遵守菲律宾数据隐私法 的要求

监管框架

菲律宾隐私框架主要建立在以下基础之上：

• Republic Act No. 10173 — Data Privacy Act of 2012
• Data Privacy Act 的 Implementing Rules and Regulations
• NPC 的通函与规章
• NPC 的咨询意见与指引
• 适用时的行业隐私要求

同意是处理的合法依据之一，但在菲律宾框架下并非唯一依据。当处理对于履行合同、法定义务、保护重大利益、应对国家紧急状态或维护公共秩序所必需，或属于该法及其实施细则认可的其他情形时，处理同样可以合法。

NPC 负责管理和执行 DPA，并为组织和数据主体提供指引。

该法覆盖的组织

DPA 适用于参与个人信息处理的组织与个人，包括：

• Personal Information Controller
• Personal Information Processor
• 私营组织
• 属于该法适用范围的政府机构
• 运营网站和应用的企业
• 电子商务平台
• 金融机构
• 医疗机构
• 教育机构
• 科技企业
• 营销与广告企业
• 外包服务提供商
• 处理个人信息的其他主体

对于在菲律宾运营网站、应用、电子商务平台、SaaS 产品、营销系统或其他数字服务的企业而言，合规不止于通过 Cookie 横幅取得同意。组织需要了解适用的法律依据、提供适当的隐私声明、落实安全措施、处理数据主体权利、评估第三方处理，并保存适当的合规证据。

菲律宾 DPA 是否适用于菲律宾境外的企业？

在特定情形下适用。DPA 第 6 条规定，当在菲律宾境外的行为或处理涉及菲律宾公民或居民的个人信息，且该主体与菲律宾具有符合条件的联系时，适用域外效力。

此类联系可能包括：

• 在菲律宾订立的合同
• 位于菲律宾的分支机构、代理机构、办事处或子公司
• 在特定情形下，于菲律宾进行的中枢管理与控制
• 在菲律宾开展经营活动
• 由菲律宾境内主体收集或持有的个人信息

因此，跨国企业应评估自身与菲律宾的联系及处理活动，而不应假定实体位于菲律宾境外即免除 DPA 义务。

什么是个人信息？

DPA 广泛保护可据以直接或间接识别个人的信息。例如：

• 姓名
• 联系方式
• 电子邮件地址
• 身份识别信息
• 账户信息
• 位置信息
• 在线标识符
• 就业信息
• 财务信息
• 健康信息
• 与可识别个人相关联的其他信息

处理的概念十分宽泛，包括收集、记录、组织、存储、更新、检索、查阅、使用、披露、封锁、删除和销毁等活动。

Sensitive Personal Information

菲律宾 DPA 为 Sensitive Personal Information（SPI）提供更高保护。该法涵盖与下列事项有关的信息：

• 种族
• 族裔出身
• 婚姻状况
• 年龄
• 肤色
• 宗教、哲学或政治方面的归属
• 健康
• 教育
• 基因信息或性生活
• 涉及违法行为的程序及其处理结果
• 政府签发的、专属于个人的信息，例如某些社会保障、健康、执照或税务信息
• 由法律或行政行为明确列为保密的信息

区分个人信息与 Sensitive Personal Information 十分重要，因为对 SPI 可能适用额外的限制与保障措施。

同意的要求

在以同意为依据时，菲律宾隐私规则要求同意应当：

• 自由作出
• 具体
• 知情
• 可以证明

实施细则规定，同意可以通过书面、电子或录音方式加以证明。

因此，可落地的同意机制应当能够确定：

• 由谁作出同意
• 本人同意了什么
• 同意所针对的目的
• 同意作出的时间
• 当时展示了哪些信息
• 此后是否撤回了同意
• 基于该同意开展了哪些处理

不应不必要地捆绑同意

在需要同意时，组织不应让彼此无关的目的依赖于同一个含义模糊的许可。

例如，一家企业可能存在下列各自独立的处理活动：

• 账户创建
• 服务提供
• 分析
• 广告
• 个性化
• 直接营销
• 向第三方共享数据

这些活动应逐项评估，以确定适用的法律依据与透明度要求。

隐私声明与透明度

DPA 的透明度要求组织向数据主体提供关于其个人信息处理的适当信息。

隐私声明应说明下列相关事项：

• 收集哪些个人信息
• 处理的目的
• 处理的方式与范围
• 控制者或其代表的身份与联系方式
• 留存期限
• 相关接收方或披露情形
• 数据主体权利
• 数据主体如何行使这些权利或提出投诉

