DPA

したがって、同意バナーがあればすべてのプライバシー義務を果たせると考えるのではなく、取扱い活動ごとに適用される法的根拠を判断すべきです。

フィリピンの DPA はフィリピン国外の企業にも適用されますか？

はい、指定された状況においては適用されます。

DPA の第6条（Section 6）は、フィリピン国外での行為または取扱いが、フィリピン国民または居住者に関する個人情報に関係し、かつ当該事業体がフィリピンとの要件に該当する結び付きを有する場合の域外適用を定めています。

関連する結び付きには、次のようなものが含まれます。

• フィリピン国内で締結された契約
• フィリピン国内の支店、代理店、事務所または子会社
• 指定された状況において、中枢的な経営管理がフィリピン国内にあること
• フィリピン国内で事業を行っていること
• フィリピン国内の事業体が収集し、または保有する個人情報

したがって国際的な事業者は、物理的な所在地がフィリピン国外であれば DPA の義務がなくなると考えるのではなく、フィリピンとの結び付きと自らの取扱い活動を評価する必要があります。

個人情報とは何ですか？

DPA は、個人を直接または間接に識別できる情報を広く保護しています。

具体例としては、次のようなものが挙げられます。

• 氏名
• 連絡先情報
• メールアドレス
• 本人確認に関する情報
• アカウント情報
• 位置情報
• オンライン識別子
• 雇用に関する情報
• 財務情報
• 健康情報
• 識別可能な個人に関連するその他の情報

取扱いという概念は広く、収集、記録、整理、保存、更新、検索、参照、利用、開示、利用停止、消去および破棄といった活動が含まれます。

センシティブ個人情報

フィリピンの DPA は、センシティブ個人情報（SPI）に対して強化された保護を定めています。

同法には、次のような事項に関する情報が含まれます。

• 人種
• 民族的出身
• 婚姻状況
• 年齢
• 肌の色
• 宗教的、哲学的または政治的な所属
• 健康
• 教育
• 遺伝または性生活
• 犯罪に関する手続およびその処分
• 一定の社会保障、健康、免許または税務に関する情報など、個人に固有の政府が発行する情報
• 法律または行政上の措置により特に秘密として分類される情報

個人情報とセンシティブ個人情報の区別は、SPI に追加の制限と保護措置が適用され得るため重要です。

同意の要件

同意に依拠する場合、フィリピンのプライバシー規則は、同意が次の要件を満たすことを求めています。

• 自由に与えられていること
• 具体的であること
• 十分な情報に基づいていること
• 証明できること

IRR は、同意を書面、電子的方法または記録された方法によって証明できることを定めています。

したがって、実務的な同意の仕組みは、次の事項を明らかにできるものであるべきです。

• 誰が同意したか
• 本人が何に同意したか
• どのような目的のために同意が与えられたか
• いつ同意が与えられたか
• どのような情報が提示されたか
• 本人がその後に同意を撤回したかどうか
• その同意に基づいてどのような取扱いが行われたか

同意を不必要に一括りにすべきではない

同意が必要な場合、組織は、相互に関連しない目的を単一のあいまいな許可に依存させることを避けるべきです。

たとえば、事業者は次のような別個の取扱い活動を行っていることがあります。

• アカウントの作成
• サービスの提供
• 分析
• 広告
• パーソナライゼーション
• ダイレクトマーケティング
• 第三者へのデータの共有

これらの活動は、適用される法的根拠と透明性の要件を判断するために、個別に評価すべきです。

プライバシー通知と透明性

DPA の透明性に関する要件は、組織が、個人情報の取扱いについて適切な情報をデータ主体に提供することを求めています。

プライバシー通知では、次のような関連事項を取り上げるべきです。

• どのような個人情報を収集しているか
• 取扱いの目的
• 取扱いの方法と範囲
• 管理者またはその代理人の名称および連絡先
• 保存期間
• 関連する提供先または開示
• データ主体の権利
• データ主体がそれらの権利を行使し、または苦情を申し立てる方法

