FilipinasDPA
Lei de Privacidade de Dados de 2012 (Republic Act No. 10173)
A Lei de Privacidade de Dados de 2012 das Filipinas (Republic Act No. 10173) é a principal lei de proteção de dados do país. Ela protege o direito fundamental à privacidade e, ao mesmo tempo, apoia o livre fluxo de informações para a inovação, o crescimento e o desenvolvimento nacional. A lei se aplica ao tratamento de informações pessoais tanto no setor privado quanto no setor público, observados o escopo e as exclusões da Lei.
A lei é implementada e fiscalizada pela Comissão Nacional de Privacidade (National Privacy Commission, NPC), que edita regulamentações, circulares, pareceres e orientações para as organizações que tratam dados pessoais.
O marco filipino de privacidade abrange os controladores de informações pessoais (PICs) e os operadores de informações pessoais (PIPs) e estabelece requisitos relativos a tratamento lícito, transparência, segurança, direitos dos titulares de dados, compartilhamento de dados, notificação de violações, registro e responsabilização.
Para as empresas que operam sites, aplicativos, plataformas de comércio eletrônico, produtos SaaS, sistemas de marketing ou outros serviços digitais nas Filipinas, a conformidade envolve mais do que obter um consentimento por meio de um banner de cookies. As organizações precisam compreender a base legal aplicável, fornecer avisos de privacidade adequados, implementar medidas de segurança, gerenciar os direitos dos titulares de dados, avaliar o tratamento realizado por terceiros e manter evidências de conformidade adequadas.
Marco regulatório
O marco de privacidade das Filipinas se baseia principalmente em:
- Republic Act No. 10173 — Lei de Privacidade de Dados de 2012
- Regras e Regulamentações de Implementação (Implementing Rules and Regulations, IRR) da Lei de Privacidade de Dados
- Circulares e regulamentações da NPC
- Pareceres e diretrizes da NPC
- Requisitos de privacidade setoriais, quando aplicáveis
O consentimento é uma das bases legais para o tratamento, mas não é a única base legal no marco filipino. O tratamento também pode ser lícito quando for necessário para um contrato, para o cumprimento de obrigação legal, para a proteção de interesses vitais, em situações de emergência nacional ou de ordem pública, ou em outras circunstâncias reconhecidas pela Lei e por suas regras de implementação.
A NPC administra e fiscaliza a DPA e oferece orientações para as organizações e para os titulares de dados.
A Lei de Privacidade de Dados das Filipinas em resumo
| Requisito | DPA das Filipinas |
|---|---|
| Lei principal | Republic Act No. 10173 |
| Nome usual | Lei de Privacidade de Dados de 2012 (Data Privacy Act of 2012) |
| Autoridade de implementação | Comissão Nacional de Privacidade (NPC) |
| Principais entidades reguladas | Controladores de Informações Pessoais e Operadores de Informações Pessoais |
| Consentimento | Uma das bases legais; não é universal |
| Dados sensíveis | As Informações Pessoais Sensíveis (SPI) recebem proteção adicional |
| DPO | Exigido conforme os requisitos aplicáveis da NPC |
| Registro | Exigido para determinados PIC/PIP e sistemas de tratamento |
| Notificação de violações | 72 horas quando atendidas as condições de notificação obrigatória |
| Direitos dos titulares de dados | Inclui acesso, correção, oposição, exclusão/bloqueio, portabilidade e reclamação |
| Tratamento transfronteiriço | Pode estar sujeito às disposições extraterritoriais da Lei |
| Decisões automatizadas | Sujeitas a requisitos de transparência, de direitos e de notificação |
| Autoridade de supervisão | Comissão Nacional de Privacidade (NPC) |
| País | Filipinas |
Filipinas
Em vigor desde 2012
Ásia e África
Quem deve cumprir a Lei de Privacidade de Dados das Filipinas?
