借助 ConsentX 实现秘鲁第 29733 号法律合规

同意要求

同意是秘鲁数据保护框架的核心要素。

在需要同意的情形下，组织通常必须在处理开始前取得同意，且该同意必须是：

• 自由的
• 事先的
• 明示的
• 明确的
• 知情的

同意应当能够与其他条款或条件相区分，并向个人提供足够信息以理解其所同意的内容。

不过，组织不应假定每项处理活动都需要同意。第 29733 号法律规定了可以在未取得同意的情况下处理个人数据的情形。

敏感个人数据

敏感个人数据在秘鲁数据保护框架下受到更强的保护。

处理敏感信息的组织应适用第 29733 号法律及其条例所确立的额外要求和保障措施。

隐私声明和同意机制应当清楚说明相关数据类别，以及处理敏感信息的目的。

数据主体权利

第 29733 号法律赋予个人对其个人数据的权利。

其中包括 ARCO 权利：

• 访问——个人可以就其个人数据及相关处理活动请求获取信息。
• 更正——个人可以请求更正不准确、不完整或过时的个人数据。
• 注销——在满足适用法律要求时，个人可以请求删除或注销其个人数据。
• 反对——在满足适用的反对条件时，个人可以对其个人数据的特定处理提出异议。

组织应建立清晰的流程来接收、验证、跟踪和回应这些请求。

隐私声明与透明度

组织应就个人数据的处理向个人提供清晰的信息。

隐私声明应涵盖以下相关信息：

• 所收集的个人数据类别
• 处理目的
• 个人数据的使用方式
• 相关接收方
• 适用情况下的跨境传输
• 数据主体权利
• 个人如何行使其权利
• 适用框架要求的其他信息

现行条例强化了个人数据处理的透明度和信息提供要求。

安全与问责

组织必须实施适当的安全措施，以保护个人数据免受未经授权的访问、丢失、变更、披露或销毁等风险。

2024 年条例强化了合规与问责框架，并引入了额外机制，供组织证明其已采取适当的数据保护措施。

因此，组织应保存适当的文档、政策、程序、技术控制措施和合规证据。

数据安全事件

现行条例就特定个人数据安全事件的通报引入了相关要求。

ANPD 表示，在触发适用的通报要求时，涉及个人数据的事件必须在知悉事件后 48 小时内向主管机关通报。

因此，组织应维持一套事件响应流程，能够在规定时限内识别、评估、记录并上报个人数据泄露事件。

跨境数据传输

将个人数据传输至秘鲁境外的组织，应评估第 29733 号法律及其条例下的适用要求。

在跨境传输个人数据之前，组织应考虑：

• 目的地国家
• 接收方
• 传输的目的
• 适用的保障措施
• 传输的法律依据
• 合同要求
• 任何适用的通报或授权要求

跨境传输应当成为组织更广泛的数据梳理与隐私合规计划的一部分。

个人数据数据库登记

秘鲁的数据保护框架包含有关个人数据数据库登记的要求。

组织应确定哪些数据库须予登记，并确保所需的登记与更新得到维护。

数据库登记应与隐私声明、处理目的、安全控制措施和数据主体权利程序一并考虑。

Cookie 与在线跟踪

Cookie、像素、分析工具、广告技术及其他在线跟踪技术可能涉及个人数据处理。

因此，在秘鲁运营网站的组织应评估：

• 部署了哪些 Cookie 和跟踪器
• 它们收集哪些信息
• 它们是否处理个人数据
• 每项技术的目的
• 是否需要取得同意
• 数据是否传输给第三方
• 信息是否跨境传输

同意管理平台可以帮助组织识别跟踪器、传达处理目的、在需要时取得同意，并防止相关技术在取得同意之前运行。