Cumplimiento de la Ley de Privacidad de Datos de Filipinas

Marco normativo

El marco filipino de privacidad se basa principalmente en:

• Republic Act No. 10173 — Data Privacy Act of 2012
• Los Implementing Rules and Regulations de la Data Privacy Act
• Las circulares y normas de la NPC
• Los avisos y directrices de la NPC
• Los requisitos sectoriales de privacidad, cuando resulten aplicables

El consentimiento es una base jurídica del tratamiento, pero no la única en el marco filipino. El tratamiento también puede ser lícito cuando sea necesario para un contrato, una obligación legal, la protección de intereses vitales, una emergencia nacional o el orden público, u otras circunstancias reconocidas por la ley y sus normas de desarrollo.

La NPC administra y aplica la DPA y ofrece orientación a las organizaciones y a los interesados.

Organizaciones cubiertas por la ley

La DPA se aplica a organizaciones y personas que participan en el tratamiento de información personal, entre ellas:

• Personal Information Controllers
• Personal Information Processors
• Organizaciones del sector privado
• Organismos públicos dentro del ámbito de la ley
• Empresas que operan sitios web y aplicaciones
• Plataformas de comercio electrónico
• Organizaciones financieras
• Organizaciones sanitarias
• Centros educativos
• Empresas tecnológicas
• Empresas de marketing y publicidad
• Proveedores de servicios externalizados
• Otras entidades que tratan información personal

Para las empresas que operan en Filipinas sitios web, aplicaciones, plataformas de comercio electrónico, productos SaaS, sistemas de marketing u otros servicios digitales, el cumplimiento va más allá de obtener un consentimiento en un aviso de cookies. Las organizaciones deben conocer la base jurídica aplicable, facilitar avisos de privacidad adecuados, implantar medidas de seguridad, gestionar los derechos de los interesados, valorar el tratamiento por terceros y conservar evidencia de cumplimiento apropiada.

¿Se aplica la DPA de Filipinas a empresas fuera de Filipinas?

Sí, en circunstancias determinadas. El artículo 6 de la DPA prevé su aplicación extraterritorial cuando un acto o tratamiento realizado fuera de Filipinas se refiera a información personal de un ciudadano o residente filipino y la entidad tenga un vínculo cualificado con Filipinas.

Esos vínculos pueden incluir:

• Un contrato celebrado en Filipinas
• Una sucursal, agencia, oficina o filial filipina
• Dirección y control centralizados en Filipinas en determinadas circunstancias
• El desarrollo de actividad empresarial en Filipinas
• Información personal recogida o conservada por una entidad en Filipinas

Las empresas internacionales deberían valorar, por tanto, sus vínculos filipinos y sus actividades de tratamiento, en lugar de suponer que estar fuera de Filipinas elimina las obligaciones de la DPA.

¿Qué es información personal?

La DPA protege de forma amplia la información a partir de la cual una persona puede ser identificada directa o indirectamente. Algunos ejemplos:

• Nombre
• Datos de contacto
• Dirección de correo electrónico
• Información de identificación
• Información de cuentas
• Información de ubicación
• Identificadores en línea
• Información laboral
• Información financiera
• Información de salud
• Otra información asociada a una persona identificable

El concepto de tratamiento es amplio e incluye actividades como la recogida, el registro, la organización, el almacenamiento, la actualización, la recuperación, la consulta, el uso, la comunicación, el bloqueo, la supresión y la destrucción.

Sensitive Personal Information

La DPA de Filipinas otorga protección reforzada a la Sensitive Personal Information (SPI). La ley abarca información relativa a cuestiones como:

• Raza
• Origen étnico
• Estado civil
• Edad
• Color
• Afiliaciones religiosas, filosóficas o políticas
• Salud
• Educación
• Datos genéticos o vida sexual
• Procedimientos por infracciones y su resolución
• Información expedida por la administración y propia de una persona, como determinados datos de seguridad social, salud, licencias o tributos
• Información clasificada expresamente como confidencial por ley o por acto del ejecutivo

La distinción entre información personal y Sensitive Personal Information es importante porque a la SPI pueden aplicarse restricciones y garantías adicionales.

Requisitos del consentimiento

Cuando se invoca el consentimiento, las normas filipinas exigen que sea:

• Libremente prestado
• Específico
• Informado
• Demostrable

Las normas de desarrollo prevén que el consentimiento pueda acreditarse por medios escritos, electrónicos o grabados.

