DPA

ولذلك ينبغي تحديد الأساس القانوني المعمول به لكل نشاط معالجة بدلًا من افتراض أن لافتة الموافقة تحل كل التزامات الخصوصية.

هل يسري قانون خصوصية البيانات الفلبيني على الشركات خارج الفلبين؟

نعم، في ظروف محددة.

تنص المادة 6 من قانون خصوصية البيانات على التطبيق خارج الحدود الإقليمية حين يتعلق فعل أو معالجة خارج الفلبين بمعلومات شخصية تخص مواطنًا فلبينيًا أو مقيمًا في الفلبين، ويكون للكيان ارتباط مؤهِّل بالفلبين.

ويمكن أن تشمل الارتباطات ذات الصلة ما يلي:

• عقد مبرم في الفلبين
• فرع أو وكالة أو مكتب أو شركة تابعة في الفلبين
• الإدارة والسيطرة المركزية في الفلبين في ظروف محددة
• مزاولة أعمال تجارية في الفلبين
• معلومات شخصية يجمعها أو يحوزها كيان في الفلبين

ولذلك ينبغي للشركات الدولية تقييم صلاتها بالفلبين وأنشطة المعالجة لديها بدلًا من افتراض أن وجودها الفعلي خارج الفلبين يُسقط التزامات قانون خصوصية البيانات.

ما المقصود بالمعلومات الشخصية؟

يحمي قانون خصوصية البيانات على نطاق واسع المعلومات التي يمكن من خلالها تحديد هوية الفرد بصورة مباشرة أو غير مباشرة.

وقد تشمل الأمثلة ما يلي:

• الاسم
• بيانات الاتصال
• عنوان البريد الإلكتروني
• معلومات تحديد الهوية
• معلومات الحساب
• معلومات الموقع الجغرافي
• المعرّفات على الإنترنت
• معلومات التوظيف
• المعلومات المالية
• المعلومات الصحية
• المعلومات الأخرى المرتبطة بفرد يمكن تحديد هويته

ومفهوم المعالجة واسع ويشمل أنشطة مثل الجمع والتسجيل والتنظيم والتخزين والتحديث والاسترجاع والاطلاع والاستخدام والإفصاح والحجب والمحو والإتلاف.

المعلومات الشخصية الحساسة

يوفّر قانون خصوصية البيانات الفلبيني حماية معززة لـالمعلومات الشخصية الحساسة (SPI).

ويشمل القانون المعلومات المتعلقة بأمور مثل:

• العِرق
• الأصل الإثني
• الحالة الاجتماعية
• العمر
• اللون
• الانتماءات الدينية أو الفلسفية أو السياسية
• الصحة
• التعليم
• الحياة الجينية أو الجنسية
• الإجراءات المتعلقة بالجرائم والبتّ فيها
• المعلومات الصادرة عن الحكومة والخاصة بفرد بعينه، مثل بعض معلومات الضمان الاجتماعي أو الصحة أو الرخص أو الضرائب
• المعلومات المصنفة تحديدًا بوصفها سرية بموجب القانون أو بقرار تنفيذي

والتمييز بين المعلومات الشخصية والمعلومات الشخصية الحساسة مهم لأن قيودًا وضمانات إضافية قد تنطبق على المعلومات الشخصية الحساسة.

متطلبات الموافقة

حيثما يُعتمد على الموافقة، تشترط قواعد الخصوصية الفلبينية أن تكون الموافقة:

• حرة
• محددة
• مستنيرة
• قابلة للإثبات

وتنص اللوائح التنفيذية (IRR) على أنه يجوز إثبات الموافقة بوسائل مكتوبة أو إلكترونية أو مسجّلة.

ولذلك ينبغي أن تتيح آلية الموافقة العملية إثبات ما يلي:

• من قدّم الموافقة
• ما الذي وافق عليه الشخص
• الغرض الذي قُدمت الموافقة من أجله
• متى قُدمت الموافقة
• ما المعلومات التي عُرضت
• ما إذا كان الشخص قد سحب موافقته لاحقًا
• ما المعالجة التي جرت استنادًا إلى تلك الموافقة

ينبغي عدم تجميع الموافقة دون داعٍ

حيثما تكون الموافقة مطلوبة، ينبغي للمؤسسات تجنّب جعل أغراض غير مترابطة متوقفة على إذن واحد غامض.