IRR は、取扱いおよび関連する権利について知らされるというデータ主体の権利を明示的に認めています。

データ主体の権利

国家プライバシー委員会は、DPA に基づきデータ主体に付与される次のような権利を挙げています。

• 知らされる権利
• アクセスする権利
• 異議を申し立てる権利
• 訂正を求める権利
• 消去または利用停止を求める権利
• データポータビリティの権利
• 苦情を申し立てる権利
• 損害賠償を求める権利

したがって組織は、次のことができる正式なプライバシー請求の手続を整備すべきです。

1. 1請求を受け付ける
2. 2請求者の本人確認を行う
3. 3関連するデータを特定する
4. 4適用される適用除外を判断する
5. 5処理者と連携する
6. 6適用される期間内に回答する
7. 7回答に関する証跡を保持する

アクセスする権利

アクセスする権利により、データ主体は、自らの個人データの取扱いに関する情報を取得できます。

状況に応じて、これには次の事項に関する情報が含まれることがあります。

• 取り扱われている個人情報
• 取扱いの目的
• 取扱いの方法と範囲
• 提供先または提供先の類型
• 該当する場合のデータの取得元
• DPA が認めるその他の情報

事業者は、データベース、アプリケーションおよび第三者のシステムを横断して個人情報を特定する手続を備えておくべきです。

訂正を求める権利

データ主体は、不正確または不完全な個人情報の訂正を求める権利を行使できます。

組織は、次のことを可能にする手続を整備すべきです。

• 関連する記録の特定
• 求められた訂正内容の確認
• 社内システムの更新
• 必要な場合の、関連する処理者または提供先への訂正の反映
• 請求と対応結果の文書化

消去または利用停止を求める権利

DPA は、指定された状況において、消去または利用停止を求める権利を認めています。

これは、すべての記録を直ちに削除させる無条件の権利と解すべきではありません。

組織は、次の事項を判断すべきです。

• そのデータがもはや必要でないかどうか
• その取扱いが違法であるかどうか
• データ主体による正当な異議があるかどうか
• 他の法令により保存が求められているかどうか
• 法的請求のためにその情報が必要であるかどうか
• その他の法定の例外が適用されるかどうか

異議を申し立てる権利

データ主体は、一定の取扱いに対して異議を申し立てる権利を有します。

施行規則は、特に次の事項に関する異議を認めています。

• ダイレクトマーケティング
• 自動処理
• プロファイリング

異議が正当である場合、管理者は、適用される例外により取扱いの継続が認められない限り、当該取扱いを停止しなければなりません。

データポータビリティの権利

フィリピンは、データポータビリティの権利を認めています。

NPC は、データ主体が個人データの写しを取得し、および／または一般に利用されている電子的もしくは構造化された形式で、ある PIC から別の PIC へ送信させることができると説明しています。

この権利は、次の場合に適用され得ます。

• 取扱いが同意または契約に基づいていること
• その個人データが、構造化され一般に利用されている形式で電子的に取り扱われていること

ポータビリティの対象となり得る情報の例としては、次のようなものが挙げられます。

• 氏名
• 住所
• ユーザー名
• 取引履歴
• アクセスログ
• 位置情報データ

データ保護責任者

フィリピンのプライバシーの枠組みの適用を受ける組織は、必要な場合のデータ保護責任者（DPO）の任命を含め、適切なプライバシーガバナンスを整備すべきです。

DPO は、DPA および NPC の要件に対する組織のコンプライアンスを支える責任を負います。

DPO は、次のような業務に関与することがあります。

• プライバシー・コンプライアンス
• データ保護の方針
• プライバシー影響評価
• データ主体からの請求
• 侵害への対応
• NPC との対応
• 従業員の意識向上
• ベンダー管理
• プライバシー・バイ・デザインの取り組み

NPC は、該当する場合に PIC および PIP が DPO と個人データ処理システムを登録できる登録制度を提供しています。

個人データ処理システムの登録

登録の義務は、組織および取扱いの性質によって異なります。

NPC の要件のもとでは、とりわけ次のような場合に義務的な登録が適用され得ます。

• PIC または PIP が250人以上の従業員を雇用している場合
• 取扱いに1,000人以上の個人のセンシティブ個人情報が含まれる場合
• 取扱いがデータ主体にリスクをもたらすおそれがある場合
• 取扱いが臨時的ではない場合
• NPC の要件が対象とする状況において、自動化された意思決定またはプロファイリングが関わる場合

