菲律宾隐私声明要求：数据隐私法合规要点
菲律宾《数据隐私法》及其实施细则要求企业以隐私声明告知个人数据的收集目的、处理方式及数据主体权利，本文梳理合规要点。
在菲律宾，隐私声明是指告知个人某组织收集哪些个人数据、为何收集以及个人可对其行使何种权利的文档。该要求源自《数据隐私法》（Data Privacy Act of 2012，Republic Act No. 10173）及其实施细则（IRR）。根据IRR，个人数据必须为特定且合法的目的而收集，须公平、合法地处理，保持准确，保存时间不得超过必要期限，并通过充分的保障措施加以保护。知情权是数据主体权利清单中的第一项权利——而清晰的隐私声明正是组织落实该权利的方式。
隐私声明必须传达的内容
隐私声明是IRR两项原则的具体体现：透明度与合法目的。IRR第IV条规定了透明度、合法目的和比例原则，其关于收集、处理和保留的条款要求收集须出于特定且合法的目的，个人数据须公平、合法地处理。
通俗而言，一份合规的声明应回答以下问题：
- 收集哪些个人数据——包括其中是否含有敏感个人信息，如健康、教育或政府签发的证件号码。
- 为何收集——具体且合法的目的。
- 如何处理以及保存多久。
- 可能与谁共享。
- 当事人如何行使其权利。
谁必须发布隐私声明
《数据隐私法》及其实施细则适用于政府或私营部门中任何自然人或法人对个人数据的处理。IRR的适用范围条款还涵盖在菲律宾境外实施的某些行为或从事的某些做法——例如，处理涉及菲律宾公民或居民的个人数据，或相关实体在菲律宾收集或持有个人数据的情形。
因此，任何处理个人数据的组织——无论是个人数据控制者还是个人数据处理者——都应制定隐私声明。IRR将个人数据控制者定义为控制个人数据处理或指示他人代其处理个人数据的个人或机构。个人数据处理者则是控制者可向其外包或指示其处理个人数据的个人或机构。
隐私声明必须保障的权利
IRR第VIII条列出了数据主体的各项权利。隐私声明应使这些权利易于理解，并说明如何行使：
- 知情权——隐私声明最直接服务的权利。
- 反对权——反对处理的权利。
- 访问权——了解持有哪些数据。
- 更正权——要求更正不准确的数据。
- 更正、删除或封存权——要求更正、删除或封存数据。
IRR还规定了这些权利的可继承性以及数据可携权，并承认这些权利受限于某些限制。
声明与同意并非同一回事
IRR下的同意，是指数据主体自由作出、具体且知情的意愿表示，据此同意对其个人、敏感个人或特权信息进行收集和处理。同意须以书面、电子或记录方式加以证明。
隐私声明本身并不构成同意。声明在于告知；同意则是独立的同意行为。当组织以同意作为其处理依据时，声明应足够清晰，使当事人理解其所同意的内容。
规则不适用的情形
IRR第II条列出了该法及细则不适用的特殊情形，但仅限于为实现相关目的、职能或活动所必需的最低限度的收集、访问、使用、披露或其他处理。这些情形包括为新闻、艺术或文学目的处理的个人信息，为公共利益研究而处理的个人信息，以及为履行公共权力职能所必需的信息。
即便如此，IRR仍持审慎态度：主张豁免者仍负有证明豁免成立的举证责任，且任何豁免的认定均应作有利于数据主体权利和利益的宽松解释。
National Privacy Commission如何执行合规
National Privacy Commission是负责管理和实施该法并监督个人数据保护国际标准合规情况的独立机构。其职能包括发布合规或执行命令，对违规行为处以行政罚款，并可就影响个人数据或数据主体权利的事项裁定赔偿。
该委员会还负责管理本国个人数据处理系统的登记。根据其合规与监督职能，这包括与政府机构签订涉及访问或需要至少一千（1,000）名个人敏感个人信息的合同的承包商及其员工的个人数据处理系统。
常见问题
菲律宾法律是否要求隐私声明？ 《数据隐私法》及其实施细则要求告知数据主体其个人数据的处理情况，并要求处理具有透明度。隐私声明是组织履行该义务的标准方式。
隐私声明应包含哪些内容？ 至少应包括：收集哪些个人数据、具体且合法的目的、如何处理和保留、可能与谁共享，以及当事人如何根据IRR行使其权利。
谁需要发布隐私声明？ 政府或私营部门中任何处理个人数据的自然人或法人，包括受IRR适用范围条款约束的个人数据控制者和个人数据处理者。
实务要点
- 隐私声明是组织落实《数据隐私法》IRR下数据主体知情权的方式。
- 它必须体现透明度、合法目的和比例原则。
- 应说明数据主体的权利——知情权、反对权、访问权、更正权以及更正、删除或封存权——以及如何行使这些权利。
- 隐私声明不同于同意；同意必须是独立的、自由作出、具体且知情的意愿表示。
- IRR下的豁免范围狭窄，证明豁免成立的举证责任由主张豁免的一方承担。
Primary sources
上述规则源自以下主要来源，均刊载于Official Gazette及国家法规汇编。
-
NPC IRR OF REPUBLIC ACT NO. 10173, August 24, 2016
-
IRR OF REPUBLIC ACT NO. 10173 - IMPLEMENTING RULES AND REGULATIONS OF REPUBLIC ACT NO. 10173, KNOWN AS THE “DATA PRIVACY ACT OF 2012”
-
NPC CIRCULAR NO. 2014-014, April 25, 2014
本文为一般性信息，不构成法律意见。如涉及具体情况，请咨询律师或询问ASG Legal AI。
本主题属于我们的 数据隐私与网络安全 业务领域。
延伸阅读
菲律宾NPC执法罚款是National Privacy Commission依据《2012年数据隐私法》对违规行为可施加的行政处罚，具体金额由NPC公布的罚款表决定。
菲律宾主机托管SLA应涵盖电力、制冷、可用性、安全与支持服务。本文说明合同应约定哪些内容及适用哪些法规。
菲律宾商业交易可因诈骗罪及其他重罪引发刑事责任。本文解析《修订刑法典》下欺诈、过失与共谋如何构成责任。
菲律宾的裁员与重组须具备法定事由、履行通知义务并支付法定离职补偿金。本文梳理雇主必须了解的关键合规要点与操作步骤。
对本文主题有疑问？
本文为一般性信息，不构成法律意见。向 ASG Legal AI 提问，即可获得针对您具体情形的、附有法律依据引用的通俗语言解答——免费，无需注册。