فعلى سبيل المثال، قد تكون لدى الشركة أنشطة معالجة منفصلة تتعلق بما يلي:

• إنشاء الحسابات
• تقديم الخدمة
• التحليلات
• الإعلان
• التخصيص
• التسويق المباشر
• مشاركة البيانات مع أطراف ثالثة

وينبغي تقييم هذه الأنشطة كلٍّ على حدة لتحديد الأساس القانوني المعمول به ومتطلبات الشفافية.

إشعارات الخصوصية والشفافية

تقتضي متطلبات الشفافية في قانون خصوصية البيانات أن تزوّد المؤسسات أصحاب البيانات بمعلومات مناسبة عن معالجة معلوماتهم الشخصية.

وينبغي أن يتناول إشعار الخصوصية الأمور ذات الصلة، مثل:

• ما المعلومات الشخصية التي تُجمع
• أغراض المعالجة
• أسلوب المعالجة ونطاقها
• هوية المتحكم أو ممثله وبيانات الاتصال به
• مدة الاحتفاظ
• المستلمون أو عمليات الإفصاح ذات الصلة
• حقوق أصحاب البيانات
• كيف يمكن لصاحب البيانات ممارسة تلك الحقوق أو تقديم شكوى

وتعترف اللوائح التنفيذية تحديدًا بحق صاحب البيانات في أن يُعلَم بالمعالجة وبالحقوق ذات الصلة.

حقوق أصحاب البيانات

تحدد اللجنة الوطنية للخصوصية عدة حقوق ممنوحة لأصحاب البيانات بموجب قانون خصوصية البيانات، من بينها:

• الحق في أن يُعلَم
• الحق في الوصول
• الحق في الاعتراض
• الحق في التصحيح
• الحق في المحو أو الحجب
• الحق في قابلية نقل البيانات
• الحق في تقديم شكوى
• الحق في التعويض

ولذلك ينبغي للمؤسسات الاحتفاظ بإجراء رسمي لطلبات الخصوصية يمكنه:

1. 1تلقي الطلب
2. 2التحقق من هوية مقدّم الطلب
3. 3تحديد البيانات ذات الصلة
4. 4تحديد الاستثناءات المنطبقة
5. 5التنسيق مع المعالِجين
6. 6الرد خلال المدة المعمول بها
7. 7الاحتفاظ بأدلة على الرد

الحق في الوصول

يتيح الحق في الوصول لأصحاب البيانات الحصول على معلومات بشأن معالجة بياناتهم الشخصية.

وبحسب الظروف، يمكن أن يشمل ذلك معلومات عن:

• المعلومات الشخصية التي تجري معالجتها
• أغراض المعالجة
• أساليب المعالجة ونطاقها
• المستلمون أو فئات المستلمين
• مصدر البيانات حيثما ينطبق ذلك
• المعلومات الأخرى التي يعترف بها قانون خصوصية البيانات

وينبغي أن يكون لدى الشركات إجراء لتحديد أماكن المعلومات الشخصية عبر قواعد البيانات والتطبيقات وأنظمة الأطراف الثالثة.

الحق في التصحيح

يجوز لأصحاب البيانات ممارسة حقهم في تصحيح المعلومات الشخصية غير الدقيقة أو غير المكتملة.

وينبغي للمؤسسات الاحتفاظ بإجراءات تتيح ما يلي:

• تحديد السجلات ذات الصلة
• التحقق من التصحيح المطلوب
• تحديث الأنظمة الداخلية
• نقل التصحيحات إلى المعالِجين أو المستلمين المعنيين حيثما كان ذلك مطلوبًا
• توثيق الطلب ونتيجته

الحق في المحو أو الحجب

يعترف قانون خصوصية البيانات بالحق في المحو أو الحجب في ظروف محددة.

ولا ينبغي تفسير ذلك على أنه حق غير مشروط في حذف كل سجل على الفور.

