フィリピン データプライバシー法 への対応

規制の枠組み

フィリピンのプライバシー枠組みは主に次のものに基づいています。

• Republic Act No. 10173 — Data Privacy Act of 2012
• Data Privacy Act の Implementing Rules and Regulations
• NPC の通達および規則
• NPC のアドバイザリーおよびガイドライン
• 該当する場合の業種別プライバシー要件

同意は取扱いの適法根拠の一つですが、フィリピンの枠組みにおける唯一の根拠ではありません。契約、法的義務、重大な利益の保護、国家的緊急事態や公共の秩序のために必要な場合、また同法および実施規則が認めるその他の状況でも、取扱いは適法となり得ます。

NPC は DPA を運用・執行し、組織およびデータ主体に対して指針を示しています。

同法が対象とする組織

DPA は、個人情報の取扱いに関与する組織および個人に適用されます。たとえば次のとおりです。

• Personal Information Controller
• Personal Information Processor
• 民間組織
• 同法の適用範囲内の政府機関
• ウェブサイトやアプリを運営する事業者
• EC プラットフォーム
• 金融機関
• 医療機関
• 教育機関
• テクノロジー企業
• マーケティング・広告事業者
• 外部委託先のサービス提供者
• 個人情報を取り扱うその他の事業者

フィリピンでウェブサイト、アプリ、EC プラットフォーム、SaaS 製品、マーケティングシステムその他のデジタルサービスを運営する企業にとって、対応は Cookie バナーでの同意取得にとどまりません。組織は、適用される法的根拠を理解し、適切なプライバシー通知を提供し、安全管理措置を講じ、データ主体の権利に対応し、第三者による取扱いを評価し、適切な対応の証跡を保持する必要があります。

フィリピン DPA はフィリピン国外の企業にも適用されるか

一定の場合には適用されます。DPA 第6条は、フィリピン国外での行為または取扱いがフィリピン国民もしくは居住者の個人情報に関わり、かつその事業者がフィリピンと一定の結び付きを有する場合に、域外適用を定めています。

そうした結び付きには次のようなものが含まれます。

• フィリピンで締結された契約
• フィリピンの支店、代理店、事務所または子会社
• 一定の場合における、フィリピンでの中枢的な経営および支配
• フィリピンでの事業活動
• フィリピンの事業者が収集または保有する個人情報

したがって国際的な企業は、フィリピン国外に所在していれば DPA の義務がなくなると考えるのではなく、自社のフィリピンとの結び付きと取扱いの実態を評価すべきです。

個人情報とは

DPA は、直接または間接に個人を識別できる情報を広く保護します。例：

• 氏名
• 連絡先
• メールアドレス
• 識別情報
• 口座情報
• 位置情報
• オンライン識別子
• 雇用に関する情報
• 財務情報
• 健康情報
• 識別可能な個人に結び付くその他の情報

取扱いの概念は広く、収集、記録、整理、保存、更新、検索、参照、利用、提供、ブロック、消去、廃棄などの行為を含みます。

Sensitive Personal Information

フィリピン DPA は Sensitive Personal Information（SPI）に対してより厚い保護を定めています。同法は次のような事項に関する情報を対象とします。

• 人種
• 民族的出身
• 婚姻状況
• 年齢
• 肌の色
• 宗教上、哲学上または政治上の所属
• 健康
• 教育
• 遺伝情報または性生活
• 犯罪に関する手続とその処分
• 社会保障、医療、免許、税務など、行政が発行する個人固有の情報
• 法律または行政の決定により秘密と明示的に分類された情報

