菲律宾数据共享协议：《数据隐私法》下的规则
菲律宾数据共享协议须遵守《数据隐私法》及其实施细则。本文说明数据共享的认定标准与适用规则。
菲律宾的数据共享协议是个人数据控制者（或处理者）与第三方之间就个人数据的披露或转移达成的合同。国家隐私委员会（National Privacy Commission）的《2012年数据隐私法》实施细则（IRR）将数据共享定义为：向第三方披露或转移由个人数据控制者或个人数据处理者保管的个人数据。若由处理者共享数据，该转移必须依据控制者的指示进行。外包——即控制者将数据转移给个人数据处理者——被明确排除在该定义之外。IRR还以专门章节规定了数据共享原则。
《数据隐私法》下何种情形构成数据共享
IRR对数据共享的定义包含三个要素：（1）披露或转移个人数据；（2）向第三方进行；（3）该数据由个人数据控制者或个人数据处理者保管。
若披露方为个人数据处理者，则该披露或转移必须依据相关个人数据控制者的指示进行。
数据共享与外包：区分为何重要
该定义排除了外包，即个人数据控制者向个人数据处理者披露或转移个人数据。外包由IRR关于外包与分包协议的Rule X另行规范。
这一区分影响适用哪些规则以及由谁承担责任。个人数据控制者是指控制个人数据处理，或指示他人代其处理个人数据的人或机构。若某实体决定收集何种信息，或决定处理的目的或范围，即存在控制。相比之下，个人数据处理者是指控制者向其外包或指示其处理个人数据的人或机构。
规范数据共享的原则
IRR在Rule IV（数据隐私原则）下处理数据共享，其中包括Section 20，数据共享原则。这使数据共享与透明、合法目的和相称性等一般原则，以及收集、处理与保存方面的原则处于同一框架之下。
这些原则要求：收集须出于特定且合法的目的；个人数据须公平、合法地处理；处理须确保数据质量；个人数据保存不得超过必要期限；任何获授权的进一步处理须具备充分保障措施。
数据共享协议应涵盖的内容
一份起草完善的协议应体现IRR的各项原则。在实践中，这意味着各方应当：
- 明确目的。 载明共享的特定且合法目的，与收集须出于特定且合法目的之原则保持一致。
- 界定数据。 描述所涵盖的个人数据并确认其质量，与处理应确保数据质量之原则保持一致。
- 设定保存规则。 规定个人数据的保存不得超过必要期限。
- 处理进一步处理事宜。 确认任何获授权的进一步处理均具备充分保障措施。
- 分配责任。 明确哪一方作为个人数据控制者、哪一方作为个人数据处理者，因为IRR的Rule XII规定了个人数据传输的责任。
《数据隐私法》不适用的情形
IRR关于特殊情形的Section 5列举了本法及本规则不适用的信息，且仅在相关目的、职能或活动所必需的最小范围内不适用。这些情形包括：为允许公众查阅公共关切事项而处理的信息、为新闻、艺术或文学目的处理的个人信息，以及为旨在促进公共福利的研究而处理的个人信息等。
即便主张豁免，证明本法及本规则不适用的举证责任仍由参与处理的一方或主张不适用的一方承担。对任何豁免的认定，应作有利于数据主体权利和利益的宽泛解释。
常见问题
《数据隐私法》是否要求签订数据共享协议？ IRR定义了数据共享并规定了数据共享原则，但将安排以书面形式订立的义务源自透明、合法目的和相称性等一般原则，以及各方对个人数据传输的责任。
数据共享与外包有何区别？ 数据共享是向第三方披露或转移个人数据。IRR明确将外包——即个人数据控制者向个人数据处理者披露或转移个人数据——排除在数据共享的定义之外。
个人数据被共享时由谁负责？ 责任依IRR中的角色而定。个人数据控制者决定收集何种信息以及处理的目的或范围，而个人数据处理者依控制者的指示行事。IRR的Rule XII规定了个人数据传输的责任。
实务要点
- IRR将数据共享定义为向第三方披露或转移个人数据，并明确排除外包。
- 若由个人数据处理者共享数据，必须依据个人数据控制者的指示进行。
- 数据共享受IRR在Rule IV下的数据共享原则规范，并与一般数据隐私原则并行适用。
- 协议应体现特定且合法目的、数据质量、有限保存以及进一步处理的充分保障等原则。
- Section 5下的豁免范围狭窄，证明不适用的举证责任由主张豁免的一方承担。
主要来源
上述规则取自以下主要来源，其公布于Official Gazette及国家法规汇编。
-
NPC IRR OF REPUBLIC ACT NO. 10173, August 24, 2016
-
IRR OF REPUBLIC ACT NO. 10173 - IMPLEMENTING RULES AND REGULATIONS OF REPUBLIC ACT NO. 10173, KNOWN AS THE “DATA PRIVACY ACT OF 2012”
-
NPC CIRCULAR NO. 2014-014, April 25, 2014
本文为一般性信息，不构成法律意见。针对您的具体情况，请咨询律师或询问ASG Legal AI。
延伸阅读
菲律宾NPC执法罚款是National Privacy Commission依据《2012年数据隐私法》对违规行为可施加的行政处罚，具体金额由NPC公布的罚款表决定。
菲律宾主机托管SLA应涵盖电力、制冷、可用性、安全与支持服务。本文说明合同应约定哪些内容及适用哪些法规。
菲律宾商业交易可因诈骗罪及其他重罪引发刑事责任。本文解析《修订刑法典》下欺诈、过失与共谋如何构成责任。
菲律宾的裁员与重组须具备法定事由、履行通知义务并支付法定离职补偿金。本文梳理雇主必须了解的关键合规要点与操作步骤。
对本文主题有疑问？
本文为一般性信息，不构成法律意见。向 ASG Legal AI 提问，即可获得针对您具体情形的、附有法律依据引用的通俗语言解答——免费，无需注册。