وينبغي للمؤسسات تحديد ما إذا كان:

• لم تعد البيانات ضرورية
• المعالجة غير مشروعة
• لدى صاحب البيانات اعتراض صحيح
• الاحتفاظ مطلوبًا بموجب قانون آخر
• المعلومات ضرورية لمطالبة قانونية
• ثمة استثناء قانوني آخر ينطبق

الحق في الاعتراض

لأصحاب البيانات الحق في الاعتراض على أنواع معينة من المعالجة.

وتعترف اللوائح التنفيذية تحديدًا بالاعتراضات المتعلقة بما يلي:

• التسويق المباشر
• المعالجة الآلية
• إعداد الملفات التعريفية

وحيثما يكون الاعتراض صحيحًا، يجب على المتحكم وقف المعالجة المعنية ما لم يُجز استثناء منطبق استمرارها.

الحق في قابلية نقل البيانات

تعترف الفلبين بالحق في قابلية نقل البيانات.

وتوضح اللجنة الوطنية للخصوصية أنه يجوز لصاحب البيانات الحصول على نسخة من بياناته الشخصية و/أو نقلها من متحكم معلومات شخصية إلى آخر بصيغة إلكترونية أو منظمة وشائعة الاستخدام.

ويمكن أن يسري هذا الحق حيثما:

• كانت المعالجة قائمة على الموافقة أو على عقد
• كانت البيانات الشخصية تُعالَج إلكترونيًا بصيغة منظمة وشائعة الاستخدام

ويمكن أن تشمل أمثلة المعلومات القابلة للنقل ما يلي:

• الأسماء
• العناوين
• أسماء المستخدمين
• سجل المعاملات
• سجلات الوصول
• بيانات الموقع الجغرافي

مسؤول حماية البيانات

ينبغي للمؤسسات المشمولة بإطار الخصوصية الفلبيني إرساء حوكمة مناسبة للخصوصية، بما في ذلك تعيين مسؤول حماية البيانات (DPO) حيثما كان ذلك مطلوبًا.

ويتولى مسؤول حماية البيانات دعم امتثال المؤسسة لقانون خصوصية البيانات ولمتطلبات اللجنة الوطنية للخصوصية.

وقد يشارك مسؤول حماية البيانات في:

• الامتثال للخصوصية
• سياسات حماية البيانات
• تقييمات أثر الخصوصية
• طلبات أصحاب البيانات
• إدارة الخروقات
• التواصل مع اللجنة الوطنية للخصوصية
• توعية الموظفين
• إدارة الموردين
• مبادرات الخصوصية حسب التصميم

وتوفّر اللجنة الوطنية للخصوصية نظام تسجيل يمكن من خلاله لمتحكمي ومعالِجي المعلومات الشخصية تسجيل مسؤول حماية البيانات وأنظمة معالجة البيانات لديهم حيثما ينطبق ذلك.

تسجيل نظام معالجة البيانات

تتوقف التزامات التسجيل على المؤسسة وطبيعة معالجتها.

وبموجب متطلبات اللجنة الوطنية للخصوصية، يمكن أن يكون التسجيل إلزاميًا في حالات من بينها:

• أن يوظّف متحكم أو معالِج المعلومات الشخصية 250 موظفًا على الأقل
• أن تشمل المعالجة معلومات شخصية حساسة تخص 1,000 فرد على الأقل
• أن يُرجَّح أن تشكّل المعالجة خطرًا على أصحاب البيانات
• ألا تكون المعالجة عَرَضية
• أن ينطوي الأمر على اتخاذ قرارات آلي أو إعداد ملفات تعريفية في الظروف المشمولة بمتطلبات اللجنة الوطنية للخصوصية

كما ذكرت اللجنة الوطنية للخصوصية أن أنظمة معالجة البيانات التي تنطوي على اتخاذ قرارات آلي أو إعداد ملفات تعريفية تخضع لمتطلبات التسجيل بموجب القواعد المعمول بها.

وينبغي للشركات تقييم متطلبات التسجيل بدلًا من افتراض أن التسجيل إلزامي لكل مؤسسة.