NPC はまた、自動化された意思決定またはプロファイリングを伴う個人データ処理システムは、適用される規則のもとで登録要件の対象となるとしています。

事業者は、すべての組織に登録が義務づけられていると考えるのではなく、登録要件に該当するかどうかを評価する必要があります。

セキュリティの要件

DPA は、PIC および PIP に対し、個人情報を保護するための合理的かつ適切な組織的、物理的および技術的な措置を実施することを求めています。

安全管理措置では、次のような要素を考慮すべきです。

• 個人情報の性質
• 取扱いに伴うリスク
• 組織の環境
• 適用される業界標準
• 実施に要する費用
• データ主体に及ぼし得る影響

実務的なプライバシー・セキュリティのプログラムには、次のものを含めることができます。

• アクセス制御
• 認証
• 暗号化
• ネットワークセキュリティ
• アプリケーションセキュリティ
• ログの取得と監視
• 脆弱性管理
• バックアップ
• 災害復旧
• 従業員研修
• インシデント対応
• ベンダーのセキュリティ管理

NPC の侵害に関するガイダンスは、侵害を防止または最小化し、迅速な検知と対応を支えるために設計された、組織的、物理的および技術的な措置を特に求めています。

個人データ侵害の通知

すべてのセキュリティインシデントについて、NPC および影響を受ける個人への通知が必要になるわけではありません。

義務的な通知は、DPA と NPC の規則が定める条件が満たされる場合に適用されます。

NPC は、次の 3 つの重要な要素を挙げています。

1. 1その侵害が、センシティブ個人情報またはなりすましを可能にし得るその他の情報に関わること。
2. 2その情報が権限のない者によって取得されたと信じるに足る理由があること。
3. 3PIC が、その侵害により影響を受けるデータ主体に重大な損害が生じる現実的なリスクが生じるおそれが高いと判断していること。

なりすましを可能にし得る情報の例としては、次のようなものが挙げられます。

• 財務または経済に関する情報
• ユーザー名とパスワード
• 生体データ
• 政府が発行する身分証明書
• 政府が付与する固有の識別番号
• 個人に関する判断に影響を及ぼし得る同様の情報

72時間以内の侵害の通知

義務的な通知が適用される場合、NPC は、個人データ侵害が発生したことを知り、または発生したと合理的に信じた時から72時間以内に、個人データ侵害通知フォーム（Personal Data Breach Notification Form）を提出することを求めています。

通知の要件が適用される場合、影響を受けるデータ主体にも、適用される 72時間の期間内に通知しなければなりません。

NPC は、侵害の通知のためにデータ侵害通知管理システム（Data Breach Notification Management System、DBNMS）を運用しています。

したがって組織は、次のことができるインシデント対応の手続を維持すべきです。

• インシデントを検知する
• 個人データが影響を受けているかどうかを評価する
• 通知のしきい値に該当するかを判断する
• インシデントをエスカレーションする
• 通知に必要な情報を準備する
• 影響を受ける個人に連絡する
• 是正措置を文書化する
• 再発を防止する

データ侵害の通知と処理者

取扱いを外部委託しても、適用される侵害の通知に関する管理者の責任がなくなるわけではありません。

NPC は、取扱いを個人情報処理者に外部委託または再委託した場合であっても、通知の義務は個人情報管理者（PIC）にとどまるとしています。

したがって、処理者との契約では、次の事項を定めるべきです。

• セキュリティの要件
• インシデント通知の期限
• 調査への協力
• 証拠の保全
• データ主体への対応の支援
• 規制当局への協力
• 是正の責任

データの共有と第三者である処理者

組織は、個人情報の取扱いを第三者に依存することが多くあります。

例としては、次のものが挙げられます。

• クラウド提供者
• CRM プラットフォーム
• 分析の提供者
• 広告プラットフォーム
• 決済処理事業者
• カスタマーサポートの提供者
• マーケティングオートメーションのプラットフォーム
• 人事システム
• SaaS 提供者

