Соответствие Закону Филиппин о конфиденциальности данных (Republic Act No. 10173)

Нормативная основа

Филиппинская система защиты конфиденциальности опирается прежде всего на:

• Republic Act No. 10173 — Data Privacy Act of 2012
• Implementing Rules and Regulations к Data Privacy Act
• Циркуляры и правила NPC
• Разъяснения и руководства NPC
• Отраслевые требования к конфиденциальности, где они применимы

Согласие — одно из правовых оснований обработки, но не единственное в филиппинской системе. Обработка также может быть правомерной, когда она необходима для договора, правовой обязанности, защиты жизненно важных интересов, реагирования на национальную чрезвычайную ситуацию или обеспечения общественного порядка, а также в иных обстоятельствах, признанных законом и правилами его реализации.

NPC администрирует и обеспечивает исполнение DPA и предоставляет разъяснения организациям и субъектам данных.

Организации, охваченные законом

DPA применяется к организациям и лицам, участвующим в обработке персональной информации, в том числе:

• Personal Information Controllers
• Personal Information Processors
• Организации частного сектора
• Государственные органы в пределах сферы действия закона
• Компании, управляющие сайтами и приложениями
• Платформы электронной коммерции
• Финансовые организации
• Организации здравоохранения
• Образовательные учреждения
• Технологические компании
• Маркетинговые и рекламные компании
• Поставщики услуг на аутсорсинге
• Иные субъекты, обрабатывающие персональную информацию

Для компаний, которые ведут на Филиппинах сайты, приложения, платформы электронной коммерции, SaaS-продукты, маркетинговые системы или иные цифровые сервисы, соблюдение требований не исчерпывается согласием, полученным через баннер cookie. Организациям необходимо понимать применимое правовое основание, предоставлять надлежащие уведомления о конфиденциальности, внедрять меры безопасности, обрабатывать запросы субъектов данных, оценивать обработку третьими лицами и сохранять надлежащие доказательства соблюдения требований.

Применяется ли DPA Филиппин к компаниям за пределами Филиппин?

Да, в определенных обстоятельствах. Статья 6 DPA предусматривает экстерриториальное применение, когда действие или обработка за пределами Филиппин касается персональной информации гражданина или резидента Филиппин, а у субъекта есть квалифицирующая связь с Филиппинами.

К таким связям могут относиться:

• Договор, заключенный на Филиппинах
• Филиал, агентство, офис или дочерняя организация на Филиппинах
• Централизованное управление и контроль на Филиппинах в определенных обстоятельствах
• Ведение деятельности на Филиппинах
• Персональная информация, собранная или хранимая субъектом на Филиппинах

Поэтому международным компаниям следует оценивать свои филиппинские связи и операции обработки, а не полагать, что нахождение за пределами Филиппин снимает обязанности по DPA.

Что такое персональная информация?

DPA широко защищает информацию, по которой человека можно идентифицировать прямо или косвенно. Примеры:

• Имя
• Контактные данные
• Адрес электронной почты
• Идентификационные сведения
• Сведения об учетных записях
• Данные о местоположении
• Онлайн-идентификаторы
• Сведения о занятости
• Финансовая информация
• Информация о здоровье
• Иная информация, связанная с идентифицируемым лицом

Понятие обработки широкое и включает такие действия, как сбор, запись, систематизация, хранение, обновление, извлечение, ознакомление, использование, раскрытие, блокирование, удаление и уничтожение.

Sensitive Personal Information

DPA Филиппин обеспечивает повышенную защиту Sensitive Personal Information (SPI). Закон охватывает информацию по таким вопросам, как:

• Раса
• Этническое происхождение
• Семейное положение
• Возраст
• Цвет кожи
• Религиозная, философская или политическая принадлежность
• Здоровье
• Образование
• Генетические данные или сексуальная жизнь
• Производство по правонарушениям и его исход
• Выданные государством сведения, присущие конкретному лицу, например отдельные данные социального обеспечения, здравоохранения, лицензий или налогов
• Информация, прямо отнесенная к конфиденциальной законом или актом исполнительной власти

Различие между персональной информацией и Sensitive Personal Information важно, поскольку к SPI могут применяться дополнительные ограничения и гарантии.

