Conformité au Data Privacy Act philippin

Cadre réglementaire

Le cadre philippin de protection de la vie privée repose principalement sur :

• Republic Act No. 10173 – Data Privacy Act of 2012
• Les Implementing Rules and Regulations du Data Privacy Act
• Les circulaires et règlements de la NPC
• Les avis et lignes directrices de la NPC
• Les exigences sectorielles en matière de vie privée, le cas échéant

Le consentement est l'une des bases légales du traitement, mais ce n'est pas la seule dans le cadre philippin. Un traitement peut aussi être licite lorsqu'il est nécessaire à un contrat, à une obligation légale, à la protection d'intérêts vitaux, à une urgence nationale ou à l'ordre public, ou dans d'autres circonstances reconnues par la loi et ses règles d'application.

La NPC administre et applique le DPA et fournit des orientations aux organisations et aux personnes concernées.

Les organisations couvertes par la loi

Le DPA s'applique aux organisations et aux personnes qui participent au traitement d'informations personnelles, notamment :

• Les Personal Information Controllers
• Les Personal Information Processors
• Les organisations du secteur privé
• Les organismes publics relevant du champ de la loi
• Les entreprises exploitant des sites et des applications
• Les plateformes de commerce en ligne
• Les organisations financières
• Les organisations de santé
• Les établissements d'enseignement
• Les entreprises technologiques
• Les entreprises de marketing et de publicité
• Les prestataires externalisés
• Les autres entités traitant des informations personnelles

Pour les entreprises exploitant aux Philippines des sites web, des applications, des plateformes de commerce en ligne, des produits SaaS, des systèmes marketing ou d'autres services numériques, la conformité va au-delà d'un consentement recueilli par bannière de cookies. Les organisations doivent comprendre la base légale applicable, fournir des notices d'information adaptées, mettre en œuvre des mesures de sécurité, gérer les droits des personnes concernées, évaluer les traitements confiés à des tiers et conserver des preuves de conformité appropriées.

Le DPA philippin s'applique-t-il aux entreprises situées hors des Philippines ?

Oui, dans des cas déterminés. L'article 6 du DPA prévoit une application extraterritoriale lorsqu'un acte ou un traitement réalisé hors des Philippines porte sur des informations personnelles concernant un citoyen ou un résident philippin et que l'entité présente un lien qualifiant avec les Philippines.

Ces liens peuvent inclure :

• Un contrat conclu aux Philippines
• Une succursale, une agence, un bureau ou une filiale aux Philippines
• Une direction et un contrôle centralisés aux Philippines dans certaines circonstances
• L'exercice d'une activité aux Philippines
• Des informations personnelles collectées ou détenues par une entité aux Philippines

Les entreprises internationales devraient donc évaluer leurs liens philippins et leurs activités de traitement plutôt que de supposer qu'une implantation hors des Philippines écarte les obligations du DPA.

Qu'est-ce qu'une information personnelle ?

Le DPA protège largement les informations à partir desquelles une personne peut être identifiée directement ou indirectement. Par exemple :

• Le nom
• Les coordonnées
• L'adresse e-mail
• Les données d'identification
• Les informations de compte
• Les données de localisation
• Les identifiants en ligne
• Les informations professionnelles
• Les informations financières
• Les informations de santé
• Toute autre information associée à une personne identifiable

La notion de traitement est large et englobe des activités telles que la collecte, l'enregistrement, l'organisation, la conservation, la mise à jour, l'extraction, la consultation, l'utilisation, la communication, le blocage, l'effacement et la destruction.

Sensitive Personal Information

Le DPA philippin prévoit une protection renforcée pour les Sensitive Personal Information (SPI). La loi vise les informations portant sur des éléments tels que :

• La race
• L'origine ethnique
• La situation matrimoniale
• L'âge
• La couleur
• Les affiliations religieuses, philosophiques ou politiques
• La santé
• L'éducation
• Les données génétiques ou la vie sexuelle
• Les procédures pour infractions et leur issue
• Les informations délivrées par l'administration et propres à une personne, telles que certaines données de sécurité sociale, de santé, de licence ou fiscales
• Les informations expressément classées confidentielles par la loi ou par décision de l'exécutif

La distinction entre informations personnelles et Sensitive Personal Information est importante, car des restrictions et garanties supplémentaires peuvent s'appliquer aux SPI.