PIC は、次の事項を把握すべきです。

• どのような情報が共有されているか
• なぜ共有されるのか
• 誰が受け取るのか
• どこで取り扱われるのか
• どのような安全管理措置が適用されるか
• どれくらいの期間保存されるか
• さらに別の処理者が関与しているかどうか
• 契約終了後に何が起こるか

NPC は、データの共有に関する取り決めおよびプライバシーに関する説明責任について、ガイダンスと通達を発行しています。

国境を越えた取扱いと国際的な取扱い

DPA は、法定の域外適用の条件が満たされる場合、フィリピン国外で行われる取扱いにも適用され得ます。

国際的な事業者は、次のようなフィリピンとの結び付きを評価すべきです。

• フィリピンの顧客または居住者
• フィリピンで締結された契約
• フィリピンの支店または子会社
• フィリピンでの事業活動
• フィリピン国内で収集され、または保有されるデータ
• 外国の親会社または関連会社によるアクセス

DPA の域外適用規定は、関連する法定の結び付きが存在する場合のフィリピン国外での取扱いを特に対象としています。

自動化された意思決定とプロファイリング

フィリピンのプライバシーの枠組みは、自動処理およびプロファイリングを重要なプライバシー上の考慮事項として位置づけています。

NPC は、自動化された意思決定に関する登録および通知について個別の規則を設けており、DPA は自動処理およびプロファイリングに関するデータ主体の権利を定めています。

次のようなものを利用する事業者は、

• AI システム
• 自動化された適格性の判断
• 信用スコアリング
• 行動プロファイリング
• パーソナライズされた広告
• 不正の検知
• レコメンデーションシステム
• その他の自動化された意思決定システム

次の事項を評価すべきです。

• どのような個人データを利用しているか
• 自動処理の目的
• そのシステムが個人に重大な影響を及ぼすかどうか
• 透明性の要件
• 異議を申し立てる権利
• 登録の義務
• セキュリティ
• 第三者による取扱い
• 適切な場合の人による確認

NPC はまた、個人データを取り扱う AI システムへの DPA およびその施行規則の適用について、AI に特化したガイダンスを発行しています。

プライバシー・バイ・デザインとプライバシーエンジニアリング

NPC は、システムのライフサイクルのプロセスにおけるプライバシーエンジニアリングについて、近時のガイダンスを発行しています。

事業者は、次の場面でプライバシーへの配慮を組み込むべきです。

• 製品の設計
• ウェブサイトの開発
• アプリケーションの開発
• ベンダーの選定
• データアーキテクチャ
• AI の開発
• 分析の導入
• セキュリティの設計
• システムの変更

したがってプライバシーは、製品のリリース後に初めて対応するのではなく、個人データの取扱いを開始する前に検討すべきです。

Cookie とオンライントラッキング

フィリピンの DPA は、すべての Cookie を一律に同意が必要なものとして分類しているわけではありません。

適切なアプローチは、次の事項を判断することです。

1. 1その Cookie またはトラッカーが個人情報を取り扱うかどうか
2. 2どのような情報を収集するか
3. 3どのような目的のためか
4. 4誰がその情報を受け取るか
5. 5どの法的根拠が適用されるか
6. 6その技術がセンシティブな情報に関わるかどうか
7. 7第三者による取扱いが関わるかどうか
8. 8どのような透明性と選択の要件が適用されるか

ウェブサイトの運営者は、特に次のものに注意を払うべきです。

• 広告 Cookie
• リターゲティングのピクセル
• 分析
• ソーシャルメディアのピクセル
• コンバージョントラッキング
• デバイス識別子
• 行動分析
• セッション技術
• 第三者の SDK

同意が適用される法的根拠である場合、ConsentX は、選択した技術がいつ作動するかを組織が制御し、ユーザーの選択の記録を維持することを支援できます。

ダイレクトマーケティング

DPA は、ダイレクトマーケティングに関する権利をデータ主体に与えています。

電子メール、SMS、広告その他のパーソナライズされたマーケティングを行う事業者は、次の事項を見直すべきです。

• マーケティングデータの取得元
• そのデータが収集された目的
• 適用される同意
• オプトアウトの仕組み
• 設定の管理
• 第三者への開示
• プロファイリング
• 広告プラットフォーム
• データの保存