المتطلبات الأمنية

يشترط قانون خصوصية البيانات على متحكمي ومعالِجي المعلومات الشخصية تطبيق تدابير مؤسسية ومادية وتقنية معقولة ومناسبة لحماية المعلومات الشخصية.

وينبغي أن تراعي الضوابط الأمنية عوامل مثل:

• طبيعة المعلومات الشخصية
• المخاطر المرتبطة بالمعالجة
• بيئة المؤسسة
• معايير القطاع المعمول بها
• تكلفة التنفيذ
• الأثر المحتمل على أصحاب البيانات

ويمكن أن يشمل برنامج أمن الخصوصية العملي ما يلي:

• ضوابط الوصول
• المصادقة
• التشفير
• أمن الشبكات
• أمن التطبيقات
• تسجيل السجلات والمراقبة
• إدارة الثغرات
• النسخ الاحتياطي
• استعادة القدرة بعد الكوارث
• تدريب الموظفين
• الاستجابة للحوادث
• الضوابط الأمنية للموردين

وتدعو إرشادات اللجنة الوطنية للخصوصية المتعلقة بالخروقات تحديدًا إلى تدابير مؤسسية ومادية وتقنية مصممة لمنع الخروقات أو التقليل منها ودعم اكتشافها والاستجابة لها في الوقت المناسب.

الإخطار بخرق البيانات الشخصية

لا يستوجب كل حادث أمني إخطار اللجنة الوطنية للخصوصية والأفراد المتأثرين.

وينطبق الإخطار الإلزامي عند استيفاء الشروط التي يقررها قانون خصوصية البيانات وقواعد اللجنة الوطنية للخصوصية.

وتحدد اللجنة الوطنية للخصوصية ثلاثة عناصر رئيسية:

1. 1أن ينطوي الخرق على معلومات شخصية حساسة أو معلومات أخرى قد تتيح انتحال الهوية.
2. 2أن يكون ثمة ما يدعو إلى الاعتقاد بأن المعلومات قد حصل عليها شخص غير مصرح له.
3. 3أن يعتقد متحكم المعلومات الشخصية أن الخرق يُرجَّح أن يؤدي إلى خطر حقيقي بضرر جسيم يلحق بصاحب البيانات المتأثر.

ومن أمثلة المعلومات التي قد تتيح انتحال الهوية:

• المعلومات المالية أو الاقتصادية
• أسماء المستخدمين وكلمات المرور
• البيانات البيومترية
• وثائق تحديد الهوية الصادرة عن الحكومة
• المعرّفات الحكومية الفريدة
• المعلومات المماثلة القادرة على التأثير في القرارات المتعلقة بالفرد

الإخطار بالخرق خلال 72 ساعة

حيثما ينطبق الإخطار الإلزامي، تشترط اللجنة الوطنية للخصوصية تقديم نموذج الإخطار بخرق البيانات الشخصية خلال 72 ساعة من العلم بوقوع خرق للبيانات الشخصية أو الاعتقاد المعقول بوقوعه.

ويجب أيضًا إخطار أصحاب البيانات المتأثرين خلال فترة 72 ساعة المعمول بها حيثما ينطبق شرط الإخطار.

وتشغّل اللجنة الوطنية للخصوصية نظام إدارة الإخطار بخروقات البيانات (DBNMS) لتلقي الإخطارات بالخروقات.

ولذلك ينبغي للمؤسسات الحفاظ على إجراء للاستجابة للحوادث قادر على:

• اكتشاف الحوادث
• تقييم ما إذا كانت البيانات الشخصية متأثرة
• تحديد عتبات الإخطار
• تصعيد الحوادث
• إعداد معلومات الإخطار
• التواصل مع الأفراد المتأثرين
• توثيق التدابير التصحيحية
• منع تكرار الحادث

الإخطار بخرق البيانات والمعالِجون

لا يؤدي إسناد المعالجة إلى الغير إلى إسقاط مسؤولية المتحكم عن الإخطار بالخروقات المعمول به.

