DPA

因此，应当针对每一项处理活动确定适用的法律依据，而不应假定一个同意横幅就能解决所有隐私义务。

菲律宾《数据隐私法》是否适用于菲律宾境外的公司？

适用，但仅限于特定情形。

《数据隐私法》第6条规定了域外适用的情形：在菲律宾境外实施的行为或处理活动涉及菲律宾公民或居民的个人信息，且相关主体与菲律宾存在符合条件的联系。

相关联系可能包括：

• 在菲律宾订立的合同
• 在菲律宾设立的分支机构、代理机构、办事处或子公司
• 在特定情形下，中央管理和控制职能位于菲律宾
• 在菲律宾开展业务
• 由菲律宾境内的主体收集或持有的个人信息

因此，国际企业应评估自身与菲律宾的联系及其处理活动，而不应认为实际所在地位于菲律宾境外就可以免除《数据隐私法》下的义务。

什么是个人信息？

《数据隐私法》广泛保护能够直接或间接识别个人的信息。

示例可能包括：

• 姓名
• 联系方式
• 电子邮件地址
• 身份识别信息
• 账户信息
• 位置信息
• 在线标识符
• 就业信息
• 财务信息
• 健康信息
• 与可识别个人相关联的其他信息

处理的概念十分宽泛，包括收集、记录、组织、存储、更新、检索、查阅、使用、披露、封锁、删除和销毁等活动。

敏感个人信息

菲律宾《数据隐私法》对敏感个人信息（SPI）提供更高水平的保护。

该法涵盖与下列事项相关的信息：

• 种族
• 族裔出身
• 婚姻状况
• 年龄
• 肤色
• 宗教、哲学或政治派别
• 健康
• 教育
• 遗传或性生活
• 犯罪指控程序及其处理结果
• 政府签发的个人专属信息，例如特定的社会保障、健康、执照或税务信息
• 由法律或行政行为特别列为保密的信息

区分个人信息与敏感个人信息十分重要，因为 SPI 可能适用额外的限制和保障措施。

同意要求

在依赖同意的情形下，菲律宾隐私规则要求同意必须：

• 自愿作出
• 具体明确
• 知情
• 可以证明

实施细则（IRR）规定，同意可以通过书面、电子或录音等方式加以证明。

因此，一套实用的同意机制应当能够确定：

• 由谁提供了同意
• 本人同意了哪些内容
• 取得同意所针对的目的
• 同意于何时作出
• 向本人展示了哪些信息
• 本人此后是否撤回了同意
• 基于该同意开展了哪些处理活动

不应不必要地捆绑同意

在需要同意的情形下，组织应避免让互不相关的目的取决于一次含义模糊的授权。

例如，企业可能存在下列不同的处理活动：

• 账户创建
• 服务交付
• 分析
• 广告
• 个性化
• 直接营销
• 第三方数据共享

这些活动应当分别评估，以确定适用的法律依据和透明度要求。

隐私声明与透明度

《数据隐私法》的透明度要求规定，组织应就其个人信息的处理情况向数据主体提供适当的信息。

一份隐私声明应当说明下列相关事项：

• 收集哪些个人信息
• 处理目的
• 处理的方式和范围
• 控制者或其代表的身份和联系方式
• 保存期限
• 相关的接收方或披露情况
• 数据主体权利
• 数据主体如何行使这些权利或提出投诉

实施细则（IRR）明确承认数据主体有权了解处理活动及其相关权利。

数据主体权利

国家隐私委员会列明了《数据隐私法》赋予数据主体的若干权利，包括：

• 知情权
• 访问权
• 反对权
• 更正权
• 删除或封锁权
• 数据可携带权
• 投诉权
• 损害赔偿请求权

因此，组织应建立正式的隐私请求流程，能够：

1. 1接收请求
2. 2核验请求人的身份
3. 3识别相关数据
4. 4确定适用的例外情形
5. 5与处理者协调配合
6. 6在适用期限内作出回应
7. 7保存回应的证据

