Conformidade com a Lei de Privacidade de Dados das Filipinas

Arcabouço regulatório

O arcabouço filipino de privacidade baseia-se principalmente em:

• Republic Act No. 10173 — Data Privacy Act of 2012
• Os Implementing Rules and Regulations da Data Privacy Act
• As circulares e regulamentos da NPC
• Os avisos e diretrizes da NPC
• Requisitos setoriais de privacidade, quando aplicáveis

O consentimento é uma das bases legais do tratamento, mas não a única no arcabouço filipino. O tratamento também pode ser lícito quando necessário para um contrato, obrigação legal, proteção de interesses vitais, emergência nacional ou ordem pública, ou em outras circunstâncias reconhecidas pela lei e suas regras de implementação.

A NPC administra e fiscaliza a DPA e oferece orientação a organizações e titulares.

Organizações abrangidas pela lei

A DPA aplica-se a organizações e pessoas envolvidas no tratamento de informações pessoais, incluindo:

• Personal Information Controllers
• Personal Information Processors
• Organizações do setor privado
• Órgãos públicos no âmbito da lei
• Empresas que operam sites e aplicativos
• Plataformas de comércio eletrônico
• Organizações financeiras
• Organizações de saúde
• Instituições de ensino
• Empresas de tecnologia
• Empresas de marketing e publicidade
• Prestadores de serviços terceirizados
• Outras entidades que tratam informações pessoais

Para empresas que operam nas Filipinas sites, aplicativos, plataformas de comércio eletrônico, produtos SaaS, sistemas de marketing ou outros serviços digitais, a conformidade vai além de obter consentimento em um banner de cookies. As organizações precisam entender a base legal aplicável, fornecer avisos de privacidade adequados, implementar medidas de segurança, gerenciar direitos dos titulares, avaliar o tratamento por terceiros e manter evidências de conformidade apropriadas.

A DPA das Filipinas se aplica a empresas fora das Filipinas?

Sim, em circunstâncias específicas. O artigo 6 da DPA prevê aplicação extraterritorial quando um ato ou tratamento realizado fora das Filipinas envolver informações pessoais de cidadão ou residente filipino e a entidade tiver vínculo qualificado com o país.

Esses vínculos podem incluir:

• Contrato celebrado nas Filipinas
• Filial, agência, escritório ou subsidiária filipina
• Direção e controle centralizados nas Filipinas em determinadas circunstâncias
• Exercício de atividade empresarial nas Filipinas
• Informações pessoais coletadas ou mantidas por entidade nas Filipinas

Empresas internacionais devem, portanto, avaliar seus vínculos filipinos e suas atividades de tratamento, em vez de supor que estar fora das Filipinas afasta as obrigações da DPA.

O que são informações pessoais?

A DPA protege amplamente informações a partir das quais uma pessoa pode ser identificada direta ou indiretamente. Exemplos:

• Nome
• Dados de contato
• Endereço de e-mail
• Informações de identificação
• Informações de conta
• Informações de localização
• Identificadores online
• Informações de emprego
• Informações financeiras
• Informações de saúde
• Outras informações associadas a uma pessoa identificável

O conceito de tratamento é amplo e inclui atividades como coleta, registro, organização, armazenamento, atualização, recuperação, consulta, uso, divulgação, bloqueio, eliminação e destruição.

Sensitive Personal Information

A DPA das Filipinas confere proteção reforçada à Sensitive Personal Information (SPI). A lei abrange informações relativas a temas como:

• Raça
• Origem étnica
• Estado civil
• Idade
• Cor
• Filiações religiosas, filosóficas ou políticas
• Saúde
• Educação
• Dados genéticos ou vida sexual
• Processos por infrações e seu desfecho
• Informações emitidas pelo poder público e próprias de um indivíduo, como certos dados de previdência, saúde, licenças ou tributos
• Informações expressamente classificadas como confidenciais por lei ou ato do Executivo

A distinção entre informações pessoais e Sensitive Personal Information é importante porque restrições e salvaguardas adicionais podem incidir sobre a SPI.

Requisitos do consentimento

Quando o consentimento é a base invocada, as regras filipinas exigem que ele seja:

• Livremente concedido
• Específico
• Informado
• Demonstrável

As regras de implementação preveem que o consentimento pode ser comprovado por meio escrito, eletrônico ou gravado.