個人情報と Sensitive Personal Information の区別は重要です。SPI には追加の制限や保護措置が及ぶ場合があるためです。

同意の要件

同意に依拠する場合、フィリピンのプライバシー規則は同意が次の要件を満たすことを求めます。

• 自由に与えられること
• 特定されていること
• 情報に基づくこと
• 立証可能であること

実施規則は、同意が書面、電子的手段または記録によって証明され得ると定めています。

したがって実務的な同意の仕組みでは、次の点を確認できるようにすべきです。

• 誰が同意したか
• 本人が何に同意したか
• どの目的のために同意が得られたか
• いつ同意が得られたか
• どのような情報が示されたか
• その後に同意が撤回されたか
• その同意に基づきどの取扱いが行われたか

同意を不必要に束ねるべきではない

同意が必要な場合、組織は関連のない目的を一つの曖昧な許諾に依存させることを避けるべきです。

たとえば事業者は、次のような別個の取扱いを行っていることがあります。

• アカウント作成
• サービス提供
• 分析
• 広告
• パーソナライズ
• ダイレクトマーケティング
• 第三者へのデータ提供

これらの活動は、適用される法的根拠と透明性要件を判断するために個別に評価すべきです。

プライバシー通知と透明性

DPA の透明性要件は、組織がデータ主体に対し、その個人情報の取扱いについて適切な情報を提供することを求めています。

プライバシー通知では、次のような関連事項を扱うべきです。

• どの個人情報を収集しているか
• 取扱いの目的
• 取扱いの方法と範囲
• 管理者またはその代理人の名称および連絡先
• 保存期間
• 関係する提供先または開示
• データ主体の権利
• データ主体がこれらの権利を行使し、または苦情を申し立てる方法

実施規則は、取扱いおよび関連する権利について知らされるというデータ主体の権利を明示的に認めています。

データ主体の権利

National Privacy Commission は、DPA がデータ主体に与える権利として次のものを挙げています。

• 知らされる権利
• アクセスの権利
• 異議を述べる権利
• 訂正の権利
• 消去またはブロックの権利
• データポータビリティの権利
• 苦情を申し立てる権利
• 損害賠償を求める権利

したがって組織は、次のことができる正式なプライバシー請求対応プロセスを整えるべきです。

• 請求を受け付ける
• 請求者の本人確認を行う
• 該当するデータを特定する
• 適用される例外を判断する
• 処理者と連携する
• 適用される期間内に回答する
• 回答の記録を保持する

アクセスの権利

アクセスの権利により、データ主体は自らの個人データの取扱いに関する情報を取得できます。状況に応じて、次のような情報が含まれ得ます。

• 取り扱われている個人情報
• 取扱いの目的
• 取扱いの方法と範囲
• 提供先またはその区分
• 該当する場合のデータの取得元
• DPA が認めるその他の情報

事業者は、データベース、アプリケーション、第三者のシステムを横断して個人情報を所在確認できるプロセスを備えるべきです。

訂正の権利

データ主体は、不正確または不完全な個人情報の訂正を求める権利を行使できます。組織は次のことを可能にするプロセスを整えるべきです。

• 該当する記録の特定
• 請求された訂正内容の確認
• 社内システムの更新
• 必要な場合の、関係する処理者または提供先への訂正の反映
• 請求および結果の記録

消去またはブロックの権利

DPA は一定の場合に消去またはブロックの権利を認めています。これは、あらゆる記録を直ちに削除する無条件の権利と解すべきではありません。

組織は次の点を判断すべきです。

• そのデータがもはや必要でないか
• 取扱いが違法であるか
• データ主体の異議に理由があるか
• 他の法律により保存が求められているか
• その情報が法的請求のために必要か
• 他の法定の例外が当てはまるか

異議を述べる権利

データ主体は一定の取扱いに異議を述べる権利を有します。実施規則は、次に関する異議を特に明示しています。

• ダイレクトマーケティング
• 自動化された取扱い
• プロファイリング

異議に理由がある場合、管理者は、継続を認める例外が適用されない限り、当該取扱いを停止しなければなりません。

データポータビリティの権利

フィリピンはデータポータビリティの権利を認めています。NPC は、データ主体が個人データの写しを取得し、または一般に用いられる電子的・構造化された形式で、ある PIC から別の PIC へ移転させることができると説明しています。