访问权

访问权使数据主体可以获取有关其个人数据处理情况的信息。

视具体情形而定，这可能包括下列信息：

• 正在处理的个人信息
• 处理目的
• 处理的方式和范围
• 接收方或接收方类别
• 在适用情况下的数据来源
• 《数据隐私法》承认的其他信息

企业应建立相应流程，以便在数据库、应用程序和第三方系统中定位个人信息。

更正权

数据主体可以行使更正权，更正不准确或不完整的个人信息。

组织应保持相应流程，以便：

• 识别相关记录
• 核实所请求的更正内容
• 更新内部系统
• 在必要时将更正同步至相关处理者或接收方
• 记录请求及其处理结果

删除或封锁权

《数据隐私法》承认在特定情形下享有删除或封锁权。

这不应被理解为可以立即删除每一条记录的无条件权利。

组织应判断：

• 数据是否已不再必要
• 处理是否违法
• 数据主体是否提出了有效的反对
• 是否有其他法律要求继续保存
• 该信息对于法律主张是否必要
• 是否适用其他法定例外情形

反对权

数据主体有权反对特定的处理活动。

实施细则明确承认针对下列活动提出反对：

• 直接营销
• 自动化处理
• 用户画像

反对成立时，控制者必须停止相关处理，除非适用的例外情形允许继续处理。

数据可携带权

菲律宾承认数据可携带权。

NPC 解释称，数据主体可以获取其个人数据的副本，和/或要求将其从一个 PIC 传输至另一个 PIC，格式为常用的电子或结构化格式。

该项权利可在下列情况下适用：

• 处理以同意或合同为依据
• 个人数据以结构化且常用的格式进行电子处理

可能属于可携带范围的信息示例包括：

• 姓名
• 地址
• 用户名
• 交易记录
• 访问日志
• 位置数据

数据保护官

属于菲律宾隐私框架适用范围的组织，应建立适当的隐私治理机制，包括在必要时任命数据保护官（DPO）。

DPO 负责支持组织遵守《数据隐私法》和 NPC 的各项要求。

DPO 可能参与下列工作：

• 隐私合规
• 数据保护政策
• 隐私影响评估
• 数据主体请求
• 泄露管理
• 与 NPC 的沟通
• 员工意识培养
• 供应商管理
• 隐私融入设计的举措

NPC 提供了一套登记系统，PIC 和 PIP 可以在适用情况下通过该系统登记其 DPO 和数据处理系统。

数据处理系统登记

登记义务取决于组织及其处理活动的性质。

根据 NPC 的要求，在包括下列情形在内的情况下，可能需要强制登记：

• PIC 或 PIP 雇用至少250名雇员
• 处理活动涉及至少1,000名个人的敏感个人信息
• 处理活动可能对数据主体构成风险
• 处理活动并非偶然进行
• 在 NPC 要求所涵盖的情形下涉及自动化决策或用户画像

NPC 还表示，涉及自动化决策或用户画像的数据处理系统，根据适用规则须履行登记要求。

企业应评估自身的登记要求，而不应假定每一家组织都必须进行登记。

安全要求

《数据隐私法》要求 PIC 和 PIP 实施合理且适当的组织管理、物理和技术措施，以保护个人信息。

安全控制措施应考虑下列因素：

• 个人信息的性质
• 与处理相关的风险
• 组织环境
• 适用的行业标准
• 实施成本
• 对数据主体的潜在影响

一套实用的隐私安全方案可以包括：

• 访问控制
• 身份验证
• 加密
• 网络安全
• 应用安全
• 日志记录与监控
• 漏洞管理
• 备份
• 灾难恢复
• 员工培训
• 事件响应
• 供应商安全控制

NPC 的泄露指引特别要求采取组织管理、物理和技术措施，以防止或尽量减少泄露事件，并支持及时发现和响应。

个人数据泄露通知

并非每一起安全事件都需要向 NPC 和受影响的个人进行通知。

只有在满足《数据隐私法》和 NPC 规则所确立的条件时，才适用强制通知。

NPC 列明了三项关键要素：

1. 1该泄露事件涉及敏感个人信息，或者可能导致身份欺诈的其他信息。
2. 2有理由相信这些信息已被未经授权的人员获取。
3. 3PIC 认为该泄露事件可能对受影响的数据主体造成严重损害的现实风险。