A DPA se aplica a organizações e pessoas envolvidas no tratamento de informações pessoais, incluindo:
- Controladores de Informações Pessoais
- Operadores de Informações Pessoais
- Organizações do setor privado
- Órgãos públicos abrangidos pelo escopo da Lei
- Empresas que operam sites e aplicativos
- Plataformas de comércio eletrônico
- Organizações do setor financeiro
- Organizações da área da saúde
- Instituições de ensino
- Empresas de tecnologia
- Empresas de marketing e publicidade
- Prestadores de serviços terceirizados
- Outras entidades que tratam informações pessoais
As regras de implementação definem o Controlador de Informações Pessoais (Personal Information Controller, PIC) como a entidade que controla o tratamento de dados pessoais ou que instrui outra parte a tratar dados pessoais em seu nome. O Operador de Informações Pessoais (Personal Information Processor, PIP) é a entidade à qual um PIC terceiriza o tratamento ou a quem ele dá instruções de tratamento.
Penalidades previstas na Lei de Privacidade de Dados das Filipinas
A DPA estabelece penalidades criminais para diversas violações de privacidade, incluindo determinados casos de tratamento não autorizado, manuseio negligente, acesso não autorizado, descarte indevido e ocultação de violações de segurança.
A penalidade exata depende:
- Da infração
- Da natureza das informações
- Do número de titulares de dados afetados
- De a violação envolver ou não informações pessoais sensíveis
- De a conduta ter sido dolosa ou negligente
- De outros fatores previstos em lei
Por exemplo, a NPC afirma que a ocultação de violações de segurança que envolvam informações pessoais sensíveis pode acarretar pena de prisão de um ano e seis meses a cinco anos e multa de PHP 500.000 a PHP 1 milhão.
Multas administrativas também podem ser aplicadas nos termos das regras da NPC. A orientação da NPC sobre violações observa que determinadas falhas na notificação podem resultar em multas administrativas no âmbito do marco aplicável da NPC.
As organizações devem, portanto, evitar apresentar um único valor de multa como a penalidade aplicável a todas as violações da DPA.
Tratamento lícito nos termos da DPA das Filipinas
O consentimento é uma parte importante do marco filipino de privacidade, mas o tratamento não é automaticamente ilícito apenas porque o consentimento não foi obtido.
As regras de implementação reconhecem múltiplos critérios de tratamento lícito.
- 1. O consentimento foi obtido — O titular dos dados fornece o consentimento antes da coleta ou tão logo seja praticável e razoável.
- 2. O tratamento é necessário para um contrato — O tratamento é necessário para cumprir um contrato com o titular dos dados ou para adotar providências solicitadas pelo titular dos dados antes da celebração de um contrato.
- 3. O tratamento é exigido por lei — O tratamento é necessário para cumprir uma obrigação legal aplicável ao controlador.
- 4. O tratamento protege interesses vitais — O tratamento é necessário para proteger interesses de importância vital, incluindo a vida e a saúde.
- 5. O tratamento atende a emergência nacional ou à ordem pública — O tratamento pode ser permitido quando for necessário para responder a uma emergência nacional ou para cumprir exigências de ordem e segurança públicas previstas em lei.
A base legal aplicável deve, portanto, ser determinada para cada atividade de tratamento, em vez de se presumir que um banner de consentimento resolve todas as obrigações de privacidade.
A DPA das Filipinas se aplica a empresas fora das Filipinas?
Sim, em circunstâncias especificadas.
A Section 6 da DPA prevê a aplicação extraterritorial quando um ato ou tratamento realizado fora das Filipinas se refere a informações pessoais de um cidadão ou residente filipino e a entidade possui um vínculo qualificado com as Filipinas.
Os vínculos pertinentes podem incluir:
- Um contrato celebrado nas Filipinas
- Uma filial, agência, escritório ou subsidiária filipina
- Administração e controle centrais nas Filipinas em circunstâncias especificadas
- O exercício de atividade empresarial nas Filipinas
- Informações pessoais coletadas ou mantidas por uma entidade nas Filipinas
As empresas internacionais devem, portanto, avaliar seus vínculos com as Filipinas e suas atividades de tratamento, em vez de presumir que a localização física fora das Filipinas afasta as obrigações da DPA.
O que são informações pessoais?
A DPA protege de forma ampla as informações a partir das quais uma pessoa pode ser identificada direta ou indiretamente.