この権利は次の場合に及び得ます。

• 取扱いが同意または契約に基づく場合
• 個人データが一般に用いられる構造化された形式で電子的に取り扱われている場合

移転の対象となり得る情報の例：

• 氏名
• 住所
• ユーザー名
• 取引履歴
• アクセスログ
• 位置データ

Data Protection Officer

フィリピンのプライバシー枠組みの対象となる組織は、必要に応じて Data Protection Officer（DPO）の選任を含む適切なプライバシー・ガバナンスを整えるべきです。DPO は、DPA および NPC の要件への組織の対応を支える役割を担います。

DPO は次のような事項に関与し得ます。

• プライバシー対応
• データ保護方針
• プライバシー影響評価
• データ主体からの請求
• 侵害対応
• NPC との対応
• 従業員の啓発
• 委託先管理
• プライバシー・バイ・デザインの取り組み

NPC は、PIC および PIP が該当する場合に DPO および取扱システムを登録できる登録制度を提供しています。

取扱システムの登録

登録義務は、組織および取扱いの性質によって異なります。NPC の要件のもとでは、次のような場合に登録義務が生じ得ます。

• PIC または PIP の従業員が250人以上である場合
• 取扱いに1,000人以上の Sensitive Personal Information が含まれる場合
• 取扱いがデータ主体にリスクをもたらすおそれがある場合
• 取扱いが一時的なものでない場合
• NPC の要件が対象とする状況で自動化された意思決定またはプロファイリングが行われる場合

NPC は、自動化された意思決定またはプロファイリングを伴う取扱システムが、適用規則のもとで登録の対象になるとも述べています。

事業者は、あらゆる組織に登録が義務づけられていると考えるのではなく、登録要件を確認すべきです。

安全管理の要件

DPA は、PIC および PIP に対し、個人情報を保護するための合理的かつ適切な組織的・物理的・技術的措置の実施を求めています。安全管理措置は、次のような要素を考慮して選ぶべきです。

• 個人情報の性質
• 取扱いに伴うリスク
• 組織を取り巻く環境
• 適用される業界標準
• 実装コスト
• データ主体に生じ得る影響

実務的なプライバシー・セキュリティ施策には次のものが含まれ得ます。

• アクセス制御
• 認証
• 暗号化
• ネットワークセキュリティ
• アプリケーションセキュリティ
• ログ記録と監視
• 脆弱性管理
• バックアップ
• 災害復旧
• 従業員研修
• インシデント対応
• 委託先のセキュリティ管理

侵害に関する NPC のガイダンスは、侵害の防止・低減と、速やかな検知および対応を支えるための組織的・物理的・技術的措置を明示的に求めています。

個人データ侵害の通知

すべてのセキュリティ事案が NPC および影響を受けた本人への通知を要するわけではありません。義務的通知は、DPA および NPC 規則が定める要件を満たす場合に適用されます。

NPC は三つの重要な要素を挙げています。

• 侵害が Sensitive Personal Information、またはなりすましを可能にし得るその他の情報に関わること。
• その情報が権限のない者によって取得されたと信じるに足る理由があること。
• 当該侵害が、影響を受けたデータ主体に重大な損害の現実的なリスクを生じさせるおそれがあると PIC が判断すること。

なりすましを可能にし得る情報の例：

• 財務または経済に関する情報
• ユーザー名とパスワード
• 生体データ
• 行政が発行する身分証明書類
• 行政が付与する固有の識別番号
• 個人に関する判断に影響し得る同様の情報

72時間の侵害通知

義務的通知が適用される場合、NPC は、個人データ侵害の発生を知った時、または合理的にそう信じた時から72時間以内に Personal Data Breach Notification Form を提出することを求めています。通知義務が及ぶ場合、影響を受けたデータ主体にも同じ72時間以内に通知しなければなりません。