Exigences relatives au consentement

Lorsque le consentement est invoqué, les règles philippines exigent qu'il soit :

• Librement donné
• Spécifique
• Éclairé
• Démontrable

Les règles d'application prévoient que le consentement peut être prouvé par écrit, par voie électronique ou par enregistrement.

Un mécanisme de consentement opérationnel devrait donc permettre d'établir :

• Qui a consenti
• Ce que la personne a accepté
• La finalité pour laquelle le consentement a été donné
• La date du consentement
• Les informations qui ont été présentées
• Si la personne a ensuite retiré son consentement
• Quels traitements ont eu lieu sur cette base

Le consentement ne devrait pas être groupé inutilement

Lorsque le consentement est requis, les organisations devraient éviter de faire dépendre des finalités sans rapport d'une autorisation unique et ambiguë.

Une entreprise peut par exemple avoir des traitements distincts pour :

• La création de compte
• La fourniture du service
• La mesure d'audience
• La publicité
• La personnalisation
• La prospection directe
• Le partage de données avec des tiers

Ces activités devraient être évaluées séparément afin de déterminer la base légale applicable et les exigences de transparence.

Notices d'information et transparence

Les exigences de transparence du DPA imposent aux organisations de fournir aux personnes concernées une information appropriée sur le traitement de leurs informations personnelles.

Une notice d'information devrait traiter des éléments pertinents tels que :

• Les informations personnelles collectées
• Les finalités du traitement
• La méthode et l'étendue du traitement
• L'identité et les coordonnées du responsable ou de son représentant
• La durée de conservation
• Les destinataires ou communications pertinents
• Les droits des personnes concernées
• Les modalités d'exercice de ces droits ou de dépôt d'une plainte

Les règles d'application reconnaissent expressément le droit de la personne concernée d'être informée du traitement et des droits qui s'y rattachent.

Droits des personnes concernées

La National Privacy Commission recense plusieurs droits accordés aux personnes concernées par le DPA, notamment :

• Le droit à l'information
• Le droit d'accès
• Le droit d'opposition
• Le droit de rectification
• Le droit à l'effacement ou au blocage
• Le droit à la portabilité des données
• Le droit de déposer une plainte
• Le droit à réparation

Les organisations devraient donc maintenir un processus formalisé de traitement des demandes, capable de :

• Recevoir la demande
• Authentifier le demandeur
• Identifier les données concernées
• Déterminer les exceptions applicables
• Se coordonner avec les sous-traitants
• Répondre dans le délai applicable
• Conserver la preuve de la réponse

Droit d'accès

Le droit d'accès permet aux personnes concernées d'obtenir des informations sur le traitement de leurs données personnelles. Selon les circonstances, cela peut inclure des informations sur :

• Les informations personnelles traitées
• Les finalités du traitement
• Les méthodes et l'étendue du traitement
• Les destinataires ou catégories de destinataires
• L'origine des données le cas échéant
• Les autres informations reconnues par le DPA

Les entreprises devraient disposer d'un processus permettant de localiser les informations personnelles dans leurs bases de données, leurs applications et les systèmes de tiers.

Droit de rectification

Les personnes concernées peuvent exercer leur droit de rectifier des informations personnelles inexactes ou incomplètes. Les organisations devraient maintenir des processus permettant :

• L'identification des enregistrements concernés
• La vérification de la rectification demandée
• La mise à jour des systèmes internes
• La transmission des rectifications aux sous-traitants ou destinataires concernés lorsque cela est requis
• La documentation de la demande et de son issue

Droit à l'effacement ou au blocage

Le DPA reconnaît un droit à l'effacement ou au blocage dans des cas déterminés. Il ne doit pas s'entendre comme un droit inconditionnel à la suppression immédiate de tout enregistrement.

Les organisations devraient déterminer si :

• Les données ne sont plus nécessaires
• Le traitement est illicite
• La personne concernée a formé une opposition fondée
• Une autre loi impose la conservation
• Les informations sont nécessaires à une action en justice
• Une autre exception légale s'applique

Droit d'opposition

Les personnes concernées ont le droit de s'opposer à certains traitements. Les règles d'application visent expressément les oppositions portant sur :

• La prospection directe
• Le traitement automatisé
• Le profilage

Lorsque l'opposition est fondée, le responsable doit cesser le traitement concerné, sauf si une exception applicable en permet la poursuite.