Por ello, un mecanismo de consentimiento operativo debería permitir determinar:

• Quién prestó el consentimiento
• A qué aceptó la persona
• La finalidad para la que se prestó
• Cuándo se prestó
• Qué información se mostró
• Si la persona lo retiró después
• Qué tratamiento se realizó sobre esa base

El consentimiento no debería agruparse innecesariamente

Cuando se requiere consentimiento, las organizaciones deberían evitar que finalidades no relacionadas dependan de una única autorización ambigua.

Por ejemplo, una empresa puede tener actividades de tratamiento distintas para:

• Creación de cuentas
• Prestación del servicio
• Analítica
• Publicidad
• Personalización
• Mercadotecnia directa
• Comunicación de datos a terceros

Estas actividades deberían valorarse individualmente para determinar la base jurídica aplicable y los requisitos de transparencia.

Avisos de privacidad y transparencia

Los requisitos de transparencia de la DPA obligan a las organizaciones a facilitar a los interesados información adecuada sobre el tratamiento de su información personal.

Un aviso de privacidad debería abordar aspectos relevantes como:

• Qué información personal se recoge
• Las finalidades del tratamiento
• El método y el alcance del tratamiento
• La identidad y los datos de contacto del responsable o su representante
• El plazo de conservación
• Los destinatarios o comunicaciones relevantes
• Los derechos de los interesados
• Cómo puede el interesado ejercer esos derechos o presentar una reclamación

Las normas de desarrollo reconocen expresamente el derecho del interesado a ser informado sobre el tratamiento y sobre los derechos correspondientes.

Derechos de los interesados

La National Privacy Commission identifica varios derechos que la DPA reconoce a los interesados, entre ellos:

• Derecho a ser informado
• Derecho de acceso
• Derecho de oposición
• Derecho de rectificación
• Derecho de supresión o bloqueo
• Derecho a la portabilidad de los datos
• Derecho a presentar una reclamación
• Derecho a indemnización

Las organizaciones deberían mantener, por tanto, un proceso formal de solicitudes de privacidad capaz de:

• Recibir la solicitud
• Autenticar a quien la presenta
• Identificar los datos pertinentes
• Determinar las excepciones aplicables
• Coordinarse con los encargados
• Responder dentro del plazo aplicable
• Conservar evidencia de la respuesta

Derecho de acceso

El derecho de acceso permite a los interesados obtener información sobre el tratamiento de sus datos personales. Según las circunstancias, puede incluir información sobre:

• La información personal objeto de tratamiento
• Las finalidades del tratamiento
• Los métodos y el alcance del tratamiento
• Los destinatarios o categorías de destinatarios
• El origen de los datos cuando resulte aplicable
• Otra información reconocida por la DPA

Las empresas deberían contar con un proceso para localizar información personal en sus bases de datos, aplicaciones y sistemas de terceros.

Derecho de rectificación

Los interesados pueden ejercer su derecho a rectificar información personal inexacta o incompleta. Las organizaciones deberían mantener procesos que permitan:

• Identificar los registros afectados
• Verificar la rectificación solicitada
• Actualizar los sistemas internos
• Trasladar las rectificaciones a los encargados o destinatarios pertinentes cuando sea necesario
• Documentar la solicitud y su resultado

Derecho de supresión o bloqueo

La DPA reconoce un derecho de supresión o bloqueo en circunstancias determinadas. No debe interpretarse como un derecho incondicional a borrar de inmediato cualquier registro.

Las organizaciones deberían determinar si:

• Los datos ya no son necesarios
• El tratamiento es ilícito
• El interesado ha formulado una oposición fundada
• Otra ley exige la conservación
• La información es necesaria para una reclamación jurídica
• Se aplica otra excepción legal

Derecho de oposición

Los interesados tienen derecho a oponerse a determinados tratamientos. Las normas de desarrollo reconocen expresamente las oposiciones relativas a:

• Mercadotecnia directa
• Tratamiento automatizado
• Elaboración de perfiles

Cuando la oposición es fundada, el responsable debe cesar el tratamiento correspondiente, salvo que una excepción aplicable permita continuarlo.

Derecho a la portabilidad de los datos

Filipinas reconoce un derecho a la portabilidad de los datos. La NPC explica que el interesado puede obtener una copia de sus datos personales o solicitar su transmisión de un PIC a otro en un formato electrónico o estructurado de uso común.