Assim, um mecanismo prático de consentimento deve permitir estabelecer:

• Quem consentiu
• Com o que a pessoa concordou
• A finalidade para a qual o consentimento foi dado
• Quando o consentimento foi dado
• Quais informações foram apresentadas
• Se a pessoa depois retirou o consentimento
• Qual tratamento ocorreu com base nesse consentimento

O consentimento não deve ser agrupado sem necessidade

Quando o consentimento é exigido, as organizações devem evitar tornar finalidades sem relação dependentes de uma única permissão ambígua.

Por exemplo, uma empresa pode ter atividades de tratamento distintas para:

• Criação de conta
• Prestação do serviço
• Analytics
• Publicidade
• Personalização
• Marketing direto
• Compartilhamento de dados com terceiros

Essas atividades devem ser avaliadas individualmente para determinar a base legal aplicável e os requisitos de transparência.

Avisos de privacidade e transparência

Os requisitos de transparência da DPA obrigam as organizações a fornecer aos titulares informações adequadas sobre o tratamento de suas informações pessoais.

Um aviso de privacidade deve abordar pontos relevantes como:

• Quais informações pessoais são coletadas
• As finalidades do tratamento
• O método e a extensão do tratamento
• A identidade e os dados de contato do controlador ou de seu representante
• O prazo de retenção
• Destinatários ou divulgações relevantes
• Os direitos dos titulares
• Como o titular pode exercer esses direitos ou apresentar reclamação

As regras de implementação reconhecem expressamente o direito do titular de ser informado sobre o tratamento e sobre os direitos correspondentes.

Direitos dos titulares

A National Privacy Commission identifica vários direitos conferidos aos titulares pela DPA, entre eles:

• Direito de ser informado
• Direito de acesso
• Direito de oposição
• Direito de correção
• Direito de eliminação ou bloqueio
• Direito à portabilidade de dados
• Direito de apresentar reclamação
• Direito a indenização

As organizações devem, portanto, manter um processo formal de requisições de privacidade capaz de:

• Receber a requisição
• Autenticar quem a apresenta
• Identificar os dados pertinentes
• Determinar as exceções aplicáveis
• Articular-se com os operadores
• Responder no prazo aplicável
• Manter evidência da resposta

Direito de acesso

O direito de acesso permite ao titular obter informações sobre o tratamento de seus dados pessoais. Conforme as circunstâncias, isso pode incluir informações sobre:

• As informações pessoais tratadas
• As finalidades do tratamento
• Os métodos e a extensão do tratamento
• Os destinatários ou categorias de destinatários
• A origem dos dados, quando aplicável
• Outras informações reconhecidas pela DPA

As empresas devem dispor de um processo para localizar informações pessoais em bancos de dados, aplicativos e sistemas de terceiros.

Direito de correção

Os titulares podem exercer o direito de corrigir informações pessoais inexatas ou incompletas. As organizações devem manter processos que permitam:

• Identificar os registros pertinentes
• Verificar a correção solicitada
• Atualizar os sistemas internos
• Repassar as correções aos operadores ou destinatários pertinentes quando exigido
• Documentar a requisição e o resultado

Direito de eliminação ou bloqueio

A DPA reconhece um direito de eliminação ou bloqueio em circunstâncias específicas. Isso não deve ser interpretado como direito incondicional de apagar imediatamente qualquer registro.

As organizações devem verificar se:

• Os dados não são mais necessários
• O tratamento é ilícito
• O titular apresentou oposição procedente
• Outra lei exige a retenção
• As informações são necessárias a uma pretensão jurídica
• Aplica-se outra exceção legal

Direito de oposição

Os titulares têm direito de se opor a determinados tratamentos. As regras de implementação reconhecem expressamente oposições relativas a:

• Marketing direto
• Tratamento automatizado
• Definição de perfis

Quando a oposição é procedente, o controlador deve cessar o tratamento correspondente, salvo se uma exceção aplicável permitir sua continuidade.