实施细则明确承认数据主体有权知悉处理情况及相关权利。

数据主体权利

National Privacy Commission 列举了 DPA 赋予数据主体的多项权利，包括：

• 知情权
• 访问权
• 反对权
• 更正权
• 删除或封锁权
• 数据可携带权
• 投诉权
• 损害赔偿请求权

因此，组织应建立正式的隐私请求处理流程，能够：

• 接收请求
• 核验请求人身份
• 定位相关数据
• 判断适用的例外
• 与处理者协同
• 在适用期限内答复
• 保存答复的证据

访问权

访问权使数据主体能够获得关于其个人数据处理的信息。视具体情形，可能包括下列信息：

• 正在处理的个人信息
• 处理的目的
• 处理的方式与范围
• 接收方或接收方类别
• 适用时的数据来源
• DPA 认可的其他信息

企业应建立在各数据库、应用和第三方系统中定位个人信息的流程。

更正权

数据主体可以行使更正不准确或不完整个人信息的权利。组织应维持能够实现下列事项的流程：

• 识别相关记录
• 核实所请求的更正内容
• 更新内部系统
• 在必要时将更正传递给相关处理者或接收方
• 记录请求与处理结果

删除或封锁权

DPA 在特定情形下承认删除或封锁的权利。这不应被理解为立即删除任何记录的无条件权利。

组织应判断以下情形是否成立：

• 该数据已不再必要
• 处理不合法
• 数据主体的反对具有正当理由
• 其他法律要求继续留存
• 该信息对于法律主张是必要的
• 适用其他法定例外

反对权

数据主体有权反对某些处理。实施细则特别提及涉及下列情形的反对：

• 直接营销
• 自动化处理
• 画像

反对具有正当理由时，除适用的例外允许继续处理外，控制者必须停止相关处理。

数据可携带权

菲律宾承认数据可携带权。NPC 说明，数据主体可以取得其个人数据的副本，并且/或者要求以常用的电子或结构化格式将其从一个 PIC 传输至另一个 PIC。

该权利可能适用于下列情形：

• 处理以同意或合同为依据
• 个人数据以常用的结构化格式通过电子方式处理

可能可携带的信息示例：

• 姓名
• 地址
• 用户名
• 交易记录
• 访问日志
• 位置数据

Data Protection Officer

属于菲律宾隐私框架适用范围的组织，应建立适当的隐私治理，包括在须设立时任命 Data Protection Officer（DPO）。DPO 负责支持组织遵守 DPA 与 NPC 的要求。

DPO 可能参与下列事项：

• 隐私合规
• 数据保护政策
• 隐私影响评估
• 数据主体请求
• 泄露事件处置
• 与 NPC 的沟通
• 员工意识提升
• 供应商管理
• 隐私设计相关举措

NPC 提供登记系统，PIC 与 PIP 可在适用时登记其 DPO 与数据处理系统。

数据处理系统登记

登记义务取决于组织及其处理的性质。依 NPC 的要求，在下列情形（以及其他情形）下可能适用强制登记：

• PIC 或 PIP 雇员达到 250 人以上
• 处理涉及至少 1,000 名个人的 Sensitive Personal Information
• 处理可能给数据主体带来风险
• 处理并非偶发
• 在 NPC 要求所涵盖的情形下涉及自动化决策或画像