Droit à la portabilité des données

Les Philippines reconnaissent un droit à la portabilité des données. La NPC explique qu'une personne concernée peut obtenir une copie de ses données personnelles et/ou en demander la transmission d'un PIC à un autre, dans un format électronique ou structuré et d'usage courant.

Ce droit peut s'appliquer lorsque :

• Le traitement repose sur le consentement ou sur un contrat
• Les données personnelles sont traitées par voie électronique dans un format structuré et d'usage courant

Exemples d'informations potentiellement portables :

• Les noms
• Les adresses
• Les identifiants de connexion
• L'historique des transactions
• Les journaux d'accès
• Les données de localisation

Data Protection Officer

Les organisations relevant du cadre philippin devraient mettre en place une gouvernance de la vie privée adaptée, y compris la désignation d'un Data Protection Officer (DPO) lorsqu'elle est requise. Le DPO a pour mission de soutenir la conformité de l'organisation au DPA et aux exigences de la NPC.

Un DPO peut intervenir sur :

• La conformité en matière de vie privée
• Les politiques de protection des données
• Les analyses d'impact
• Les demandes des personnes concernées
• La gestion des violations
• Les relations avec la NPC
• La sensibilisation des collaborateurs
• La gestion des prestataires
• Les initiatives de privacy by design

La NPC met à disposition un système d'enregistrement permettant aux PIC et aux PIP d'enregistrer leur DPO et leurs systèmes de traitement, le cas échéant.

Enregistrement des systèmes de traitement

Les obligations d'enregistrement dépendent de l'organisation et de la nature de son traitement. Selon les exigences de la NPC, l'enregistrement obligatoire peut s'appliquer lorsque, entre autres :

• Un PIC ou un PIP emploie au moins 250 personnes
• Le traitement porte sur des Sensitive Personal Information d'au moins 1 000 personnes
• Le traitement est susceptible de présenter un risque pour les personnes concernées
• Le traitement n'est pas occasionnel
• Des décisions automatisées ou du profilage interviennent dans les circonstances visées par la NPC

La NPC a également indiqué que les systèmes de traitement impliquant des décisions automatisées ou du profilage sont soumis à enregistrement au titre des règles applicables.

Les entreprises devraient évaluer les exigences d'enregistrement plutôt que de supposer que l'enregistrement est obligatoire pour toute organisation.

Exigences de sécurité

Le DPA impose aux PIC et aux PIP de mettre en œuvre des mesures organisationnelles, physiques et techniques raisonnables et appropriées pour protéger les informations personnelles. Les mesures de sécurité devraient tenir compte de facteurs tels que :

• La nature des informations personnelles
• Les risques liés au traitement
• L'environnement organisationnel
• Les normes sectorielles applicables
• Le coût de mise en œuvre
• L'incidence potentielle sur les personnes concernées

Un programme opérationnel de sécurité et de vie privée peut comprendre :

• Les contrôles d'accès
• L'authentification
• Le chiffrement
• La sécurité du réseau
• La sécurité applicative
• La journalisation et la surveillance
• La gestion des vulnérabilités
• Les sauvegardes
• La reprise après sinistre
• La formation du personnel
• La réponse aux incidents
• Les contrôles de sécurité chez les prestataires

Les orientations de la NPC sur les violations appellent expressément des mesures organisationnelles, physiques et techniques destinées à prévenir ou à limiter les violations et à permettre une détection et une réaction rapides.

Notification des violations de données personnelles

Tout incident de sécurité n'exige pas une notification à la NPC et aux personnes concernées. La notification obligatoire s'applique lorsque les conditions fixées par le DPA et les règles de la NPC sont réunies.

La NPC identifie trois éléments clés :

• La violation porte sur des Sensitive Personal Information ou sur d'autres informations susceptibles de permettre une usurpation d'identité.
• Il y a lieu de croire que les informations ont été acquises par une personne non autorisée.
• Le PIC estime que la violation est susceptible d'entraîner un risque réel de préjudice grave pour la personne concernée.

Exemples d'informations susceptibles de permettre une usurpation d'identité :

• Les informations financières ou économiques
• Les identifiants et mots de passe
• Les données biométriques
• Les documents d'identité délivrés par l'administration
• Les identifiants administratifs uniques
• Les informations similaires susceptibles d'influer sur des décisions concernant une personne

Notification sous 72 heures

Lorsque la notification obligatoire s'applique, la NPC exige que le Personal Data Breach Notification Form soit déposé dans les 72 heures suivant la connaissance d'une violation de données personnelles ou la croyance raisonnable qu'elle est survenue. Les personnes concernées doivent également être informées dans ce même délai de 72 heures lorsque l'obligation s'applique.