可能导致身份欺诈的信息示例包括：

• 财务或经济信息
• 用户名和密码
• 生物识别数据
• 政府签发的身份证件
• 政府专有识别号码
• 能够影响与个人相关决定的类似信息

72小时泄露通知

在适用强制通知的情况下，NPC 要求自知悉或有合理理由相信已发生个人数据泄露之时起72小时内提交个人数据泄露通知表（Personal Data Breach Notification Form）。

在适用通知要求的情况下，也必须在相应的72小时期限内通知受影响的数据主体。

NPC 运行数据泄露通知管理系统（DBNMS），用于接收泄露通知。

因此，组织应保持一套事件响应流程，能够：

• 发现事件
• 评估是否涉及个人数据
• 判断是否达到通知门槛
• 在内部上报事件
• 准备通知所需的信息
• 联系受影响的个人
• 记录补救措施
• 防止再次发生

数据泄露通知与处理者

将处理活动外包并不能免除控制者履行适用泄露通知义务的责任。

NPC 指出，即使处理活动已外包或分包给个人信息处理者，通知义务仍由个人信息控制者承担。

因此，与处理者签订的合同应明确约定：

• 安全要求
• 事件通知时限
• 调查配合
• 证据保全
• 对数据主体的支持
• 与监管机关的配合
• 补救责任

数据共享与第三方处理者

组织经常依赖第三方处理个人信息。

示例包括：

• 云服务提供商
• CRM 平台
• 分析服务提供商
• 广告平台
• 支付处理机构
• 客户支持服务提供商
• 营销自动化平台
• 人力资源系统
• SaaS 服务提供商

PIC 应当了解：

• 共享了哪些信息
• 为何共享
• 由谁接收
• 在何处处理
• 适用哪些安全控制措施
• 保存多长时间
• 是否涉及进一步的处理者
• 合作终止后会发生什么

NPC 已就数据共享安排和隐私问责发布了相关指引和通函。

跨境与国际处理

在满足法定域外适用条件的情况下，《数据隐私法》可以适用于在菲律宾境外开展的处理活动。

国际企业应评估其与菲律宾的联系，包括：

• 菲律宾的客户或居民
• 在菲律宾订立的合同
• 在菲律宾的分支机构或子公司
• 在菲律宾的经营活动
• 在菲律宾收集或持有的数据
• 境外母公司或关联组织的访问

《数据隐私法》的域外适用条款专门针对存在相关法定联系的菲律宾境外处理活动。

自动化决策与用户画像

菲律宾隐私框架将自动化处理和用户画像视为重要的隐私考量事项。

NPC 就自动化决策的登记和通知制定了专门规则，《数据隐私法》也规定了与自动化处理和用户画像相关的数据主体权利。

使用下列技术的企业：

• 人工智能系统
• 自动化资格审核决策
• 信用评分
• 行为画像
• 个性化广告
• 欺诈检测
• 推荐系统
• 其他自动化决策系统

应当评估：

• 正在使用哪些个人数据
• 自动化处理的目的
• 该系统是否对个人产生重大影响
• 透明度要求
• 反对权
• 登记义务
• 安全
• 第三方处理
• 在适当情况下的人工复核

NPC 还发布了专门针对人工智能的指引，说明《数据隐私法》及其实施细则如何适用于处理个人数据的人工智能系统。

隐私融入设计与隐私工程

NPC 近期就系统生命周期流程中的隐私工程发布了指引。

企业应在下列环节中纳入隐私考量：

• 产品设计
• 网站开发
• 应用程序开发
• 供应商选择
• 数据架构
• 人工智能开发
• 分析工具的部署
• 安全设计
• 系统变更

因此，应当在个人数据处理开始之前就着手解决隐私问题，而不是等到产品上线之后才加以考虑。

Cookie 与在线跟踪

菲律宾《数据隐私法》并没有简单地将每一个 Cookie 都归类为需要取得同意。

恰当的做法是确定：

1. 1该 Cookie 或跟踪器是否处理个人信息
2. 2它收集哪些信息
3. 3出于何种目的
4. 4由谁接收这些信息
5. 5适用哪一项法律依据
6. 6该技术是否涉及敏感信息
7. 7是否涉及第三方处理
8. 8适用哪些透明度和选择权要求