異議を申し立てる権利には、ダイレクトマーケティングのための取扱いが明示的に含まれています。

データの保存

組織は、取扱いの目的と性質に応じた適切な保存の実務を確立すべきです。

保存に関するプログラムは、次のものを対象とすべきです。

• 顧客のアカウント
• マーケティングのデータベース
• 同意の記録
• ウェブサイトの分析
• Cookie とトラッキングに関する情報
• サポートの記録
• 従業員の情報
• データ主体からの請求
• セキュリティログ
• ベンダーが保有する個人データ

技術的に保存が可能であるというだけの理由で、データを無期限に保存すべきではありません。

保存はまた、法令、規制、契約および訴訟上の要件とも整合させる必要があります。

子どもと脆弱な立場にあるデータ主体

子どもその他の脆弱な立場にある個人に関する情報を取り扱う事業者は、より高い水準のプライバシー保護措置を適用すべきです。

NPC の登録の枠組みは、未成年者、患者、高齢者、その他データ主体と組織との間に不均衡が生じ得る状況にある人々を含む脆弱なデータ主体を、関連するリスク要因として挙げています。

したがって、子ども向けの製品では、次の事項を評価すべきです。

• 年齢の確認
• 適切な通知
• 同意の要件
• 該当する場合の保護者の関与
• データの最小化
• セキュリティ
• 保存
• プロファイリング
• 第三者への開示

フィリピンの DPA コンプライアンス・チェックリスト

• 収集しているすべての個人情報を特定する
• センシティブ個人情報を特定する
• 取扱いの目的を整理する
• 適用される適法な取扱いの要件を特定する
• 同意の仕組みを見直す
• 同意の証跡を維持する
• 適切なプライバシー通知を公開する
• PIC と PIP の役割を特定する
• 処理者との契約を見直す
• データの共有に関する取り決めを評価する
• 国境を越えた取扱いを見直す
• データ主体からの請求への対応手順を整備する
• アクセス請求に対応する
• 訂正請求に対応する
• 消去・利用停止の請求に対応する
• 異議申立てに対応する
• データポータビリティに対応する
• ダイレクトマーケティングの実務を見直す
• 自動化された意思決定を評価する
• プロファイリングの活動を見直す
• NPC の登録要件を評価する
• DPO によるガバナンスを維持する
• 合理的な安全管理措置を実施する
• 侵害対応の手順を整備する
• 72時間の通知要件への該当性を評価する
• 子どもおよび脆弱な立場にある人に関する取扱いを見直す
• Cookie とトラッカーをスキャンする
• 該当する同意より前に、選択した技術をブロックする
• ウェブサイトとベンダーの変更を定期的に見直す

この規制の対象国

国: フィリピン

フィリピンのデータプライバシー法は、その適用範囲に含まれる個人情報の取扱いに適用され、法定の域外適用の条件が満たされる場合には、フィリピン国外で行われる一定の取扱い活動にも適用され得ます。

その他のプライバシー規制

国際的に事業を行う場合、次の規制についても評価が必要となることがあります。

• GDPR — 欧州連合
• UK GDPR — イギリス
• CCPA / CPRA — カリフォルニア州
• LGPD — ブラジル
• PIPEDA — カナダ
• DPDP Act — インド
• PDPA — シンガポール
• PDPA — タイ
• PIPA — 韓国
• Malaysia PDPA — マレーシア
• POPIA — 南アフリカ
• FADP — スイス
• Law 25 — カナダ・ケベック州
• LFPDPPP — メキシコ
• PDPL — アルゼンチン
• Law 21.719 — チリ
• Law 1581 — コロンビア
• Law 29733 — ペルー
• Law 18.331 — ウルグアイ
• LOPDP — エクアドル
• ベトナムの個人データ保護法

適用される要件は、組織、取扱い活動、関係する個人および法域によって異なります。