Требования к согласию

Когда обработка опирается на согласие, филиппинские правила требуют, чтобы оно было:

• Свободно данным
• Конкретным
• Информированным
• Подтверждаемым

Правила реализации предусматривают, что согласие может быть подтверждено письменно, в электронной форме или записью.

Поэтому работающий механизм согласия должен позволять установить:

• Кто дал согласие
• С чем человек согласился
• Для какой цели было дано согласие
• Когда согласие было дано
• Какая информация была показана
• Отозвал ли человек согласие впоследствии
• Какая обработка происходила на основании этого согласия

Согласие не следует объединять без необходимости

Когда требуется согласие, организациям не следует ставить несвязанные цели в зависимость от одного неопределенного разрешения.

Например, у компании могут быть отдельные операции обработки для:

• Создания учетной записи
• Оказания услуги
• Аналитики
• Рекламы
• Персонализации
• Прямого маркетинга
• Передачи данных третьим лицам

Эти операции следует оценивать по отдельности, чтобы определить применимое правовое основание и требования прозрачности.

Уведомления о конфиденциальности и прозрачность

Требования прозрачности DPA обязывают организации предоставлять субъектам данных надлежащую информацию об обработке их персональной информации.

Уведомление о конфиденциальности должно раскрывать такие значимые аспекты, как:

• Какая персональная информация собирается
• Цели обработки
• Способ и объем обработки
• Личность и контактные данные контролера или его представителя
• Срок хранения
• Соответствующие получатели или раскрытия
• Права субъектов данных
• Как субъект данных может реализовать эти права или подать жалобу

Правила реализации прямо признают право субъекта данных быть информированным об обработке и о соответствующих правах.

Права субъектов данных

National Privacy Commission называет несколько прав, предоставленных субъектам данных по DPA, в том числе:

• Право на информацию
• Право на доступ
• Право на возражение
• Право на исправление
• Право на удаление или блокирование
• Право на переносимость данных
• Право подать жалобу
• Право на возмещение вреда

Поэтому организациям следует поддерживать формализованный процесс работы с запросами, способный:

• Принять запрос
• Подтвердить личность заявителя
• Найти соответствующие данные
• Определить применимые изъятия
• Согласовать действия с обработчиками
• Ответить в применимый срок
• Сохранить доказательства ответа

Право на доступ

Право на доступ позволяет субъектам данных получать информацию об обработке их персональных данных. В зависимости от обстоятельств это может включать сведения о:

• Обрабатываемой персональной информации
• Целях обработки
• Способах и объеме обработки
• Получателях или категориях получателей
• Источнике данных, где это применимо
• Иной информации, признанной DPA

Компаниям следует иметь процесс поиска персональной информации в базах данных, приложениях и системах третьих лиц.

Право на исправление

Субъекты данных могут реализовать право на исправление неточной или неполной персональной информации. Организациям следует поддерживать процессы, позволяющие:

• Выявить соответствующие записи
• Проверить запрошенное исправление
• Обновить внутренние системы
• Передать исправления соответствующим обработчикам или получателям, где это требуется
• Задокументировать запрос и результат

Право на удаление или блокирование

DPA признает право на удаление или блокирование в определенных обстоятельствах. Это не следует толковать как безусловное право немедленно удалить любую запись.

Организациям следует определить, верно ли, что:

• Данные больше не нужны
• Обработка неправомерна
• У субъекта данных есть обоснованное возражение
• Хранение требуется по иному закону
• Информация необходима для правового требования
• Применяется иное предусмотренное законом изъятие

Право на возражение

Субъекты данных имеют право возражать против отдельных видов обработки. Правила реализации прямо называют возражения в отношении:

• Прямого маркетинга
• Автоматизированной обработки
• Профилирования

Если возражение обоснованно, контролер должен прекратить соответствующую обработку, если применимое изъятие не допускает ее продолжения.