وتذكر اللجنة الوطنية للخصوصية أن الالتزام بالإخطار يظل على عاتق متحكم المعلومات الشخصية حتى عندما تُسند المعالجة أو يُتعاقد عليها من الباطن مع معالِج للمعلومات الشخصية.

ولذلك ينبغي أن تحدد العقود المبرمة مع المعالِجين ما يلي:

• المتطلبات الأمنية
• المهل الزمنية للإخطار بالحوادث
• التعاون في التحقيقات
• الحفاظ على الأدلة
• دعم أصحاب البيانات
• التعاون مع الجهات التنظيمية
• مسؤوليات اتخاذ التدابير التصحيحية

مشاركة البيانات ومعالِجو الأطراف الثالثة

كثيرًا ما تعتمد المؤسسات على أطراف ثالثة لمعالجة المعلومات الشخصية.

ومن الأمثلة على ذلك:

• مزودو الخدمات السحابية
• منصات CRM
• مزودو التحليلات
• المنصات الإعلانية
• معالِجو المدفوعات
• مزودو دعم العملاء
• منصات أتمتة التسويق
• أنظمة الموارد البشرية
• مزودو SaaS

وينبغي أن يفهم متحكم المعلومات الشخصية ما يلي:

• ما المعلومات التي تجري مشاركتها
• سبب مشاركتها
• من يتلقاها
• أين تُعالَج
• ما الضوابط الأمنية المنطبقة
• كم تبلغ مدة الاحتفاظ بها
• ما إذا كان ثمة معالِجون إضافيون
• ما الذي يحدث بعد إنهاء العلاقة

وقد أصدرت اللجنة الوطنية للخصوصية إرشادات وتعميمات بشأن ترتيبات مشاركة البيانات والمساءلة في مجال الخصوصية.

المعالجة العابرة للحدود والدولية

يمكن أن يسري قانون خصوصية البيانات على المعالجة التي تجري خارج الفلبين عند استيفاء الشروط القانونية للتطبيق خارج الحدود الإقليمية.

وينبغي للشركات الدولية تقييم صلاتها بالفلبين، بما في ذلك:

• العملاء أو المقيمون الفلبينيون
• العقود الفلبينية
• الفروع أو الشركات التابعة في الفلبين
• العمليات في الفلبين
• البيانات المجمّعة أو المحفوظة في الفلبين
• وصول الشركة الأم الأجنبية أو المؤسسات التابعة لها

ويتناول الحكم المتعلق بالتطبيق خارج الحدود الإقليمية في قانون خصوصية البيانات تحديدًا المعالجة التي تجري خارج الفلبين حيثما توافرت الصلات القانونية ذات الصلة.

اتخاذ القرارات الآلي وإعداد الملفات التعريفية

يعترف إطار الخصوصية الفلبيني بالمعالجة الآلية وإعداد الملفات التعريفية بوصفهما اعتبارين مهمين في مجال الخصوصية.

ولدى اللجنة الوطنية للخصوصية قواعد محددة بشأن التسجيل والإخطار المتعلقين باتخاذ القرارات الآلي، ويمنح قانون خصوصية البيانات أصحاب البيانات حقوقًا تتعلق بالمعالجة الآلية وإعداد الملفات التعريفية.

والشركات التي تستخدم:

• أنظمة الذكاء الاصطناعي
• قرارات الأهلية الآلية
• التقييم الائتماني
• إعداد الملفات التعريفية السلوكية
• الإعلانات المخصصة
• كشف الاحتيال
• أنظمة التوصية
• أنظمة القرارات الآلية الأخرى

ينبغي لها تقييم ما يلي:

• ما البيانات الشخصية المستخدمة
• الغرض من المعالجة الآلية
• ما إذا كان النظام يؤثر تأثيرًا جوهريًا في الأفراد
• متطلبات الشفافية
• حقوق الاعتراض
• التزامات التسجيل
• الأمن
• معالجة الأطراف الثالثة
• المراجعة البشرية حيثما كان ذلك مناسبًا

كما أصدرت اللجنة الوطنية للخصوصية إرشادات خاصة بالذكاء الاصطناعي بشأن تطبيق قانون خصوصية البيانات ولوائحه التنفيذية على أنظمة الذكاء الاصطناعي التي تعالج بيانات شخصية.