Direito à portabilidade de dados

As Filipinas reconhecem o direito à portabilidade de dados. A NPC explica que o titular pode obter cópia de seus dados pessoais e/ou solicitar sua transmissão de um PIC a outro em formato eletrônico ou estruturado de uso comum.

O direito pode incidir quando:

• O tratamento se baseia em consentimento ou contrato
• Os dados pessoais são tratados eletronicamente em formato estruturado e de uso comum

Exemplos de informações potencialmente portáveis:

• Nomes
• Endereços
• Nomes de usuário
• Histórico de transações
• Registros de acesso
• Dados de localização

Data Protection Officer

As organizações abrangidas pelo arcabouço filipino devem estabelecer governança de privacidade adequada, incluindo a nomeação de um Data Protection Officer (DPO) quando exigido. O DPO tem a atribuição de apoiar a conformidade da organização com a DPA e com os requisitos da NPC.

Um DPO pode atuar em:

• Conformidade em privacidade
• Políticas de proteção de dados
• Relatórios de impacto à privacidade
• Requisições dos titulares
• Gestão de incidentes
• Relacionamento com a NPC
• Conscientização dos colaboradores
• Gestão de fornecedores
• Iniciativas de privacidade desde a concepção

A NPC oferece um sistema de registro pelo qual PICs e PIPs podem registrar seu DPO e seus sistemas de tratamento, quando aplicável.

Registro de sistemas de tratamento

As obrigações de registro dependem da organização e da natureza de seu tratamento. Segundo os requisitos da NPC, o registro obrigatório pode incidir quando, entre outras circunstâncias:

• Um PIC ou PIP emprega ao menos 250 pessoas
• O tratamento inclui Sensitive Personal Information de ao menos 1.000 indivíduos
• O tratamento provavelmente representa risco aos titulares
• O tratamento não é ocasional
• Há decisões automatizadas ou definição de perfis nas circunstâncias abrangidas pelos requisitos da NPC

A NPC também afirmou que sistemas de tratamento que envolvem decisões automatizadas ou definição de perfis estão sujeitos a registro nos termos das regras aplicáveis.

As empresas devem avaliar os requisitos de registro em vez de supor que ele é obrigatório para toda organização.

Requisitos de segurança

A DPA exige que PICs e PIPs implementem medidas organizacionais, físicas e técnicas razoáveis e adequadas para proteger informações pessoais. Os controles de segurança devem considerar fatores como:

• A natureza das informações pessoais
• Os riscos associados ao tratamento
• O ambiente organizacional
• Os padrões setoriais aplicáveis
• O custo de implementação
• O possível impacto sobre os titulares

Um programa prático de privacidade e segurança pode incluir:

• Controles de acesso
• Autenticação
• Criptografia
• Segurança de rede
• Segurança de aplicações
• Registro e monitoramento
• Gestão de vulnerabilidades
• Backups
• Recuperação de desastres
• Treinamento de funcionários
• Resposta a incidentes
• Controles de segurança em fornecedores

A orientação da NPC sobre incidentes exige expressamente medidas organizacionais, físicas e técnicas destinadas a prevenir ou reduzir incidentes e a apoiar detecção e resposta tempestivas.

Notificação de incidentes com dados pessoais

Não todo incidente de segurança exige notificação à NPC e aos indivíduos afetados. A notificação obrigatória incide quando atendidas as condições estabelecidas pela DPA e pelas regras da NPC.

A NPC identifica três elementos centrais:

• O incidente envolve Sensitive Personal Information ou outras informações que possam permitir fraude de identidade.
• Há motivos para acreditar que as informações foram obtidas por pessoa não autorizada.
• O PIC entende que o incidente provavelmente gera risco real de dano grave ao titular afetado.

Exemplos de informações que podem permitir fraude de identidade:

• Informações financeiras ou econômicas
• Nomes de usuário e senhas
• Dados biométricos
• Documentos de identidade emitidos pelo poder público
• Identificadores públicos únicos
• Informações similares capazes de afetar decisões sobre um indivíduo

Notificação em 72 horas

Quando a notificação obrigatória incide, a NPC exige a apresentação do Personal Data Breach Notification Form em até 72 horas a partir do conhecimento de um incidente com dados pessoais ou da crença razoável de que ele ocorreu. Os titulares afetados também devem ser notificados dentro desse prazo de 72 horas quando a exigência for aplicável.