La NPC exploite un Data Breach Notification Management System (DBNMS) pour les notifications. Les organisations devraient donc maintenir un processus de réponse aux incidents capable de :

• Détecter les incidents
• Évaluer si des données personnelles sont touchées
• Déterminer les seuils de notification
• Escalader les incidents
• Préparer les éléments de notification
• Contacter les personnes touchées
• Documenter les mesures correctives
• Prévenir la récurrence

Notification des violations et sous-traitants

L'externalisation du traitement ne supprime pas la responsabilité du responsable en matière de notification. La NPC indique que l'obligation de notifier demeure celle du Personal Information Controller, même lorsque le traitement a été externalisé ou sous-traité à un Personal Information Processor.

Les contrats avec les sous-traitants devraient donc prévoir :

• Les exigences de sécurité
• Les délais de notification des incidents
• La coopération aux investigations
• La préservation des preuves
• L'assistance aux personnes concernées
• La coopération avec le régulateur
• Les responsabilités de remédiation

Partage de données et sous-traitants

Les organisations recourent fréquemment à des tiers pour traiter des informations personnelles. Par exemple :

• Fournisseurs de cloud
• Plateformes CRM
• Fournisseurs d'analytique
• Plateformes publicitaires
• Prestataires de paiement
• Prestataires de support client
• Plateformes d'automatisation marketing
• Systèmes RH
• Fournisseurs SaaS

Le PIC devrait savoir :

• Quelles informations sont partagées
• Pourquoi elles le sont
• Qui les reçoit
• Où elles sont traitées
• Quels contrôles de sécurité s'appliquent
• Combien de temps elles sont conservées
• Si d'autres sous-traitants interviennent
• Ce qu'il advient après la fin du contrat

La NPC a publié des orientations et des circulaires concernant les accords de partage de données et la responsabilité en matière de vie privée.

Traitements transfrontaliers et internationaux

Le DPA peut s'appliquer à des traitements réalisés hors des Philippines lorsque les conditions extraterritoriales légales sont réunies. Les entreprises internationales devraient évaluer leurs liens philippins, notamment :

• Des clients ou résidents philippins
• Des contrats philippins
• Des succursales ou filiales philippines
• Des activités aux Philippines
• Des données collectées ou détenues aux Philippines
• Un accès par une société mère ou affiliée étrangère

La disposition extraterritoriale du DPA vise expressément les traitements réalisés hors des Philippines lorsque les liens légaux pertinents existent.

Décisions automatisées et profilage

Le cadre philippin traite le traitement automatisé et le profilage comme des enjeux importants de vie privée. La NPC a des règles spécifiques sur l'enregistrement et la notification des décisions automatisées, et le DPA confère des droits aux personnes concernées en matière de traitement automatisé et de profilage.

Les entreprises utilisant les dispositifs suivants devraient évaluer leurs traitements :

• Systèmes d'IA
• Décisions d'éligibilité automatisées
• Scoring de crédit
• Profilage comportemental
• Publicité personnalisée
• Détection de la fraude
• Systèmes de recommandation
• Autres systèmes de décision automatisée

L'évaluation devrait porter sur :

• Les données personnelles utilisées
• La finalité du traitement automatisé
• Le point de savoir si le système affecte significativement les personnes
• Les exigences de transparence
• Les droits d'opposition
• Les obligations d'enregistrement
• La sécurité
• Les traitements confiés à des tiers
• L'intervention humaine lorsqu'elle est appropriée

La NPC a également publié des orientations spécifiques à l'IA sur l'application du DPA et de ses règles aux systèmes d'IA traitant des données personnelles.

Privacy by design et ingénierie de la vie privée

La NPC a récemment publié des orientations sur l'ingénierie de la vie privée dans les processus du cycle de vie des systèmes. Les entreprises devraient intégrer les considérations de vie privée lors de :

• La conception des produits
• Le développement des sites web
• Le développement des applications
• La sélection des prestataires
• L'architecture des données
• Le développement de l'IA
• La mise en place de l'analytique
• La conception de la sécurité
• Les évolutions des systèmes

La vie privée devrait donc être traitée avant que le traitement de données personnelles ne commence, et non seulement après le lancement d'un produit.