الخصوصية حسب التصميم وهندسة الخصوصية

أصدرت اللجنة الوطنية للخصوصية إرشادات حديثة بشأن هندسة الخصوصية في عمليات دورة حياة الأنظمة.

وينبغي للشركات إدماج اعتبارات الخصوصية أثناء:

• تصميم المنتجات
• تطوير المواقع الإلكترونية
• تطوير التطبيقات
• اختيار الموردين
• بنية البيانات
• تطوير الذكاء الاصطناعي
• تنفيذ التحليلات
• تصميم الأمن
• تغييرات الأنظمة

ولذلك ينبغي معالجة الخصوصية قبل بدء معالجة البيانات الشخصية وليس فقط بعد إطلاق المنتج.

ملفات تعريف الارتباط والتتبع عبر الإنترنت

لا يصنّف قانون خصوصية البيانات الفلبيني ببساطة كل ملف تعريف ارتباط على أنه يتطلب موافقة.

والنهج المناسب هو تحديد ما يلي:

1. 1ما إذا كان ملف تعريف الارتباط أو أداة التتبع يعالج معلومات شخصية
2. 2ما المعلومات التي يجمعها
3. 3لأي غرض
4. 4من يتلقى المعلومات
5. 5ما الأساس القانوني المنطبق
6. 6ما إذا كانت التقنية تنطوي على معلومات حساسة
7. 7ما إذا كانت تنطوي على معالجة من أطراف ثالثة
8. 8ما متطلبات الشفافية والاختيار المنطبقة

وينبغي لمشغّلي المواقع الإلكترونية إيلاء اهتمام خاص لما يلي:

• ملفات تعريف الارتباط الإعلانية
• بكسلات إعادة الاستهداف
• التحليلات
• بكسلات وسائل التواصل الاجتماعي
• تتبع التحويلات
• معرّفات الأجهزة
• التحليلات السلوكية
• تقنيات الجلسات
• حزم SDK التابعة لأطراف ثالثة

وحيثما تكون الموافقة هي الأساس القانوني المعمول به، يمكن أن تساعد ConsentX المؤسسات على التحكم في وقت تشغيل تقنيات محددة والاحتفاظ بسجلات لخيارات المستخدمين.

التسويق المباشر

يمنح قانون خصوصية البيانات أصحاب البيانات حقوقًا تتعلق بالتسويق المباشر.

وينبغي للشركات التي تمارس التسويق عبر البريد الإلكتروني أو الرسائل النصية القصيرة أو الإعلان أو غيره من أشكال التسويق المخصص أن تراجع ما يلي:

• مصدر البيانات التسويقية
• الغرض الذي جُمعت من أجله
• الموافقة المنطبقة
• آليات إلغاء الاشتراك
• إدارة التفضيلات
• عمليات الإفصاح للأطراف الثالثة
• إعداد الملفات التعريفية
• المنصات الإعلانية
• الاحتفاظ بالبيانات

ويشمل الحق في الاعتراض صراحةً المعالجة لأغراض التسويق المباشر.

الاحتفاظ بالبيانات

ينبغي للمؤسسات إرساء ممارسات احتفاظ مناسبة لغرض المعالجة وطبيعتها.

وينبغي أن يغطي برنامج الاحتفاظ ما يلي:

• حسابات العملاء
• قواعد بيانات التسويق
• سجلات الموافقة
• تحليلات الموقع الإلكتروني
• ملفات تعريف الارتباط ومعلومات التتبع
• سجلات الدعم
• معلومات الموظفين
• طلبات أصحاب البيانات
• سجلات الأمن
• البيانات الشخصية المحفوظة لدى الموردين

ولا ينبغي الاحتفاظ بالبيانات إلى أجل غير مسمى لمجرد أن التخزين متاح من الناحية التقنية.

كما ينبغي تنسيق الاحتفاظ مع المتطلبات القانونية والتنظيمية والتعاقدية والمتعلقة بالتقاضي.