Право на переносимость данных

Филиппины признают право на переносимость данных. NPC разъясняет, что субъект данных может получить копию своих персональных данных и (или) потребовать их передачи от одного PIC другому в электронном или структурированном общеупотребительном формате.

Это право может применяться, когда:

• Обработка основана на согласии или договоре
• Персональные данные обрабатываются в электронном виде в структурированном общеупотребительном формате

Примеры потенциально переносимой информации:

• Имена
• Адреса
• Имена пользователей
• История операций
• Журналы доступа
• Данные о местоположении

Data Protection Officer

Организациям, подпадающим под филиппинскую систему, следует выстроить надлежащее управление конфиденциальностью, включая назначение Data Protection Officer (DPO), где это требуется. DPO поддерживает соблюдение организацией DPA и требований NPC.

DPO может участвовать в:

• Соблюдении требований конфиденциальности
• Политиках защиты данных
• Оценках воздействия на конфиденциальность
• Запросах субъектов данных
• Управлении инцидентами
• Взаимодействии с NPC
• Информировании сотрудников
• Управлении поставщиками
• Инициативах privacy by design

NPC предоставляет систему регистрации, через которую PIC и PIP могут зарегистрировать своего DPO и системы обработки данных, где это применимо.

Регистрация систем обработки данных

Обязанности по регистрации зависят от организации и характера ее обработки. По требованиям NPC обязательная регистрация может применяться, в частности, когда:

• У PIC или PIP не менее 250 работников
• Обработка включает Sensitive Personal Information не менее 1 000 лиц
• Обработка вероятно создает риск для субъектов данных
• Обработка не является разовой
• Задействованы автоматизированные решения или профилирование в обстоятельствах, охваченных требованиями NPC

NPC также указала, что системы обработки данных с автоматизированными решениями или профилированием подлежат регистрации по применимым правилам.

Компаниям следует оценивать требования к регистрации, а не полагать, что регистрация обязательна для любой организации.

Требования безопасности

DPA требует от PIC и PIP внедрять разумные и надлежащие организационные, физические и технические меры для защиты персональной информации. Меры безопасности следует выбирать с учетом таких факторов, как:

• Характер персональной информации
• Риски, связанные с обработкой
• Организационная среда
• Применимые отраслевые стандарты
• Стоимость внедрения
• Возможное воздействие на субъектов данных

Практическая программа конфиденциальности и безопасности может включать:

• Управление доступом
• Аутентификацию
• Шифрование
• Сетевую безопасность
• Безопасность приложений
• Журналирование и мониторинг
• Управление уязвимостями
• Резервное копирование
• Восстановление после сбоев
• Обучение сотрудников
• Реагирование на инциденты
• Контроль безопасности у поставщиков

Разъяснения NPC об инцидентах прямо требуют организационных, физических и технических мер, направленных на предотвращение или минимизацию инцидентов и на своевременное обнаружение и реагирование.

Уведомление об инцидентах с персональными данными

Не каждый инцидент безопасности требует уведомления NPC и затронутых лиц. Обязательное уведомление применяется при выполнении условий, установленных DPA и правилами NPC.

NPC называет три ключевых элемента:

• Инцидент затрагивает Sensitive Personal Information или иную информацию, которая может позволить мошенничество с идентификацией.
• Есть основания полагать, что информация была получена неуполномоченным лицом.
• PIC считает, что инцидент вероятно создает реальный риск серьезного вреда для затронутого субъекта данных.

Примеры информации, которая может позволить мошенничество с идентификацией:

• Финансовая или экономическая информация
• Имена пользователей и пароли
• Биометрические данные
• Выданные государством документы, удостоверяющие личность
• Уникальные государственные идентификаторы
• Аналогичная информация, способная повлиять на решения в отношении лица

Уведомление в течение 72 часов

Когда обязательное уведомление применяется, NPC требует подать Personal Data Breach Notification Form в течение 72 часов с момента, когда стало известно об инциденте с персональными данными или возникло обоснованное предположение о нем. Затронутых субъектов данных также следует уведомить в тот же 72-часовой срок, когда такая обязанность применяется.