NPC は通知のために Data Breach Notification Management System（DBNMS）を運用しています。したがって組織は、次のことができるインシデント対応プロセスを整えるべきです。

• 事案を検知する
• 個人データが影響を受けたかを評価する
• 通知の要件該当性を判断する
• 事案をエスカレーションする
• 通知内容を準備する
• 影響を受けた本人に連絡する
• 是正措置を記録する
• 再発を防止する

侵害通知と処理者

取扱いを外部委託しても、適用される通知についての管理者の責任は失われません。NPC は、取扱いを Personal Information Processor に委託または再委託した場合であっても、通知義務は Personal Information Controller に残ると述べています。

したがって処理者との契約では次の点を定めるべきです。

• 安全管理の要件
• 事案通知の期限
• 調査への協力
• 証跡の保全
• データ主体対応の支援
• 規制当局への対応協力
• 是正の責任分担

データ提供と第三者処理者

組織は個人情報の取扱いを第三者に委ねることが多くあります。例：

• クラウド事業者
• CRM プラットフォーム
• アナリティクス事業者
• 広告プラットフォーム
• 決済事業者
• カスタマーサポート事業者
• マーケティングオートメーション基盤
• 人事システム
• SaaS 事業者

PIC は次の点を把握すべきです。

• どの情報が共有されるか
• なぜ共有されるか
• 誰が受領するか
• どこで取り扱われるか
• どの安全管理措置が適用されるか
• どれだけの期間保存されるか
• さらに別の処理者が関与するか
• 契約終了後にどうなるか

NPC は、データ共有の取決めおよびプライバシーに関するアカウンタビリティについてガイダンスおよび通達を発出しています。

越境および国際的な取扱い

法定の域外適用要件を満たす場合、DPA はフィリピン国外で行われる取扱いにも適用され得ます。国際的な企業は、次のようなフィリピンとの結び付きを評価すべきです。

• フィリピンの顧客または居住者
• フィリピンでの契約
• フィリピンの支店または子会社
• フィリピンでの事業活動
• フィリピンで収集または保有されるデータ
• 外国の親会社や関連会社によるアクセス

DPA の域外適用規定は、関連する法定の結び付きが存在する場合のフィリピン国外での取扱いを明示的に対象としています。

自動化された意思決定とプロファイリング

フィリピンの枠組みは、自動化された取扱いとプロファイリングを重要なプライバシー上の論点として位置づけています。NPC は自動化された意思決定の登録および通知について具体的な規則を定めており、DPA は自動化された取扱いおよびプロファイリングに関するデータ主体の権利を定めています。

次のものを用いる事業者は、自社の取扱いを評価すべきです。

• AI システム
• 自動化された適格性判定
• 信用スコアリング
• 行動プロファイリング
• パーソナライズ広告
• 不正検知
• レコメンドシステム
• その他の自動意思決定システム

評価では次の点を扱うべきです。

• どの個人データが用いられているか
• 自動化された取扱いの目的
• そのシステムが個人に重大な影響を与えるか
• 透明性の要件
• 異議申立ての権利
• 登録義務
• 安全管理
• 第三者による取扱い
• 適切な場合の人による確認

NPC は、個人データを取り扱う AI システムへの DPA および実施規則の適用について、AI に特化したガイダンスも発出しています。

プライバシー・バイ・デザインとプライバシー・エンジニアリング

NPC は最近、システムのライフサイクル・プロセスにおけるプライバシー・エンジニアリングに関するガイダンスを発出しました。事業者は次の段階でプライバシーの観点を組み込むべきです。

• 製品設計
• ウェブサイト開発
• アプリケーション開発
• 委託先の選定
• データアーキテクチャ
• AI 開発
• アナリティクスの導入
• セキュリティ設計
• システム変更