El derecho puede aplicarse cuando:

• El tratamiento se basa en el consentimiento o en un contrato
• Los datos personales se tratan electrónicamente en un formato estructurado y de uso común

Ejemplos de información potencialmente portable:

• Nombres
• Direcciones
• Nombres de usuario
• Historial de transacciones
• Registros de acceso
• Datos de ubicación

Data Protection Officer

Las organizaciones sujetas al marco filipino deberían establecer una gobernanza de privacidad adecuada, incluido el nombramiento de un Data Protection Officer (DPO) cuando sea exigible. El DPO se encarga de apoyar el cumplimiento de la DPA y de los requisitos de la NPC.

Un DPO puede participar en:

• El cumplimiento en materia de privacidad
• Las políticas de protección de datos
• Las evaluaciones de impacto en la privacidad
• Las solicitudes de los interesados
• La gestión de brechas
• La relación con la NPC
• La concienciación del personal
• La gestión de proveedores
• Las iniciativas de privacidad desde el diseño

La NPC ofrece un sistema de registro mediante el cual los PIC y los PIP pueden inscribir a su DPO y sus sistemas de tratamiento cuando corresponda.

Registro de sistemas de tratamiento

Las obligaciones de registro dependen de la organización y de la naturaleza de su tratamiento. Conforme a los requisitos de la NPC, el registro obligatorio puede aplicarse cuando, entre otras circunstancias:

• Un PIC o PIP emplea al menos a 250 personas
• El tratamiento incluye Sensitive Personal Information de al menos 1.000 personas
• El tratamiento puede suponer un riesgo para los interesados
• El tratamiento no es ocasional
• Intervienen decisiones automatizadas o elaboración de perfiles en circunstancias cubiertas por los requisitos de la NPC

La NPC también ha señalado que los sistemas de tratamiento que implican decisiones automatizadas o elaboración de perfiles están sujetos a registro conforme a las normas aplicables.

Las empresas deberían valorar los requisitos de registro en lugar de suponer que este es obligatorio para toda organización.

Requisitos de seguridad

La DPA exige a los PIC y PIP implantar medidas organizativas, físicas y técnicas razonables y adecuadas para proteger la información personal. Los controles de seguridad deberían tener en cuenta factores como:

• La naturaleza de la información personal
• Los riesgos asociados al tratamiento
• El entorno organizativo
• Los estándares sectoriales aplicables
• El coste de implantación
• El posible impacto en los interesados

Un programa práctico de privacidad y seguridad puede incluir:

• Controles de acceso
• Autenticación
• Cifrado
• Seguridad de red
• Seguridad de aplicaciones
• Registro y supervisión
• Gestión de vulnerabilidades
• Copias de seguridad
• Recuperación ante desastres
• Formación del personal
• Respuesta a incidentes
• Controles de seguridad en proveedores

La guía de la NPC sobre brechas exige expresamente medidas organizativas, físicas y técnicas orientadas a prevenir o reducir las brechas y a permitir una detección y respuesta oportunas.

Notificación de brechas de datos personales

No todo incidente de seguridad exige notificación a la NPC ni a las personas afectadas. La notificación obligatoria se aplica cuando se cumplen las condiciones establecidas por la DPA y las normas de la NPC.

La NPC identifica tres elementos clave:

• La brecha afecta a Sensitive Personal Information o a otra información que pueda facilitar el fraude de identidad.
• Existen motivos para creer que la información fue obtenida por una persona no autorizada.
• El PIC considera que la brecha probablemente genere un riesgo real de daño grave para el interesado afectado.

Ejemplos de información que puede facilitar el fraude de identidad:

• Información financiera o económica
• Nombres de usuario y contraseñas
• Datos biométricos
• Documentos de identidad expedidos por la administración
• Identificadores públicos únicos
• Información similar capaz de influir en decisiones sobre una persona

Notificación en 72 horas

Cuando la notificación obligatoria resulta aplicable, la NPC exige presentar el Personal Data Breach Notification Form dentro de las 72 horas siguientes al conocimiento de una brecha de datos personales o a la creencia razonable de que se ha producido. Los interesados afectados también deben ser informados dentro de ese plazo de 72 horas cuando la obligación sea aplicable.