Os exemplos podem incluir:
- Nome
- Dados de contato
- Endereço de e-mail
- Informações de identificação
- Informações de conta
- Informações de localização
- Identificadores on-line
- Informações de vínculo empregatício
- Informações financeiras
- Informações de saúde
- Outras informações associadas a uma pessoa identificável
O conceito de tratamento é amplo e inclui atividades como coleta, registro, organização, armazenamento, atualização, recuperação, consulta, uso, divulgação, bloqueio, exclusão e destruição.
Informações Pessoais Sensíveis
A DPA das Filipinas prevê proteção reforçada para as Informações Pessoais Sensíveis (Sensitive Personal Information, SPI).
A Lei abrange informações relativas a temas como:
- Raça
- Origem étnica
- Estado civil
- Idade
- Cor
- Filiações religiosas, filosóficas ou políticas
- Saúde
- Educação
- Vida genética ou sexual
- Processos relativos a infrações e seu desfecho
- Informações emitidas por órgãos públicos e próprias de uma pessoa, como determinadas informações de previdência social, saúde, licenças ou tributos
- Informações especificamente classificadas como confidenciais por lei ou por ato do Poder Executivo
A distinção entre informações pessoais e informações pessoais sensíveis é importante porque restrições e salvaguardas adicionais podem se aplicar às SPI.
Requisitos de consentimento
Quando o tratamento se baseia em consentimento, as regras filipinas de privacidade exigem que o consentimento seja:
- Livre
- Específico
- Informado
- Demonstrável
O IRR prevê que o consentimento pode ser comprovado por meios escritos, eletrônicos ou gravados.
Um mecanismo prático de consentimento deve, portanto, permitir estabelecer:
- Quem forneceu o consentimento
- Com o que a pessoa concordou
- A finalidade para a qual o consentimento foi concedido
- Quando o consentimento foi fornecido
- Quais informações foram apresentadas
- Se a pessoa posteriormente revogou o consentimento
- Qual tratamento ocorreu com base nesse consentimento
O consentimento não deve ser agrupado desnecessariamente
Quando o consentimento é exigido, as organizações devem evitar tornar finalidades não relacionadas dependentes de uma única permissão ambígua.
Por exemplo, uma empresa pode ter atividades de tratamento distintas envolvendo:
- Criação de conta
- Prestação do serviço
- Análises
- Publicidade
- Personalização
- Marketing direto
- Compartilhamento de dados com terceiros
Essas atividades devem ser avaliadas individualmente para determinar a base legal aplicável e os requisitos de transparência.
Avisos de privacidade e transparência
Os requisitos de transparência da DPA exigem que as organizações forneçam aos titulares de dados informações adequadas sobre o tratamento de suas informações pessoais.
Um aviso de privacidade deve abordar questões pertinentes, tais como:
- Quais informações pessoais estão sendo coletadas
- As finalidades do tratamento
- O método e a extensão do tratamento
- A identidade e os dados de contato do controlador ou de seu representante
- O período de retenção
- Os destinatários ou as divulgações pertinentes
- Os direitos dos titulares de dados
- Como o titular dos dados pode exercer esses direitos ou apresentar uma reclamação
O IRR reconhece expressamente o direito do titular dos dados de ser informado sobre o tratamento e sobre os direitos pertinentes.
Direitos dos titulares de dados
A Comissão Nacional de Privacidade identifica diversos direitos conferidos aos titulares de dados pela DPA, incluindo:
- Direito de ser informado
- Direito de acesso
- Direito de oposição
- Direito de retificação
- Direito à exclusão ou ao bloqueio
- Direito à portabilidade de dados
- Direito de apresentar reclamação
- Direito à reparação de danos
As organizações devem, portanto, manter um processo formal de solicitações de privacidade capaz de:
- Receber a solicitação
- Autenticar o solicitante
- Identificar os dados pertinentes
- Determinar as exceções aplicáveis
- Coordenar-se com os operadores
- Responder dentro do prazo aplicável
- Manter evidências da resposta
Direito de acesso
O direito de acesso permite que os titulares de dados obtenham informações sobre o tratamento de seus dados pessoais.