NPC использует для уведомлений Data Breach Notification Management System (DBNMS). Поэтому организациям следует поддерживать процесс реагирования на инциденты, способный:

• Обнаруживать инциденты
• Оценивать, затронуты ли персональные данные
• Определять пороги уведомления
• Эскалировать инциденты
• Готовить сведения для уведомления
• Связываться с затронутыми лицами
• Документировать меры по устранению
• Предотвращать повторение

Уведомление об инцидентах и обработчики

Передача обработки на аутсорсинг не снимает с контролера ответственности за применимое уведомление. NPC указывает, что обязанность уведомлять остается у Personal Information Controller даже тогда, когда обработка передана или субподрядно поручена Personal Information Processor.

Поэтому договоры с обработчиками должны устанавливать:

• Требования безопасности
• Сроки уведомления об инцидентах
• Содействие в расследованиях
• Сохранение доказательств
• Поддержку субъектов данных
• Взаимодействие с регулятором
• Ответственность за устранение последствий

Передача данных и сторонние обработчики

Организации часто привлекают третьих лиц к обработке персональной информации. Примеры:

• Облачные провайдеры
• CRM-платформы
• Провайдеры аналитики
• Рекламные платформы
• Платежные операторы
• Провайдеры поддержки клиентов
• Платформы автоматизации маркетинга
• HR-системы
• SaaS-провайдеры

PIC следует понимать:

• Какая информация передается
• Почему она передается
• Кто ее получает
• Где она обрабатывается
• Какие меры безопасности применяются
• Как долго она хранится
• Привлекаются ли дальнейшие обработчики
• Что происходит после прекращения договора

NPC опубликовала разъяснения и циркуляры о соглашениях о передаче данных и подотчетности в сфере конфиденциальности.

Трансграничная и международная обработка

DPA может применяться к обработке, выполняемой за пределами Филиппин, когда соблюдены предусмотренные законом экстерриториальные условия. Международным компаниям следует оценить свои филиппинские связи, включая:

• Филиппинских клиентов или резидентов
• Филиппинские договоры
• Филиппинские филиалы или дочерние организации
• Деятельность на Филиппинах
• Данные, собранные или хранимые на Филиппинах
• Доступ со стороны иностранной материнской или аффилированной организации

Экстерриториальное положение DPA прямо касается обработки за пределами Филиппин, когда существуют соответствующие предусмотренные законом связи.

Автоматизированные решения и профилирование

Филиппинская система рассматривает автоматизированную обработку и профилирование как важные вопросы конфиденциальности. У NPC есть специальные правила о регистрации и уведомлении в отношении автоматизированных решений, а DPA предоставляет субъектам данных права, связанные с автоматизированной обработкой и профилированием.

Компаниям, использующим перечисленное ниже, следует оценить свою обработку:

• Системы ИИ
• Автоматизированные решения о соответствии условиям
• Кредитный скоринг
• Поведенческое профилирование
• Персонализированную рекламу
• Выявление мошенничества
• Рекомендательные системы
• Иные системы автоматизированных решений

Оценка должна охватывать:

• Какие персональные данные используются
• Цель автоматизированной обработки
• Существенно ли система влияет на людей
• Требования прозрачности
• Права на возражение
• Обязанности по регистрации
• Безопасность
• Обработку третьими лицами
• Участие человека, где это уместно

NPC также выпустила отдельные разъяснения по ИИ о применении DPA и правил его реализации к системам ИИ, обрабатывающим персональные данные.

Privacy by design и инженерия конфиденциальности

NPC недавно выпустила разъяснения об инженерии конфиденциальности в процессах жизненного цикла систем. Компаниям следует учитывать вопросы конфиденциальности при:

• Проектировании продукта
• Разработке сайта
• Разработке приложений
• Выборе поставщиков
• Архитектуре данных
• Разработке ИИ
• Внедрении аналитики
• Проектировании безопасности
• Изменениях в системах

Поэтому вопросы конфиденциальности следует решать до начала обработки персональных данных, а не только после запуска продукта.