La NPC opera un Data Breach Notification Management System (DBNMS) para las notificaciones. Las organizaciones deberían mantener, por tanto, un proceso de respuesta a incidentes capaz de:

• Detectar incidentes
• Evaluar si se han visto afectados datos personales
• Determinar los umbrales de notificación
• Escalar los incidentes
• Preparar la información de la notificación
• Contactar a las personas afectadas
• Documentar las medidas correctoras
• Evitar que se repitan

Notificación de brechas y encargados

Externalizar el tratamiento no elimina la responsabilidad del responsable en cuanto a la notificación aplicable. La NPC señala que la obligación de notificar sigue correspondiendo al Personal Information Controller, incluso cuando el tratamiento se haya externalizado o subcontratado a un Personal Information Processor.

Los contratos con encargados deberían establecer, por tanto:

• Los requisitos de seguridad
• Los plazos de notificación de incidentes
• La cooperación en las investigaciones
• La preservación de pruebas
• El apoyo a los interesados
• La cooperación con el regulador
• Las responsabilidades de subsanación

Comunicación de datos y encargados externos

Las organizaciones recurren con frecuencia a terceros para tratar información personal. Por ejemplo:

• Proveedores de nube
• Plataformas CRM
• Proveedores de analítica
• Plataformas publicitarias
• Procesadores de pagos
• Proveedores de atención al cliente
• Plataformas de automatización de marketing
• Sistemas de RR. HH.
• Proveedores SaaS

El PIC debería conocer:

• Qué información se comparte
• Por qué se comparte
• Quién la recibe
• Dónde se trata
• Qué controles de seguridad se aplican
• Cuánto tiempo se conserva
• Si intervienen otros encargados
• Qué ocurre tras la terminación

La NPC ha publicado orientaciones y circulares sobre los acuerdos de comunicación de datos y la responsabilidad en materia de privacidad.

Tratamiento transfronterizo e internacional

La DPA puede aplicarse a tratamientos realizados fuera de Filipinas cuando se cumplen las condiciones extraterritoriales legales. Las empresas internacionales deberían valorar sus vínculos filipinos, incluidos:

• Clientes o residentes filipinos
• Contratos filipinos
• Sucursales o filiales filipinas
• Operaciones en Filipinas
• Datos recogidos o conservados en Filipinas
• Acceso por matrices o filiales extranjeras

La disposición extraterritorial de la DPA se refiere expresamente a los tratamientos realizados fuera de Filipinas cuando existen los vínculos legales pertinentes.

Decisiones automatizadas y elaboración de perfiles

El marco filipino reconoce el tratamiento automatizado y la elaboración de perfiles como cuestiones relevantes de privacidad. La NPC cuenta con normas específicas sobre registro y notificación de decisiones automatizadas, y la DPA otorga derechos a los interesados en relación con el tratamiento automatizado y los perfiles.

Las empresas que utilicen lo siguiente deberían valorar su tratamiento:

• Sistemas de IA
• Decisiones automatizadas de elegibilidad
• Calificación crediticia
• Perfiles de comportamiento
• Publicidad personalizada
• Detección del fraude
• Sistemas de recomendación
• Otros sistemas de decisión automatizada

La valoración debería cubrir:

• Qué datos personales se utilizan
• La finalidad del tratamiento automatizado
• Si el sistema afecta significativamente a las personas
• Los requisitos de transparencia
• Los derechos de oposición
• Las obligaciones de registro
• La seguridad
• El tratamiento por terceros
• La revisión humana cuando resulte adecuada

La NPC también ha publicado orientaciones específicas sobre IA relativas a la aplicación de la DPA y sus normas de desarrollo a los sistemas de IA que tratan datos personales.

Privacidad desde el diseño e ingeniería de privacidad

La NPC ha publicado recientemente orientaciones sobre ingeniería de privacidad en los procesos del ciclo de vida de los sistemas. Las empresas deberían incorporar consideraciones de privacidad durante:

• El diseño de productos
• El desarrollo de sitios web
• El desarrollo de aplicaciones
• La selección de proveedores
• La arquitectura de datos
• El desarrollo de IA
• La implantación de analítica
• El diseño de seguridad
• Los cambios en los sistemas

La privacidad debería abordarse, por tanto, antes de que comience el tratamiento de datos personales, y no solo después del lanzamiento de un producto.