Conforme as circunstâncias, isso pode incluir informações sobre:
- As informações pessoais que estão sendo tratadas
- As finalidades do tratamento
- Os métodos e a extensão do tratamento
- Os destinatários ou as categorias de destinatários
- A origem dos dados, quando aplicável
- Outras informações reconhecidas pela DPA
As empresas devem contar com um processo para localizar informações pessoais em bancos de dados, aplicativos e sistemas de terceiros.
Direito de correção
Os titulares de dados podem exercer seu direito de retificar informações pessoais inexatas ou incompletas.
As organizações devem manter processos que permitam:
- A identificação dos registros pertinentes
- A verificação da correção solicitada
- A atualização dos sistemas internos
- A propagação das correções aos operadores ou destinatários pertinentes, quando exigido
- A documentação da solicitação e de seu resultado
Direito à exclusão ou ao bloqueio
A DPA reconhece o direito à exclusão ou ao bloqueio em circunstâncias especificadas.
Isso não deve ser interpretado como um direito incondicional de excluir imediatamente todo e qualquer registro.
As organizações devem determinar se:
- Os dados não são mais necessários
- O tratamento é ilícito
- O titular dos dados apresentou oposição válida
- A retenção é exigida por outra lei
- As informações são necessárias para uma pretensão judicial
- Outra exceção legal se aplica
Direito de oposição
Os titulares de dados têm o direito de se opor a determinados tratamentos.
As regras de implementação reconhecem expressamente a oposição relativa a:
- Marketing direto
- Tratamento automatizado
- Definição de perfil
Quando a oposição é válida, o controlador deve interromper o tratamento em questão, salvo se uma exceção aplicável permitir a continuidade do tratamento.
Direito à portabilidade de dados
As Filipinas reconhecem o direito à portabilidade de dados.
A NPC explica que o titular dos dados pode obter uma cópia de seus dados pessoais e/ou fazer com que eles sejam transmitidos de um PIC para outro em formato eletrônico ou estruturado de uso comum.
Esse direito pode se aplicar quando:
- O tratamento se baseia em consentimento ou contrato
- Os dados pessoais são tratados eletronicamente em formato estruturado e de uso comum
Exemplos de informações potencialmente portáveis podem incluir:
- Nomes
- Endereços
- Nomes de usuário
- Histórico de transações
- Registros de acesso
- Dados de localização
Encarregado de Proteção de Dados
As organizações abrangidas pelo marco filipino de privacidade devem estabelecer uma governança de privacidade adequada, incluindo a designação de um Encarregado de Proteção de Dados (Data Protection Officer, DPO) quando exigido.
O DPO é responsável por apoiar a conformidade da organização com a DPA e com os requisitos da NPC.
O DPO pode atuar em:
- Conformidade em privacidade
- Políticas de proteção de dados
- Avaliações de impacto à privacidade
- Solicitações dos titulares de dados
- Gestão de violações
- Interlocução com a NPC
- Conscientização dos funcionários
- Gestão de fornecedores
- Iniciativas de privacy by design
A NPC disponibiliza um sistema de registro por meio do qual os PICs e PIPs podem registrar seu DPO e seus sistemas de tratamento de dados, quando aplicável.
Registro do Sistema de Tratamento de Dados
As obrigações de registro dependem da organização e da natureza de seu tratamento.
Conforme os requisitos da NPC, o registro obrigatório pode se aplicar quando, entre outras circunstâncias:
- Um PIC ou PIP emprega pelo menos 250 funcionários
- O tratamento inclui informações pessoais sensíveis de pelo menos 1.000 pessoas
- O tratamento é suscetível de representar risco aos titulares de dados
- O tratamento não é ocasional
- Há decisões automatizadas ou definição de perfil em circunstâncias abrangidas pelos requisitos da NPC
A NPC também afirmou que os sistemas de tratamento de dados que envolvem decisões automatizadas ou definição de perfil estão sujeitos a requisitos de registro nos termos das regras aplicáveis.
As empresas devem avaliar os requisitos de registro, em vez de presumir que o registro é obrigatório para todas as organizações.
Requisitos de segurança
A DPA exige que os PICs e PIPs implementem medidas organizacionais, físicas e técnicas razoáveis e adequadas para proteger as informações pessoais.