Файлы cookie и онлайн-отслеживание

DPA Филиппин не признает автоматически каждый файл cookie требующим согласия. Правильный подход — определить:

• Обрабатывает ли файл cookie или трекер персональную информацию
• Какую информацию он собирает
• С какой целью
• Кто получает информацию
• Какое правовое основание применяется
• Затрагивает ли технология чувствительную информацию
• Задействована ли обработка третьими лицами
• Какие требования прозрачности и выбора применяются

Владельцам сайтов следует особенно внимательно отнестись к:

• Рекламным файлам cookie
• Пикселям ретаргетинга
• Аналитике
• Пикселям социальных сетей
• Отслеживанию конверсий
• Идентификаторам устройств
• Поведенческой аналитике
• Сессионным технологиям
• Сторонним SDK

Когда согласие является применимым правовым основанием, ConsentX помогает организациям контролировать, когда запускаются выбранные технологии, и сохранять записи о решениях пользователей.

Прямой маркетинг

DPA предоставляет субъектам данных права в отношении прямого маркетинга. Компаниям, ведущим кампании по электронной почте, SMS, рекламе или иной персонализированный маркетинг, следует проверить:

• Источник маркетинговых данных
• Цель, для которой они были собраны
• Применимое согласие
• Механизмы отказа
• Управление настройками
• Раскрытия третьим лицам
• Профилирование
• Рекламные платформы
• Хранение данных

Право на возражение прямо охватывает обработку в целях прямого маркетинга.

Хранение данных

Организациям следует установить практики хранения, соответствующие цели и характеру обработки. Программа хранения должна охватывать:

• Клиентские учетные записи
• Маркетинговые базы данных
• Записи о согласии
• Аналитику сайта
• Файлы cookie и данные отслеживания
• Материалы службы поддержки
• Данные работников
• Запросы субъектов данных
• Журналы безопасности
• Персональные данные, хранящиеся у поставщиков

Данные не следует хранить бессрочно лишь потому, что технически есть место для хранения.

Хранение следует также согласовывать с правовыми, регуляторными, договорными и судебными требованиями.

Дети и уязвимые субъекты данных

Компаниям, обрабатывающим информацию о детях или иных уязвимых лицах, следует применять повышенные меры защиты конфиденциальности. Регистрационная система NPC называет уязвимых субъектов данных — включая несовершеннолетних, пациентов, пожилых людей и иные ситуации возможного дисбаланса между субъектом данных и организацией — значимыми факторами риска.

Поэтому продуктам, ориентированным на детей, следует оценить:

• Проверку возраста
• Надлежащие уведомления
• Требования к согласию
• Участие родителей, где это применимо
• Минимизацию данных
• Безопасность
• Хранение
• Профилирование
• Раскрытия третьим лицам

Чек-лист соблюдения DPA Филиппин

Используйте этот чек-лист как отправную точку вашей программы соблюдения требований:

• Определить всю собираемую персональную информацию
• Выявить Sensitive Personal Information
• Составить карту целей обработки
• Определить применимый критерий правомерной обработки
• Проверить механизмы получения согласия
• Сохранять доказательства согласия
• Опубликовать надлежащие уведомления о конфиденциальности
• Определить роли PIC и PIP
• Проверить договоры с обработчиками
• Оценить соглашения о передаче данных
• Проверить трансграничную обработку
• Установить процедуры по запросам субъектов данных
• Обеспечить работу с запросами на доступ
• Обеспечить работу с запросами на исправление
• Обеспечить работу с запросами на удаление или блокирование
• Обеспечить работу с возражениями
• Обеспечить переносимость данных
• Проверить практики прямого маркетинга
• Оценить автоматизированные решения
• Проверить деятельность по профилированию
• Оценить требования к регистрации в NPC
• Поддерживать управление функцией DPO
• Внедрить разумные меры безопасности
• Установить процедуры реагирования на инциденты
• Оценить требование об уведомлении в течение 72 часов
• Проверить обработку данных детей и уязвимых лиц
• Сканировать файлы cookie и трекеры
• Блокировать выбранные технологии до применимого согласия
• Регулярно проверять изменения на сайте и у поставщиков