NPC 还表示，涉及自动化决策或画像的数据处理系统，依适用规则须办理登记。

企业应评估登记要求，而不应假定所有组织都必须登记。

安全要求

DPA 要求 PIC 与 PIP 采取合理且适当的组织、物理和技术措施保护个人信息。安全控制应考虑下列因素：

• 个人信息的性质
• 与处理相关的风险
• 组织所处的环境
• 适用的行业标准
• 实施成本
• 对数据主体的潜在影响

一套可落地的隐私与安全方案可以包括：

• 访问控制
• 身份认证
• 加密
• 网络安全
• 应用安全
• 日志与监控
• 漏洞管理
• 备份
• 灾难恢复
• 员工培训
• 事件响应
• 供应商安全管控

NPC 关于数据泄露的指引明确要求采取组织、物理和技术措施，以预防或减少泄露，并支持及时发现与响应。

个人数据泄露通报

并非每一起安全事件都需要向 NPC 和受影响个人通报。强制通报在满足 DPA 与 NPC 规则所设条件时适用。

NPC 指出三个关键要素：

• 该泄露涉及 Sensitive Personal Information，或涉及可能便利身份欺诈的其他信息。
• 有理由相信该信息已被未经授权的人员获取。
• PIC 认为该泄露可能给受影响数据主体带来严重损害的现实风险。

可能便利身份欺诈的信息示例：

• 财务或经济信息
• 用户名与密码
• 生物识别数据
• 政府签发的身份证明文件
• 唯一的政府标识号
• 可能影响与个人有关决定的类似信息

72 小时泄露通报

在适用强制通报时，NPC 要求自知悉或合理相信发生个人数据泄露之时起 72 小时内提交 Personal Data Breach Notification Form。在通报义务适用时，也必须在同一 72 小时期限内通知受影响的数据主体。

NPC 设有 Data Breach Notification Management System（DBNMS）用于接收通报。因此，组织应保持能够完成下列工作的事件响应流程：

• 发现事件
• 评估是否涉及个人数据
• 判断通报门槛
• 事件升级
• 准备通报内容
• 联系受影响个人
• 记录整改措施
• 防止再次发生

泄露通报与处理者

将处理外包并不免除控制者在适用通报方面的责任。NPC 表示，即便处理已外包或分包给 Personal Information Processor，通报义务仍由 Personal Information Controller 承担。

因此，与处理者的合同应约定：

• 安全要求
• 事件通知时限
• 调查配合
• 证据保全
• 数据主体事务的支持
• 与监管机关的配合
• 整改责任

数据共享与第三方处理者

组织经常依赖第三方处理个人信息。例如：

• 云服务提供商
• CRM 平台
• 分析服务提供商
• 广告平台
• 支付处理机构
• 客户支持服务商
• 营销自动化平台
• 人力资源系统
• SaaS 提供商

PIC 应当了解：

• 共享了哪些信息
• 为何共享
• 由谁接收
• 在何处处理
• 适用哪些安全控制
• 留存多长时间
• 是否涉及进一步的处理者
• 合作终止后如何处置

NPC 已就数据共享安排与隐私问责发布指引和通函。

跨境与国际处理

在满足法定域外效力条件时，DPA 可适用于在菲律宾境外进行的处理。跨国企业应评估其与菲律宾的联系，包括：

• 菲律宾客户或居民
• 在菲律宾订立的合同
• 菲律宾的分支机构或子公司
• 在菲律宾的经营活动
• 在菲律宾收集或持有的数据
• 境外母公司或关联公司的访问

DPA 的域外效力条款明确针对存在相关法定联系时在菲律宾境外的处理。

自动化决策与画像

菲律宾框架将自动化处理与画像视为重要的隐私议题。NPC 对自动化决策的登记与通报设有具体规则，DPA 则赋予数据主体与自动化处理和画像相关的权利。

使用下列技术的企业应评估其处理活动：

• AI 系统
• 自动化的资格判定
• 信用评分
• 行为画像
• 个性化广告
• 欺诈检测
• 推荐系统
• 其他自动化决策系统

评估应涵盖：

• 使用了哪些个人数据
• 自动化处理的目的
• 该系统是否对个人产生重大影响
• 透明度要求
• 反对权
• 登记义务
• 安全
• 第三方处理
• 适当情形下的人工复核

