejsce docelowe spoza Filipin i zabezpieczenie autoryzujące przekazywanie (klauzule umowne, wyraźna zgoda lub odstępstwo).
• Czy rejestrowanie zgód jest klasy audytowej? Section 3(b) wymaga, aby zgoda była udowodniona za pomocą środków pisemnych, elektronicznych lub nagranych — rejestrowanie nie jest opcjonalne.

Miejsce Filipin w stosie wielu jurysdykcji

Filipiny są jednym z czterech najbardziej operacyjnie istotnych reżimów ochrony danych ASEAN obok Singapuru, Tajlandii i Indonezji. Rok 2012 uchwalenia ustawy oznacza, że poprzedza ona GDPR, ale modernizacja napędzana okólnikami NPC stopniowo dostosowała standard operacyjny do norm europejskich. Dla wydawców budujących działalność ogólnoazjatycką Filipiny zajmują miejsce obok pozostałej trójki jako rynek, na którym architektura CMP zbudowana do standardów europejskich obsługuje większość wymagań compliance z dwoma specyficznymi uzupełnieniami: rejestracja w NPC tam, gdzie mają zastosowanie progi, oraz warstwa zgody na informacje wrażliwe wyróżniająca filipińskie ramy od luźniejszych regionalnych alternatyw. Anglojęzyczny charakter ram regulacyjnych — niecodzienny w ASEAN — sprawia, że Filipiny są wyjątkowo dostępnym celem compliance dla offshore operatorów nieposiadających lokalnych doradców prawnych.