الأطفال وأصحاب البيانات المستضعفون

ينبغي للشركات التي تعالج معلومات عن الأطفال أو غيرهم من الأفراد المستضعفين تطبيق ضمانات خصوصية معززة.

ويحدد إطار التسجيل لدى اللجنة الوطنية للخصوصية أصحاب البيانات المستضعفين، بمن فيهم القُصّر والمرضى وكبار السن وغيرهم ممن يوجدون في أوضاع قد ينشأ فيها اختلال في التوازن بين صاحب البيانات والمؤسسة، بوصفهم عوامل خطر ذات صلة.

ولذلك ينبغي للمنتجات الموجهة إلى الأطفال تقييم ما يلي:

• التحقق من العمر
• الإشعارات المناسبة
• متطلبات الموافقة
• مشاركة أحد الوالدين حيثما ينطبق ذلك
• تقليل البيانات
• الأمن
• الاحتفاظ
• إعداد الملفات التعريفية
• عمليات الإفصاح للأطراف الثالثة

قائمة التحقق من الامتثال لقانون خصوصية البيانات الفلبيني

• حدد جميع المعلومات الشخصية المجمّعة
• حدد المعلومات الشخصية الحساسة
• ارسم خريطة أغراض المعالجة
• حدد معيار المعالجة المشروعة المنطبق
• راجع آليات الموافقة
• احتفظ بأدلة الموافقة
• انشر إشعارات خصوصية مناسبة
• حدد أدوار متحكم المعلومات الشخصية ومعالِجها
• راجع عقود المعالِجين
• قيّم ترتيبات مشاركة البيانات
• راجع المعالجة العابرة للحدود
• ضع إجراءات لطلبات أصحاب البيانات
• ادعم طلبات الوصول
• ادعم طلبات التصحيح
• ادعم طلبات المحو/الحجب
• ادعم الاعتراضات
• ادعم قابلية نقل البيانات
• راجع ممارسات التسويق المباشر
• قيّم اتخاذ القرارات الآلي
• راجع أنشطة إعداد الملفات التعريفية
• قيّم متطلبات التسجيل لدى اللجنة الوطنية للخصوصية
• حافظ على حوكمة مسؤول حماية البيانات
• طبّق تدابير أمنية معقولة
• ضع إجراءات للاستجابة للخروقات
• قيّم شرط الإخطار خلال 72 ساعة
• راجع معالجة بيانات الأطفال والأشخاص المستضعفين
• افحص ملفات تعريف الارتباط وأدوات التتبع
• احظر تقنيات محددة قبل الحصول على الموافقة المعمول بها
• راجع بانتظام التغييرات في الموقع الإلكتروني ولدى الموردين

الدولة الخاضعة لهذه اللائحة

الدولة: الفلبين

يسري قانون خصوصية البيانات الفلبيني على معالجة المعلومات الشخصية الواقعة ضمن نطاقه، ويمكن أن يسري أيضًا على بعض أنشطة المعالجة التي تجري خارج الفلبين عند استيفاء الشروط القانونية للتطبيق خارج الحدود الإقليمية.

لوائح الخصوصية الأخرى

قد تحتاج الشركات العاملة دوليًا إلى تقييم ما يلي أيضًا:

• GDPR — الاتحاد الأوروبي
• UK GDPR — المملكة المتحدة
• CCPA / CPRA — كاليفورنيا
• LGPD — البرازيل
• PIPEDA — كندا
• DPDP Act — الهند
• PDPA — سنغافورة
• PDPA — تايلاند
• PIPA — كوريا الجنوبية
• Malaysia PDPA — ماليزيا
• POPIA — جنوب أفريقيا
• FADP — سويسرا
• Law 25 — كيبيك، كندا
• LFPDPPP — المكسيك
• PDPL — الأرجنتين
• Law 21.719 — تشيلي
• Law 1581 — كولومبيا
• Law 29733 — بيرو
• Law 18.331 — أوروغواي
• LOPDP — الإكوادور
• قانون حماية البيانات الشخصية في فيتنام

تتوقف المتطلبات المعمول بها على المؤسسة ونشاط المعالجة والأفراد المعنيين والولاية القضائية.