Os controles de segurança devem levar em conta fatores como:
- A natureza das informações pessoais
- Os riscos associados ao tratamento
- O ambiente organizacional
- Os padrões setoriais aplicáveis
- O custo de implementação
- O impacto potencial sobre os titulares de dados
Um programa prático de segurança da privacidade pode incluir:
- Controles de acesso
- Autenticação
- Criptografia
- Segurança de rede
- Segurança de aplicações
- Registro de logs e monitoramento
- Gestão de vulnerabilidades
- Backups
- Recuperação de desastres
- Treinamento de funcionários
- Resposta a incidentes
- Controles de segurança de fornecedores
A orientação da NPC sobre violações prevê expressamente medidas organizacionais, físicas e técnicas destinadas a prevenir ou minimizar violações e a apoiar a detecção e a resposta tempestivas.
Notificação de violação de dados pessoais
Nem todo incidente de segurança exige notificação à NPC e às pessoas afetadas.
A notificação obrigatória se aplica quando são atendidas as condições estabelecidas pela DPA e pelas regras da NPC.
A NPC identifica três elementos essenciais:
- A violação envolve informações pessoais sensíveis ou outras informações que possam viabilizar fraude de identidade.
- Há motivo para acreditar que as informações foram adquiridas por pessoa não autorizada.
- O PIC acredita que a violação provavelmente dará origem a um risco real de dano grave ao titular dos dados afetado.
Exemplos de informações que podem viabilizar fraude de identidade incluem:
- Informações financeiras ou econômicas
- Nomes de usuário e senhas
- Dados biométricos
- Documentos de identificação emitidos por órgãos públicos
- Identificadores governamentais únicos
- Informações semelhantes capazes de afetar decisões relativas a uma pessoa
Notificação de violação em 72 horas
Quando a notificação obrigatória se aplica, a NPC exige que o Formulário de Notificação de Violação de Dados Pessoais (Personal Data Breach Notification Form) seja apresentado em até 72 horas a partir do conhecimento ou da crença razoável de que ocorreu uma violação de dados pessoais.
Os titulares de dados afetados também devem ser notificados dentro do prazo aplicável de 72 horas quando o requisito de notificação incidir.
A NPC opera um Sistema de Gestão de Notificações de Violação de Dados (Data Breach Notification Management System, DBNMS) para as notificações de violação.
As organizações devem, portanto, manter um processo de resposta a incidentes capaz de:
- Detectar incidentes
- Avaliar se há dados pessoais afetados
- Determinar os limiares de notificação
- Escalar incidentes
- Preparar as informações da notificação
- Entrar em contato com as pessoas afetadas
- Documentar a remediação
- Prevenir a recorrência
Notificação de violação de dados e operadores
A terceirização do tratamento não elimina a responsabilidade do controlador pela notificação de violações aplicável.
A NPC afirma que a obrigação de notificar permanece com o Controlador de Informações Pessoais, mesmo quando o tratamento tenha sido terceirizado ou subcontratado a um Operador de Informações Pessoais.
Os contratos com os operadores devem, portanto, estabelecer:
- Requisitos de segurança
- Prazos de notificação de incidentes
- Cooperação nas investigações
- Preservação de evidências
- Apoio aos titulares de dados
- Cooperação com os órgãos reguladores
- Responsabilidades de remediação
Compartilhamento de dados e operadores terceirizados
As organizações frequentemente recorrem a terceiros para tratar informações pessoais.
Os exemplos incluem:
- Provedores de nuvem
- Plataformas de CRM
- Provedores de análises
- Plataformas de publicidade
- Processadores de pagamento
- Provedores de atendimento ao cliente
- Plataformas de automação de marketing
- Sistemas de RH
- Provedores de SaaS
O PIC deve compreender:
- Quais informações são compartilhadas
- Por que são compartilhadas
- Quem as recebe
- Onde são tratadas
- Quais controles de segurança se aplicam
- Por quanto tempo são retidas
- Se há outros operadores envolvidos
- O que acontece após o encerramento da relação
A NPC editou orientações e circulares sobre acordos de compartilhamento de dados e responsabilização em privacidade.
Tratamento transfronteiriço e internacional
A DPA pode se aplicar ao tratamento realizado fora das Filipinas quando atendidas as condições legais de extraterritorialidade.
