Data Privacy Act v Prehľade

Data Privacy Act je štruktúrovaný okolo piatich všeobecných zásad v Section 11 — transparentnosť, legitímny účel, proporcionalita a správne zaobchádzanie — a podrobnejšieho rámca pre kritériá zákonného spracúvania v Section 12. Právne základy zrkadlia GDPR: súhlas, zmluva, právna povinnosť, životné záujmy, verejná funkcia a oprávnený záujem. Zákon má extrateritoriálny dosah podľa Section 6: vzťahuje sa na spracúvanie osobných informácií o filipínskom občanovi alebo rezidentovi bez ohľadu na to, kde je prevádzkovateľ usadený, čím pokrýva offshore vydavateľov obsluhujúcich filipínsku prevádzku.

Dva štrukturálne znaky sú prevádzkovo dôležité. Po prvé, zákon rozlišuje osobné informácie od citlivých osobných informácií (Section 3, odseky (g) a (l)) a na tie posledné uplatňuje prísnejšie pravidlá spracúvania — zdravie, vzdelávanie, finančné informácie a identifikátory vydané vládou sa všetky kvalifikujú ako citlivé podľa Section 3(l). Po druhé, Section 21 vyžaduje, aby prevádzkovatelia a sprostredkovatelia osobných informácií nad stanovenými prahovými hodnotami sa zaregistrovali v NPC a určili Zodpovednú osobu (DPO). NPC aktívne prenasledovala neregistrovaných prevádzkovateľov.

Ako Data Privacy Act Narába so Súbormi Cookie a Online Sledovaním

Zákon neobsahuje žiadne ustanovenie špecifické pre súbory cookie. Povinnosti ohľadne súhlasu a informácií vychádzajú z Sections 11, 12 a 16 zákona a z 2024 Advisory NPC o Online Sledovaní a Behaviorálnej Reklame. Advisory je užitočným dokumentom, pretože explicitne formuluje očakávania, namiesto toho, aby ich ponechal na odvodzovanie z všeobecného rámca.

Kladný súhlas pre neesenciálne sledovanie

Postoj NPC je, že súhlas musí byť slobodne daný, konkrétny, informovaný a doložený písomným alebo elektronickým záznamom. 2024 Advisory odmieta posúvanie-ako-súhlas a pokračujúce-používanie-ako-súhlas ako nespĺňajúce kritériá konkrétnosti a informovanosti Section 3(b). Vopred zaškrtnuté políčka sú výslovne považované za chybné.

Granulárne ovládanie kategórií

Advisory očakáva, že bannery umožnia používateľovi nezávisle prijímať a odmietnuť kategórie. Viazané prijatie-všetkého bez granularity porušuje zásadu proporcionality podľa Section 11(d), ktorá vyžaduje, aby spracúvanie bolo primerané, relevantné, vhodné, nevyhnutné a nie nadmerné — jeden viazaný súhlas sa považuje za nadmerný, keď oddelenie je technicky jednoduché.

DPO a požiadavka registrácie

Pre prevádzkovateľov nad registračnou prahovou hodnotou je určenie DPO zmysluplnou prevádzkovou požiadavkou, nie papierovou cvičením. NPC citovala absenciu riadne určenej DPO v niekoľkých presadzovacích akciách, najmä v sektoroch BPO a fintech.

Cezhraničný prenos (Section 21)

Cezhraničný rámec zákona je implementovaný prostredníctvom NPC Circular 16-02 o Zmluvách o Outsourcingu a širšom princípe zodpovednosti. Prenosy k príjemcom mimo Filipín vyžadujú buď vhodné zmluvné záruky alebo konkrétny súhlas. NPC vydala vzorové zmluvné ustanovenia; praktická prevádzková požiadavka sleduje GDPR Chapter V svojou podstatou, aj keď sa právny jazyk líši.

Postoj NPC k Presadzovaniu

NPC bola jedným z verejne aktívnejších orgánov na ochranu údajov v juhovýchodnej Ázii. Tri vzory formujú jej prístup k presadzovaniu.