A NPC opera um Data Breach Notification Management System (DBNMS) para as notificações. As organizações devem, portanto, manter um processo de resposta a incidentes capaz de:

• Detectar incidentes
• Avaliar se dados pessoais foram afetados
• Determinar os limiares de notificação
• Escalar incidentes
• Preparar as informações da notificação
• Contatar os indivíduos afetados
• Documentar as medidas corretivas
• Evitar a recorrência

Notificação de incidentes e operadores

Terceirizar o tratamento não elimina a responsabilidade do controlador quanto à notificação aplicável. A NPC afirma que a obrigação de notificar permanece com o Personal Information Controller, mesmo quando o tratamento tenha sido terceirizado ou subcontratado a um Personal Information Processor.

Os contratos com operadores devem, portanto, estabelecer:

• Requisitos de segurança
• Prazos de notificação de incidentes
• Cooperação em investigações
• Preservação de evidências
• Apoio aos titulares
• Cooperação com o regulador
• Responsabilidades de remediação

Compartilhamento de dados e operadores terceiros

As organizações recorrem frequentemente a terceiros para tratar informações pessoais. Exemplos:

• Provedores de nuvem
• Plataformas de CRM
• Provedores de analytics
• Plataformas de publicidade
• Processadores de pagamento
• Provedores de atendimento ao cliente
• Plataformas de automação de marketing
• Sistemas de RH
• Provedores SaaS

O PIC deve conhecer:

• Quais informações são compartilhadas
• Por que são compartilhadas
• Quem as recebe
• Onde são tratadas
• Quais controles de segurança se aplicam
• Por quanto tempo são retidas
• Se há outros operadores envolvidos
• O que ocorre após o término

A NPC publicou orientações e circulares sobre acordos de compartilhamento de dados e responsabilização em privacidade.

Tratamento transfronteiriço e internacional

A DPA pode aplicar-se a tratamentos realizados fora das Filipinas quando atendidas as condições extraterritoriais legais. Empresas internacionais devem avaliar seus vínculos filipinos, incluindo:

• Clientes ou residentes filipinos
• Contratos filipinos
• Filiais ou subsidiárias filipinas
• Operações nas Filipinas
• Dados coletados ou mantidos nas Filipinas
• Acesso por matriz ou afiliada estrangeira

A disposição extraterritorial da DPA trata expressamente do tratamento realizado fora das Filipinas quando existem os vínculos legais pertinentes.

Decisões automatizadas e definição de perfis

O arcabouço filipino reconhece o tratamento automatizado e a definição de perfis como questões relevantes de privacidade. A NPC tem regras específicas sobre registro e notificação de decisões automatizadas, e a DPA confere direitos aos titulares em relação ao tratamento automatizado e à definição de perfis.

Empresas que utilizam os recursos a seguir devem avaliar seu tratamento:

• Sistemas de IA
• Decisões automatizadas de elegibilidade
• Escore de crédito
• Definição de perfis comportamentais
• Publicidade personalizada
• Detecção de fraude
• Sistemas de recomendação
• Outros sistemas de decisão automatizada

A avaliação deve abranger:

• Quais dados pessoais são usados
• A finalidade do tratamento automatizado
• Se o sistema afeta significativamente os indivíduos
• Os requisitos de transparência
• Os direitos de oposição
• As obrigações de registro
• A segurança
• O tratamento por terceiros
• A revisão humana quando adequada

A NPC também publicou orientações específicas sobre IA a respeito da aplicação da DPA e de suas regras de implementação a sistemas de IA que tratam dados pessoais.

Privacidade desde a concepção e engenharia de privacidade

A NPC publicou recentemente orientações sobre engenharia de privacidade nos processos do ciclo de vida de sistemas. As empresas devem incorporar considerações de privacidade durante:

• O design de produtos
• O desenvolvimento de sites
• O desenvolvimento de aplicativos
• A seleção de fornecedores
• A arquitetura de dados
• O desenvolvimento de IA
• A implantação de analytics
• O design de segurança
• As mudanças em sistemas

A privacidade deve, portanto, ser tratada antes do início do tratamento de dados pessoais, e não apenas após o lançamento de um produto.