As empresas internacionais devem avaliar seus vínculos com as Filipinas, incluindo:
- Clientes ou residentes filipinos
- Contratos filipinos
- Filiais ou subsidiárias filipinas
- Operações nas Filipinas
- Dados coletados ou mantidos nas Filipinas
- Acesso por organizações matrizes ou afiliadas estrangeiras
A disposição extraterritorial da DPA trata expressamente do tratamento realizado fora das Filipinas quando existam os vínculos legais pertinentes.
Decisões automatizadas e definição de perfil
O marco filipino de privacidade reconhece o tratamento automatizado e a definição de perfil como aspectos importantes de privacidade.
A NPC tem regras específicas sobre registro e notificação relativos a decisões automatizadas, e a DPA prevê direitos dos titulares de dados relacionados ao tratamento automatizado e à definição de perfil.
As empresas que utilizam:
- Sistemas de IA
- Decisões automatizadas de elegibilidade
- Escoragem de crédito
- Definição de perfil comportamental
- Publicidade personalizada
- Detecção de fraudes
- Sistemas de recomendação
- Outros sistemas de decisão automatizada
Devem avaliar:
- Quais dados pessoais estão sendo utilizados
- A finalidade do tratamento automatizado
- Se o sistema afeta significativamente as pessoas
- Os requisitos de transparência
- Os direitos de oposição
- As obrigações de registro
- A segurança
- O tratamento por terceiros
- A revisão humana, quando adequado
A NPC também editou orientações específicas sobre IA a respeito da aplicação da DPA e de suas regras de implementação a sistemas de IA que tratam dados pessoais.
Privacy by design e engenharia de privacidade
A NPC editou recentemente orientações sobre engenharia de privacidade nos processos do ciclo de vida de sistemas.
As empresas devem incorporar considerações de privacidade durante:
- O design de produtos
- O desenvolvimento de sites
- O desenvolvimento de aplicativos
- A seleção de fornecedores
- A arquitetura de dados
- O desenvolvimento de IA
- A implementação de análises
- O design de segurança
- As mudanças em sistemas
A privacidade deve, portanto, ser tratada antes do início do tratamento de dados pessoais, e não apenas depois do lançamento de um produto.
Cookies e rastreamento on-line
A DPA das Filipinas não classifica simplesmente todo cookie como sujeito a consentimento.
A abordagem adequada é determinar:
- Se o cookie ou rastreador trata informações pessoais
- Quais informações ele coleta
- Com qual finalidade
- Quem recebe as informações
- Qual base legal se aplica
- Se a tecnologia envolve informações sensíveis
- Se há tratamento por terceiros
- Quais requisitos de transparência e de escolha se aplicam
Os operadores de sites devem prestar atenção especial a:
- Cookies de publicidade
- Pixels de retargeting
- Análises
- Pixels de redes sociais
- Rastreamento de conversões
- Identificadores de dispositivo
- Análises comportamentais
- Tecnologias de sessão
- SDKs de terceiros
Quando o consentimento for a base legal aplicável, a ConsentX pode ajudar as organizações a controlar quando as tecnologias selecionadas são executadas e a manter registros das escolhas dos usuários.
Marketing direto
A DPA confere aos titulares de dados direitos relacionados ao marketing direto.
As empresas que realizam marketing por e-mail, SMS, publicidade ou outras formas personalizadas devem revisar:
- A origem dos dados de marketing
- A finalidade para a qual foram coletados
- O consentimento aplicável
- Os mecanismos de descadastramento
- A gestão de preferências
- As divulgações a terceiros
- A definição de perfil
- As plataformas de publicidade
- A retenção de dados
O direito de oposição abrange expressamente o tratamento para fins de marketing direto.
Retenção de dados
As organizações devem estabelecer práticas de retenção adequadas à finalidade e à natureza do tratamento.
Um programa de retenção deve abranger:
- Contas de clientes
- Bases de dados de marketing
- Registros de consentimento
- Análises do site
- Cookies e informações de rastreamento
- Registros de atendimento
- Informações de funcionários
- Solicitações dos titulares de dados
- Logs de segurança
- Dados pessoais mantidos por fornecedores
Os dados não devem ser retidos indefinidamente apenas porque há armazenamento tecnicamente disponível.