Cookies et suivi en ligne

Le DPA philippin ne considère pas simplement que tout cookie requiert un consentement. L'approche appropriée consiste à déterminer :

• Si le cookie ou le traceur traite des informations personnelles
• Quelles informations il collecte
• À quelle fin
• Qui reçoit les informations
• Quelle base légale s'applique
• Si la technologie concerne des informations sensibles
• Si un traitement par un tiers est en cause
• Quelles exigences de transparence et de choix s'appliquent

Les éditeurs de sites devraient prêter une attention particulière à :

• Les cookies publicitaires
• Les pixels de reciblage
• La mesure d'audience
• Les pixels de réseaux sociaux
• Le suivi des conversions
• Les identifiants de terminal
• L'analyse comportementale
• Les technologies de session
• Les SDK tiers

Lorsque le consentement est la base légale applicable, ConsentX peut aider les organisations à contrôler le moment d'exécution des technologies retenues et à conserver la trace des choix des utilisateurs.

Prospection directe

Le DPA confère aux personnes concernées des droits en matière de prospection directe. Les entreprises menant des campagnes par e-mail, SMS, publicité ou autre marketing personnalisé devraient examiner :

• L'origine des données marketing
• La finalité pour laquelle elles ont été collectées
• Le consentement applicable
• Les mécanismes d'opposition
• La gestion des préférences
• Les communications à des tiers
• Le profilage
• Les plateformes publicitaires
• La conservation des données

Le droit d'opposition vise expressément le traitement à des fins de prospection directe.

Conservation des données

Les organisations devraient définir des pratiques de conservation adaptées à la finalité et à la nature du traitement. Un programme de conservation devrait couvrir :

• Les comptes clients
• Les bases marketing
• Les registres de consentement
• La mesure d'audience du site
• Les cookies et informations de suivi
• Les dossiers de support
• Les données des salariés
• Les demandes des personnes concernées
• Les journaux de sécurité
• Les données personnelles détenues par les prestataires

Les données ne devraient pas être conservées indéfiniment au seul motif que l'espace de stockage est techniquement disponible.

La conservation devrait également être articulée avec les exigences légales, réglementaires, contractuelles et contentieuses.

Enfants et personnes vulnérables

Les entreprises traitant des informations relatives à des enfants ou à d'autres personnes vulnérables devraient appliquer des garanties renforcées. Le cadre d'enregistrement de la NPC identifie les personnes vulnérables – mineurs, patients, personnes âgées et autres situations où un déséquilibre peut exister avec l'organisation – comme des facteurs de risque pertinents.

Les produits destinés aux enfants devraient donc évaluer :

• La vérification de l'âge
• Des notices adaptées
• Les exigences de consentement
• L'intervention parentale le cas échéant
• La minimisation des données
• La sécurité
• La conservation
• Le profilage
• Les communications à des tiers

Liste de contrôle de conformité au DPA philippin

Utilisez cette liste de contrôle comme point de départ de votre programme de conformité :

• Recenser toutes les informations personnelles collectées
• Identifier les Sensitive Personal Information
• Cartographier les finalités de traitement
• Déterminer le critère de traitement licite applicable
• Revoir les mécanismes de consentement
• Conserver les preuves de consentement
• Publier des notices d'information adaptées
• Identifier les rôles de PIC et de PIP
• Revoir les contrats de sous-traitance
• Évaluer les accords de partage de données
• Revoir les traitements transfrontaliers
• Mettre en place des procédures pour les demandes des personnes concernées
• Traiter les demandes d'accès
• Traiter les demandes de rectification
• Traiter les demandes d'effacement ou de blocage
• Traiter les oppositions
• Assurer la portabilité des données
• Revoir les pratiques de prospection directe
• Évaluer les décisions automatisées
• Revoir les activités de profilage
• Évaluer les exigences d'enregistrement auprès de la NPC
• Maintenir la gouvernance du DPO
• Mettre en œuvre des mesures de sécurité raisonnables
• Établir des procédures de réponse aux violations
• Évaluer l'exigence de notification sous 72 heures
• Revoir les traitements concernant les enfants et les personnes vulnérables
• Analyser les cookies et les traceurs
• Bloquer les technologies retenues avant le consentement applicable
• Revoir régulièrement les évolutions du site et des prestataires