Cookies e rastreamento online

A DPA das Filipinas não classifica simplesmente todo cookie como sujeito a consentimento. A abordagem adequada é determinar:

• Se o cookie ou rastreador trata informações pessoais
• Quais informações ele coleta
• Com que finalidade
• Quem recebe as informações
• Qual base legal se aplica
• Se a tecnologia envolve informações sensíveis
• Se há tratamento por terceiros
• Quais requisitos de transparência e de escolha se aplicam

Os operadores de sites devem dar atenção especial a:

• Cookies de publicidade
• Pixels de retargeting
• Analytics
• Pixels de redes sociais
• Rastreamento de conversões
• Identificadores de dispositivo
• Analytics comportamental
• Tecnologias de sessão
• SDKs de terceiros

Quando o consentimento é a base legal aplicável, a ConsentX pode ajudar as organizações a controlar quando as tecnologias selecionadas são executadas e a manter registros das escolhas dos usuários.

Marketing direto

A DPA confere aos titulares direitos relativos ao marketing direto. Empresas que realizam campanhas por e-mail, SMS, publicidade ou outro marketing personalizado devem revisar:

• A origem dos dados de marketing
• A finalidade para a qual foram coletados
• O consentimento aplicável
• Os mecanismos de recusa
• A gestão de preferências
• As divulgações a terceiros
• A definição de perfis
• As plataformas de publicidade
• A retenção de dados

O direito de oposição abrange expressamente o tratamento para marketing direto.

Retenção de dados

As organizações devem estabelecer práticas de retenção adequadas à finalidade e à natureza do tratamento. Um programa de retenção deve cobrir:

• Contas de clientes
• Bases de marketing
• Registros de consentimento
• Analytics do site
• Cookies e informações de rastreamento
• Registros de atendimento
• Informações de funcionários
• Requisições dos titulares
• Logs de segurança
• Dados pessoais mantidos por fornecedores

Os dados não devem ser retidos indefinidamente apenas porque há armazenamento tecnicamente disponível.

A retenção também deve ser articulada com exigências legais, regulatórias, contratuais e de litígio.

Crianças e titulares vulneráveis

Empresas que tratam informações de crianças ou de outras pessoas vulneráveis devem aplicar salvaguardas reforçadas. O arcabouço de registro da NPC identifica titulares vulneráveis — incluindo menores, pacientes, pessoas idosas e outras situações em que possa haver desequilíbrio em relação à organização — como fatores de risco relevantes.

Produtos voltados a crianças devem, portanto, avaliar:

• Verificação de idade
• Avisos adequados
• Requisitos de consentimento
• Participação dos pais quando aplicável
• Minimização de dados
• Segurança
• Retenção
• Definição de perfis
• Divulgações a terceiros

Checklist de conformidade com a DPA das Filipinas

Use este checklist como ponto de partida do seu programa de conformidade:

• Identificar todas as informações pessoais coletadas
• Identificar a Sensitive Personal Information
• Mapear as finalidades de tratamento
• Determinar o critério de tratamento lícito aplicável
• Revisar os mecanismos de consentimento
• Manter evidência de consentimento
• Publicar avisos de privacidade adequados
• Identificar os papéis de PIC e PIP
• Revisar os contratos com operadores
• Avaliar acordos de compartilhamento de dados
• Revisar o tratamento transfronteiriço
• Estabelecer procedimentos para requisições dos titulares
• Atender requisições de acesso
• Atender requisições de correção
• Atender requisições de eliminação ou bloqueio
• Atender oposições
• Atender a portabilidade de dados
• Revisar as práticas de marketing direto
• Avaliar as decisões automatizadas
• Revisar as atividades de definição de perfis
• Avaliar os requisitos de registro na NPC
• Manter a governança do DPO
• Implementar medidas de segurança razoáveis
• Estabelecer procedimentos de resposta a incidentes
• Avaliar a exigência de notificação em 72 horas
• Revisar o tratamento de dados de crianças e pessoas vulneráveis
• Analisar cookies e rastreadores
• Bloquear as tecnologias selecionadas antes do consentimento aplicável
• Revisar periodicamente mudanças no site e nos fornecedores