したがってプライバシーは、製品を公開した後ではなく、個人データの取扱いを始める前に検討すべきです。

Cookie とオンライントラッキング

フィリピン DPA は、あらゆる Cookie を一律に同意が必要なものと位置づけているわけではありません。適切な進め方は次の点を判断することです。

• その Cookie またはトラッカーが個人情報を取り扱うか
• どの情報を収集するか
• どの目的のためか
• 誰が情報を受領するか
• どの法的根拠が適用されるか
• その技術が機微情報に関わるか
• 第三者による取扱いが関係するか
• どの透明性および選択の要件が適用されるか

サイト運営者は特に次の点に注意すべきです。

• 広告 Cookie
• リターゲティング用ピクセル
• アナリティクス
• ソーシャルメディアのピクセル
• コンバージョン計測
• 端末識別子
• 行動分析
• セッション関連技術
• サードパーティ SDK

同意が適用される法的根拠である場合、ConsentX は、選択した技術の実行タイミングを制御し、利用者の選択の記録を保持することを支援できます。

ダイレクトマーケティング

DPA はダイレクトマーケティングに関するデータ主体の権利を定めています。メール、SMS、広告その他のパーソナライズされたマーケティングを行う事業者は、次の点を確認すべきです。

• マーケティングデータの取得元
• 収集時の目的
• 適用される同意
• オプトアウトの手段
• 設定管理
• 第三者への提供
• プロファイリング
• 広告プラットフォーム
• データの保存期間

異議を述べる権利は、ダイレクトマーケティングのための取扱いを明示的に含みます。

データの保存

組織は、取扱いの目的と性質に見合った保存の運用を定めるべきです。保存管理の枠組みでは次の領域を扱うべきです。

• 顧客アカウント
• マーケティング用データベース
• 同意の記録
• ウェブサイトのアナリティクス
• Cookie およびトラッキング情報
• サポート記録
• 従業員情報
• データ主体からの請求
• セキュリティログ
• 委託先が保有する個人データ

技術的に保存先があるという理由だけで、データを無期限に保持すべきではありません。

保存期間は、法令上、規制上、契約上および訴訟対応上の要請とも整合させるべきです。

子どもおよび脆弱なデータ主体

子どもその他の脆弱な立場にある個人の情報を取り扱う事業者は、より厚いプライバシー保護措置を講じるべきです。NPC の登録枠組みは、未成年者、患者、高齢者、その他データ主体と組織との間に不均衡が生じ得る状況にある人を、脆弱なデータ主体として関連するリスク要因に挙げています。

したがって子ども向けの製品では、次の点を評価すべきです。

• 年齢確認
• 適切な通知
• 同意の要件
• 該当する場合の保護者の関与
• データの最小化
• 安全管理
• 保存期間
• プロファイリング
• 第三者への提供

フィリピン DPA 対応チェックリスト

このチェックリストを、対応プログラムの出発点としてご利用ください。

• 収集しているすべての個人情報を洗い出す
• Sensitive Personal Information を特定する
• 取扱いの目的を可視化する
• 適用される適法取扱いの要件を判断する
• 同意取得の仕組みを点検する
• 同意の証跡を保持する
• 適切なプライバシー通知を公表する
• PIC と PIP の役割を整理する
• 処理者との契約を点検する
• データ共有の取決めを評価する
• 越境取扱いを点検する
• データ主体からの請求手順を整える
• アクセス請求に対応する
• 訂正請求に対応する
• 消去・ブロック請求に対応する
• 異議申立てに対応する
• データポータビリティに対応する
• ダイレクトマーケティングの運用を点検する
• 自動化された意思決定を評価する
• プロファイリングの活動を点検する
• NPC への登録要件を評価する
• DPO ガバナンスを維持する
• 合理的な安全管理措置を実施する
• 侵害対応の手順を整える
• 72時間の通知要件を評価する
• 子どもおよび脆弱な立場にある人の取扱いを点検する
• Cookie とトラッカーをスキャンする
• 適用される同意の前に、選択した技術をブロックする
• ウェブサイトおよび委託先の変更を定期的に見直す