NPC 还就 DPA 及其实施细则如何适用于处理个人数据的 AI 系统发布了针对 AI 的指引。

隐私设计与隐私工程

NPC 近期就系统生命周期流程中的隐私工程发布了指引。企业应在下列阶段纳入隐私考量：

• 产品设计
• 网站开发
• 应用开发
• 供应商选择
• 数据架构
• AI 开发
• 分析工具部署
• 安全设计
• 系统变更

因此，隐私应在个人数据处理开始之前加以处理，而不是等到产品上线之后。

Cookie 与在线跟踪

菲律宾 DPA 并未简单地将每个 Cookie 都视为需要同意。恰当的做法是判断：

• 该 Cookie 或跟踪器是否处理个人信息
• 它收集哪些信息
• 出于何种目的
• 由谁接收这些信息
• 适用何种法律依据
• 该技术是否涉及敏感信息
• 是否涉及第三方处理
• 适用何种透明度与选择要求

网站运营者应特别关注：

• 广告 Cookie
• 再营销像素
• 分析
• 社交媒体像素
• 转化跟踪
• 设备标识符
• 行为分析
• 会话相关技术
• 第三方 SDK

当同意是适用的法律依据时，ConsentX 可以帮助组织控制所选技术何时执行，并保存用户选择的记录。

直接营销

DPA 赋予数据主体与直接营销有关的权利。开展电子邮件、短信、广告或其他个性化营销的企业应审视：

• 营销数据的来源
• 收集时的目的
• 适用的同意
• 退出机制
• 偏好管理
• 向第三方的披露
• 画像
• 广告平台
• 数据留存

反对权明确包括为直接营销目的进行的处理。

数据留存

组织应根据处理的目的与性质确立留存做法。留存方案应覆盖：

• 客户账户
• 营销数据库
• 同意记录
• 网站分析
• Cookie 与跟踪信息
• 客服记录
• 员工信息
• 数据主体请求
• 安全日志
• 供应商持有的个人数据

不应仅因技术上具备存储空间而无限期保留数据。

留存还应与法律、监管、合同及诉讼方面的要求相协调。

儿童与弱势数据主体

处理儿童或其他弱势个人信息的企业，应采取更严格的隐私保障措施。NPC 的登记框架将弱势数据主体——包括未成年人、患者、老年人，以及与组织之间可能存在不平衡关系的其他情形——列为相关风险因素。

因此，面向儿童的产品应评估：

• 年龄验证
• 适当的告知
• 同意要求
• 适用时的家长参与
• 数据最小化
• 安全
• 留存
• 画像
• 向第三方的披露

菲律宾 DPA 合规清单

可将此清单作为合规工作的起点：

• 梳理所收集的全部个人信息
• 识别 Sensitive Personal Information
• 梳理处理目的
• 确定适用的合法处理依据
• 检查同意获取机制
• 保存同意证据
• 发布适当的隐私声明
• 厘清 PIC 与 PIP 角色
• 审查处理者合同
• 评估数据共享安排
• 审查跨境处理
• 建立数据主体请求处理程序
• 支持访问请求
• 支持更正请求
• 支持删除或封锁请求
• 支持反对请求
• 支持数据可携带
• 审查直接营销做法
• 评估自动化决策
• 审查画像活动
• 评估向 NPC 登记的要求
• 维持 DPO 治理
• 落实合理的安全措施
• 建立泄露响应程序
• 评估 72 小时通报要求
• 审查涉及儿童与弱势人群的处理
• 扫描 Cookie 与跟踪器
• 在取得适用同意前阻止所选技术运行
• 定期审查网站与供应商的变更