Cookies y seguimiento en línea

La DPA de Filipinas no clasifica simplemente toda cookie como sujeta a consentimiento. El enfoque adecuado consiste en determinar:

• Si la cookie o el rastreador trata información personal
• Qué información recoge
• Con qué finalidad
• Quién recibe la información
• Qué base jurídica se aplica
• Si la tecnología implica información sensible
• Si interviene tratamiento por terceros
• Qué requisitos de transparencia y elección se aplican

Los operadores de sitios web deberían prestar especial atención a:

• Cookies publicitarias
• Píxeles de retargeting
• Analítica
• Píxeles de redes sociales
• Seguimiento de conversiones
• Identificadores de dispositivo
• Analítica de comportamiento
• Tecnologías de sesión
• SDK de terceros

Cuando el consentimiento es la base jurídica aplicable, ConsentX puede ayudar a las organizaciones a controlar cuándo se ejecutan las tecnologías seleccionadas y a conservar registros de las decisiones de los usuarios.

Mercadotecnia directa

La DPA reconoce a los interesados derechos en materia de mercadotecnia directa. Las empresas que realicen campañas por correo electrónico, SMS, publicidad u otro marketing personalizado deberían revisar:

• El origen de los datos de marketing
• La finalidad para la que se recogieron
• El consentimiento aplicable
• Los mecanismos de exclusión
• La gestión de preferencias
• Las comunicaciones a terceros
• La elaboración de perfiles
• Las plataformas publicitarias
• La conservación de datos

El derecho de oposición incluye expresamente el tratamiento con fines de mercadotecnia directa.

Conservación de datos

Las organizaciones deberían establecer prácticas de conservación acordes con la finalidad y la naturaleza del tratamiento. Un programa de conservación debería cubrir:

• Cuentas de clientes
• Bases de datos de marketing
• Registros de consentimiento
• Analítica del sitio web
• Cookies e información de seguimiento
• Expedientes de soporte
• Información de empleados
• Solicitudes de los interesados
• Registros de seguridad
• Datos personales en poder de proveedores

Los datos no deberían conservarse indefinidamente solo porque haya almacenamiento técnicamente disponible.

La conservación también debería coordinarse con los requisitos legales, regulatorios, contractuales y de litigios.

Menores e interesados vulnerables

Las empresas que traten información de menores o de otras personas vulnerables deberían aplicar garantías de privacidad reforzadas. El marco de registro de la NPC identifica a los interesados vulnerables —incluidos menores, pacientes, personas mayores y otros casos en los que pueda existir un desequilibrio frente a la organización— como factores de riesgo relevantes.

Los productos dirigidos a menores deberían valorar, por tanto:

• La verificación de la edad
• Avisos adecuados
• Los requisitos de consentimiento
• La intervención parental cuando corresponda
• La minimización de datos
• La seguridad
• La conservación
• La elaboración de perfiles
• Las comunicaciones a terceros

Lista de comprobación de cumplimiento de la DPA de Filipinas

Use esta lista de comprobación como punto de partida de su programa de cumplimiento:

• Identificar toda la información personal recogida
• Identificar la Sensitive Personal Information
• Mapear las finalidades de tratamiento
• Determinar el criterio de tratamiento lícito aplicable
• Revisar los mecanismos de consentimiento
• Conservar evidencia del consentimiento
• Publicar avisos de privacidad adecuados
• Identificar los roles de PIC y PIP
• Revisar los contratos con encargados
• Valorar los acuerdos de comunicación de datos
• Revisar el tratamiento transfronterizo
• Establecer procedimientos para solicitudes de los interesados
• Atender las solicitudes de acceso
• Atender las solicitudes de rectificación
• Atender las solicitudes de supresión o bloqueo
• Atender las oposiciones
• Atender la portabilidad de los datos
• Revisar las prácticas de mercadotecnia directa
• Valorar las decisiones automatizadas
• Revisar las actividades de elaboración de perfiles
• Valorar los requisitos de registro ante la NPC
• Mantener la gobernanza del DPO
• Implantar medidas de seguridad razonables
• Establecer procedimientos de respuesta a brechas
• Valorar el requisito de notificación en 72 horas
• Revisar el tratamiento de datos de menores y personas vulnerables
• Analizar cookies y rastreadores
• Bloquear las tecnologías seleccionadas antes del consentimiento aplicable
• Revisar periódicamente los cambios del sitio web y de los proveedores