A retenção também deve ser coordenada com os requisitos legais, regulatórios, contratuais e de litígio.
Crianças e titulares de dados vulneráveis
As empresas que tratam informações de crianças ou de outras pessoas vulneráveis devem aplicar salvaguardas de privacidade reforçadas.
O marco de registro da NPC identifica os titulares de dados vulneráveis, incluindo menores de idade, pacientes, pessoas idosas e outras pessoas em situações nas quais possa haver desequilíbrio entre o titular dos dados e a organização, como fatores de risco relevantes.
Os produtos voltados a crianças devem, portanto, avaliar:
- A verificação de idade
- Avisos adequados
- Os requisitos de consentimento
- A participação dos pais, quando aplicável
- A minimização de dados
- A segurança
- A retenção
- A definição de perfil
- As divulgações a terceiros
Checklist de conformidade com a DPA das Filipinas
- Identificar todas as informações pessoais coletadas
- Identificar as informações pessoais sensíveis
- Mapear as finalidades do tratamento
- Determinar o critério de tratamento lícito aplicável
- Revisar os mecanismos de consentimento
- Manter evidências de consentimento
- Publicar avisos de privacidade adequados
- Identificar os papéis de PIC e de PIP
- Revisar os contratos com os operadores
- Avaliar os acordos de compartilhamento de dados
- Revisar o tratamento transfronteiriço
- Estabelecer procedimentos para solicitações dos titulares de dados
- Atender às solicitações de acesso
- Atender às solicitações de correção
- Atender às solicitações de exclusão/bloqueio
- Atender às oposições
- Viabilizar a portabilidade de dados
- Revisar as práticas de marketing direto
- Avaliar as decisões automatizadas
- Revisar as atividades de definição de perfil
- Avaliar os requisitos de registro junto à NPC
- Manter a governança do DPO
- Implementar medidas de segurança razoáveis
- Estabelecer procedimentos de resposta a violações
- Avaliar o requisito de notificação em 72 horas
- Revisar o tratamento de dados de crianças e de pessoas vulneráveis
- Fazer a varredura de cookies e rastreadores
- Bloquear as tecnologias selecionadas antes do consentimento aplicável
- Revisar regularmente as mudanças no site e nos fornecedores
País abrangido por esta regulamentação
País: Filipinas
A Lei de Privacidade de Dados das Filipinas se aplica ao tratamento de informações pessoais abrangido por seu escopo e também pode se aplicar a determinadas atividades de tratamento realizadas fora das Filipinas quando atendidas as condições legais de extraterritorialidade.
Outras regulamentações de privacidade
As empresas que atuam internacionalmente também podem precisar avaliar:
- GDPR — União Europeia
- UK GDPR — Reino Unido
- CCPA / CPRA — Califórnia
- LGPD — Brasil
- PIPEDA — Canadá
- DPDP Act — Índia
- PDPA — Singapura
- PDPA — Tailândia
- PIPA — Coreia do Sul
- Malaysia PDPA — Malásia
- POPIA — África do Sul
- FADP — Suíça
- Law 25 — Quebec, Canadá
- LFPDPPP — México
- PDPL — Argentina
- Law 21.719 — Chile
- Law 1581 — Colômbia
- Law 29733 — Peru
- Law 18.331 — Uruguai
- LOPDP — Equador
- Lei de Proteção de Dados Pessoais do Vietnã
Os requisitos aplicáveis dependem da organização, da atividade de tratamento, das pessoas envolvidas e da jurisdição pertinente.
Como a ConsentX ajuda na conformidade com a DPA das Filipinas
A ConsentX pode dar suporte à camada do site e de gestão de consentimento de um programa filipino de privacidade mais amplo.
1. Descoberta de cookies e rastreadores
A ConsentX pode fazer a varredura de sites para identificar:
- Cookies
- Scripts de análise
- Rastreadores de publicidade
- Pixels
- Scripts de terceiros
- Tags
- Outras tecnologias de rastreamento
2. Gestão de consentimento
Quando o consentimento for a base legal aplicável, a ConsentX pode oferecer experiências de consentimento configuráveis que permitem aos visitantes fazer escolhas informadas.