网站运营者应特别关注：

• 广告类 Cookie
• 再营销像素
• 分析工具
• 社交媒体像素
• 转化跟踪
• 设备标识符
• 行为分析
• 会话技术
• 第三方 SDK

在同意为适用法律依据的情况下，ConsentX 可以帮助组织控制选定技术的执行时机，并保存用户选择的记录。

直接营销

《数据隐私法》赋予数据主体与直接营销相关的权利。

开展电子邮件、短信、广告或其他个性化营销的企业，应检查：

• 营销数据的来源
• 收集该数据所针对的目的
• 适用的同意
• 退出机制
• 偏好管理
• 第三方披露
• 用户画像
• 广告平台
• 数据保存期限

反对权明确包括针对直接营销目的的处理。

数据保存

组织应建立与处理目的和性质相适应的保存做法。

一套保存方案应涵盖：

• 客户账户
• 营销数据库
• 同意记录
• 网站分析
• Cookie 与跟踪信息
• 客户支持记录
• 员工信息
• 数据主体请求
• 安全日志
• 供应商持有的个人数据

不应仅仅因为技术上具备存储条件，就无限期地保存数据。

保存期限还应与法律、监管、合同和诉讼方面的要求相协调。

儿童与弱势数据主体

处理儿童或其他弱势个人信息的企业，应采取更高水平的隐私保障措施。

NPC 的登记框架将弱势数据主体列为相关的风险因素，包括未成年人、患者、老年人，以及处于数据主体与组织之间可能存在地位不对等情形中的其他人员。

因此，面向儿童的产品应评估：

• 年龄验证
• 适当的告知
• 同意要求
• 在适用情况下由父母参与
• 数据最小化
• 安全
• 保存期限
• 用户画像
• 第三方披露

菲律宾《数据隐私法》合规清单

• 识别所收集的全部个人信息
• 识别敏感个人信息
• 梳理处理目的
• 确定适用的合法处理依据
• 检查同意机制
• 保存同意证据
• 发布适当的隐私声明
• 明确 PIC 与 PIP 的角色
• 检查与处理者签订的合同
• 评估数据共享安排
• 检查跨境处理
• 建立数据主体请求处理程序
• 支持访问请求
• 支持更正请求
• 支持删除/封锁请求
• 支持反对请求
• 支持数据可携带
• 检查直接营销做法
• 评估自动化决策
• 检查用户画像活动
• 评估 NPC 登记要求
• 保持 DPO 治理机制
• 实施合理的安全措施
• 建立泄露响应程序
• 评估72小时通知要求
• 检查针对儿童和弱势人员的处理活动
• 扫描 Cookie 和跟踪器
• 在取得适用同意之前拦截选定的技术
• 定期检查网站和供应商的变更

适用本法规的国家

国家：菲律宾

菲律宾《数据隐私法》适用于其范围内的个人信息处理活动，在满足法定域外适用条件的情况下，也可能适用于在菲律宾境外开展的特定处理活动。

其他隐私法规

在国际范围内运营的企业可能还需要评估：

• GDPR — 欧盟
• UK GDPR — 英国
• CCPA / CPRA — 加利福尼亚州
• LGPD — 巴西
• PIPEDA — 加拿大
• DPDP Act — 印度
• PDPA — 新加坡
• PDPA — 泰国
• PIPA — 韩国
• Malaysia PDPA — 马来西亚
• POPIA — 南非
• FADP — 瑞士
• Law 25 — 加拿大魁北克
• LFPDPPP — 墨西哥
• PDPL — 阿根廷
• Law 21.719 — 智利
• Law 1581 — 哥伦比亚
• Law 29733 — 秘鲁
• Law 18.331 — 乌拉圭
• LOPDP — 厄瓜多尔
• 越南《个人数据保护法》

适用的要求取决于组织、处理活动、涉及的个人以及相关司法辖区。