菲律宾NPC执法罚款：隐私委员会如何处罚违规行为

National Privacy Commission（NPC）负责执行《2012年数据隐私法》（Republic Act No. 10173），并可对违反该法、其《实施细则》（IRR）及委员会自身发布文件的行为施加行政罚款。根据IRR第9条，NPC的执法权力包括发布合规令或执法令、裁定赔偿、发布停止令或禁止处理令、向Department of Justice建议提起刑事起诉，以及施加行政罚款。IRR还要求委员会公布行政罚款与处罚表，以及其行政服务费用和申请费用（第10条）。因此，具体的比索金额取决于NPC自身的罚款表，而非法律中写明的固定数额。

谁负责执行《数据隐私法》

NPC是一个独立机构，其职责是管理和实施该法，并监督本国在个人数据保护方面对国际标准的遵守情况（IRR第8条）。其职能分为规则制定、咨询工作、公众教育、合规与监督、投诉与调查，以及执法。

执法并不限于罚款。IRR第9条授权委员会：

• 发布合规令或执法令；
• 就影响个人数据或数据主体权利的事项裁定赔偿；
• 在认定处理行为将损害国家安全或公共利益，或为维护和保护数据主体权利所必需时，发布停止令，或对处理行为施加临时或永久禁令；
• 向Department of Justice建议对该法规定的犯罪提起起诉并施加处罚；
• 强制或请求任何实体或政府机构遵守其命令；以及
• 对违反该法、本规则及委员会其他发布文件的行为施加行政罚款。

罚款与处罚表

IRR本身并未列出比索金额。相反，第10条要求委员会发布或颁布官方指令和行政发布文件、命令及通告，其中包括针对违反该法、本规则及委员会发布文件或命令行为的行政罚款与处罚表。该罚款表连同NPC的程序规则，构成了执法案件中适用的具体处罚依据。

IRR第十三章标题为“处罚”，列举了违规类别，包括未经授权处理个人信息和敏感个人信息（第52条）、因过失访问个人信息（第53条）、不当处置（第54条）、为未经授权目的处理（第55条）、未经授权访问或故意泄露（第56条）、隐瞒涉及敏感个人信息的安全漏洞（第57条）、恶意披露（第58条）以及未经授权披露（第59条）。该规则还涉及组合行为或系列行为（第60条）、责任范围（第61条）、大规模违规（第62条）、公职人员实施的犯罪（第63条）、返还（第64条）以及罚款与处罚（第65条）。

执法案件如何产生

委员会接收投诉并针对违反该法、本规则及其他发布文件的行为启动调查，包括侵犯数据主体权利的行为（IRR第9条）。委员会可传唤证人，并通过subpoena duces tecum要求提供证据，还可获取作为投诉标的的个人数据。委员会也可通过替代性争议解决方式促进或促成投诉和解。

在解决投诉或调查时，委员会作为合议机构行事，但当事方达成友好和解的情形除外。委员会编写关于投诉处理和调查解决情况的报告，并可在其认为适当时公布这些报告。

注册与合规义务

执法往往始于合规缺口。根据IRR第9条，委员会管理本国个人数据处理系统的注册，包括与政府机构签订涉及访问或要求至少一千（1,000）名个人敏感个人信息的合同的承包商及其雇员的系统。第10条同样要求委员会发布数据处理系统注册和通知的程序。

该规则还要求个人信息控制者和个人信息处理者维护数据主体的权利，并遵守一般数据隐私原则和合法处理要求（IRR第6条）。如某实体主张该法不适用，则证明不适用的举证责任由主张方承担，且任何豁免均应作有利于数据主体权利和利益的宽松解释。

常见问题

违反《数据隐私法》的罚款是多少？ IRR并未规定单一的比索金额。IRR第10条要求NPC公布行政罚款与处罚表，执法案件中施加的金额以该罚款表为准。

菲律宾由谁施加数据隐私罚款？ National Privacy Commission。根据IRR第9条，其执法职能明确包括对违反该法、本规则及委员会其他发布文件的行为施加行政罚款。

NPC可以阻止公司处理个人数据吗？ 可以。IRR第9条允许委员会在认定处理行为将损害国家安全或公共利益，或为维护和保护数据主体权利所必需时，发布停止令或对处理行为施加临时或永久禁令。

实务要点

• NPC执法罚款是依据《2012年数据隐私法》及其IRR施加的行政处罚，与委员会可能向Department of Justice建议的刑事起诉相互独立。
• 具体比索金额来自NPC公布的行政罚款与处罚表，而非IRR中的固定数额。
• 执法可包括合规令和执法令、赔偿裁定、停止令及处理禁令——并非仅有罚款。
• 注册和通知义务，尤其是针对大规模敏感个人信息处理的情形，是常见的合规触发点。
• 证明《数据隐私法》不适用的举证责任由主张豁免的一方承担。

主要来源

上述规则取自以下主要来源，这些文件已在Official Gazette和国家法规汇编中公布。

• NPC IRR OF REPUBLIC ACT NO. 10173, August 24, 2016

• IRR OF REPUBLIC ACT NO. 10173 - IMPLEMENTING RULES AND REGULATIONS OF REPUBLIC ACT NO. 10173, KNOWN AS THE “DATA PRIVACY ACT OF 2012”

• NPC CIRCULAR NO. 2014-014, April 25, 2014

本文仅为一般信息，不构成法律意见。针对您的具体情况，请咨询律师或询问ASG Legal AI。