3. Bloqueio prévio de scripts
A ConsentX pode ajudar a impedir que tecnologias de rastreamento não essenciais selecionadas sejam executadas antes da decisão de consentimento aplicável.
4. Evidências de consentimento
A ConsentX pode manter registros das escolhas de consentimento, ajudando as organizações a demonstrar:
- Quando o consentimento foi fornecido
- Quais finalidades foram apresentadas
- Qual escolha foi feita
- Qual configuração de consentimento se aplicava
5. Fluxos de solicitações de privacidade
A ConsentX pode dar suporte a fluxos de recebimento e gestão das solicitações aplicáveis dos titulares de dados.
6. Regras de privacidade por região
A ConsentX pode configurar experiências de privacidade específicas por região, para que as organizações consigam gerenciar requisitos diferentes em várias jurisdições.
7. Monitoramento de privacidade do site
Varreduras regulares podem identificar novos cookies, rastreadores e tecnologias de terceiros que possam afetar a conformidade em privacidade.
Prepare DPA com a ConsentX
A ConsentX pode dar suporte à camada do site e de gestão de consentimento de um programa filipino de privacidade mais amplo.
Como cumprir a DPA das Filipinas usando a ConsentX
- 1
Faça a varredura do seu site
Use a ConsentX para identificar cookies, rastreadores, scripts, pixels e tecnologias de terceiros.
- 2
Mapeie o tratamento de dados pessoais
Identifique quais informações são coletadas, por que são coletadas e quais partes as recebem.
- 3
Identifique a base legal
Determine se o tratamento se baseia em consentimento, contrato, obrigação legal, interesses vitais, ordem pública ou outro critério aplicável.
- 4
Configure os avisos de privacidade
Garanta que os avisos do site descrevam com exatidão as finalidades de tratamento pertinentes e os direitos dos titulares de dados.
- 5
Configure o consentimento
Quando o consentimento for exigido, ofereça um mecanismo claro que capture uma escolha livre, específica e informada.
- 6
Bloqueie os rastreadores selecionados
Configure o bloqueio prévio de scripts para as tecnologias de rastreamento não essenciais selecionadas, quando o tratamento não deva começar antes da permissão aplicável.
- 7
Registre o consentimento
Mantenha evidências de consentimento estruturadas que possam sustentar auditorias internas e questionamentos regulatórios.
- 8
Habilite a gestão de preferências
Permita que os usuários revoguem ou alterem as escolhas de consentimento aplicáveis.
- 9
Revise os operadores terceirizados
Identifique fornecedores de análises, publicidade, CRM, nuvem e outros que tratem informações pessoais.
- 10
Revise os direitos dos titulares de dados
Estabeleça processos para acesso, correção, oposição, exclusão/bloqueio, portabilidade e reclamações.
- 11
Avalie os requisitos de registro
Determine se a sua organização ou os seus sistemas de tratamento se enquadram nos requisitos de registro obrigatório junto à NPC.
- 12
Prepare-se para a notificação de violações
Mantenha um processo de resposta a incidentes capaz de identificar as violações que se enquadrem e de sustentar o requisito de notificação em 72 horas.
Perguntas frequentes
Países sujeitos à DPA
Pilipinas
GDPR
UK GDPR
CCPA / CPRA
VCDPA
Colorado CPA
CTDPA
UCPA
TDPSA
Oregon OCPA
Montana MCDPA
Florida FDBR
LGPD
PIPEDA
DPDPA
PDPA
POPIA
FADP
Law 25
LFPDPPP
PDPL
Law 21.719
Law 1581
Law 29733
Law 18.331Aviso legal
Esta página oferece uma visão geral, em linguagem simples, da Lei de Privacidade de Dados de 2012 das Filipinas (Republic Act No. 10173), de suas regras de implementação e dos atos relacionados da NPC, para fins informativos gerais. Ela não constitui aconselhamento jurídico.
Os requisitos aplicáveis dependem da organização, da atividade de tratamento, das pessoas envolvidas e da jurisdição pertinente. A ConsentX dá suporte à camada de privacidade do site e não substitui o aconselhamento jurídico, os controles de segurança, a governança do DPO nem o programa de conformidade mais amplo da organização.