Vysoko viditeľné prípady porušení

NPC uprednostňovala vyšetrovania porušení vo veľkom rozsahu — únik voličského registra COMELEC z roku 2016 je najdôslednejší — a používala tieto prípady na stanovenie očakávaní pre širšiu regulovanú komunitu. Verejné vyhlásenia počas vyšetrovania porušení často formulujú požiadavky, ktoré presahujú prísny zákonný text.

Zameranie na BPO a fintech

Filipíny sú jednou z najväčších ekonomík BPO a kontaktných centier na svete a NPC historicky sústredila presadzovanie na tieto sektory. Pre vydavateľov prevádzkujúcich podniky podporované reklamou, zamerané na filipínskych používateľov, je regulačná klíma okolo publika formovaná postojom súladu BPO, aj keď samotný vydavateľ nie je v tomto sektore.

Koordinácia s regulátormi ASEAN

NPC sa podieľa na pracovnom prúde ASEAN Data Management Framework a udržiava pracovné vzťahy s Singapore PDPC, Thailand PDPC, rodiacim sa orgánom Indonézie a EU EDPB. Cezhraničné vyšetrovania zahŕňajúce filipínskú a európsku prevádzku sa čoraz viac riešia prostredníctvom koordinovaných postupov.

Praktický Kontrolný Zoznam Súladu

Šesť konkrétnych otázok, na ktoré treba odpovedať pri akomkoľvek banneri súborov cookie obsluhujúcom filipínsku prevádzku.

• Je prevádzkovateľ zaregistrovaný v NPC? Ak spracúvanie prekračuje registračnú prahovú hodnotu, potvrďte, že registrácia NPC je aktuálna a určenie DPO je zaznamenané.
• Je explicitné odmietnutie na prvej vrstve? Cesta odmietnutia musí byť na rovnakom povrchu ako prijatie, s porovnateľnou viditeľnosťou. Posúvanie-ako-súhlas nevyhovuje 2024 Advisory.
• Sú kategórie granulárne? Nevyhnutné, analytické a marketingové musia byť kontrolovateľné samostatne.
• Sú citlivé informácie špeciálne obmedzené? Pre akékoľvek súbory cookie, ktoré zachytávajú zdravotné, finančné alebo vládnemu ID susediace údaje, potvrďte explicitné prihlásenie odlišné od všeobecného marketingového súhlasu.
• Sú cezhraničné prenosy zdokumentované? Identifikujte každý cieľ mimo Filipín a záruku oprávňujúcu prenos (zmluvné ustanovenia, explicitný súhlas alebo výnimku).
• Je protokolovanie súhlasov na auditovej úrovni? Section 3(b) vyžaduje, aby bol súhlas doložený písomnými, elektronickými alebo zaznamenanými prostriedkami — protokolovanie nie je voliteľné.

Kde Sú Filipíny v Zásobníku Viacerých Jurisdikcií

Filipíny sú jedným zo štyroch prevádzkovo najdôležitejších režimov ochrany údajov ASEAN popri Singapure, Thajsku a Indonézii. Ročník zákona 2012 znamená, že predchádza GDPR, ale modernizácia riadená obežníkmi NPC postupne zosúlaďuje prevádzkový štandard s európskymi normami. Pre vydavateľov budujúcich celoázijské operácie ASEAN sú Filipíny popri ostatných troch trhom, kde architektúra CMP postavená na európskych štandardoch zvládne väčšinu súladu s dvoma špecifickými dodatkami: registrácia NPC tam, kde sa uplatňujú prahové hodnoty, a vrstva súhlasu s citlivými informáciami, ktorá odlišuje filipínsky rámec od flexibilnejších regionálnych alternatív. Anglický charakter regulačného rámca — v ASEAN nezvyčajný — robí z Filipín nezvyčajne dostupný cieľ súladu pre offshore operátorov, ktorí nemajú miestnych právnych poradcov.