由於筆者負責的是亞太區域的個資法議題,是故除了台灣之外,筆者有幸能與亞洲各國的公司內部法務密切合作處理當地隱私權相關議題,並隨時注意法規動態。隱私權是一個新興發展的法律領域,未來也是資料的世界,掌握了資料,就掌握了客戶,然而如何合法掌握與利個人資料,在世界村環境下,企業都想跨足海外建立自家客戶群資料,也就因如此,自歐盟開啟,各國紛紛對於個人資料蒐集處理進行規範,其中亞太地區對於個人資料蒐集處理較為嚴格的一個國家包含菲律賓。
菲律賓為期成為跨國企業共享服務中心(在公司內部shared service center或外包business process outsourcing)在亞太區域首選據點,除繼續維持其他優勢(英語及工資)外,亦為此健全隱私權保護機制。其中一項筆者想探討的,也是跨國企業法遵上需要特別注意(頭痛)的,就是隱私處理系統法定登記義務。
首先這是一個法定要求,也就是說如達一定法定門檻即須向主管機關登記隱私處理系統,將會有行政罰鍰(最高菲幣五百萬),或被要求暫時或永久禁止處理個人資料。其次菲律賓隱私權主管機關
(National Privacy Commission)近年來對隱私權執法日趨嚴格,除了陸陸續續頒布許多行政通知(Circular)外,今年五月也在當地購物中心大型抽檢蒐集個人資料公司是否進行隱私處理系統法定登記義務,而發現六十五件違規案件。
至於甚麼是登記門檻?要登記甚麼呢?網路上其實有不少英文的討論文章可參考,關於登記門檻為:
- 僱用 250 名或以上人員;
- 處理 1,000 名或更多個人的敏感個人資訊;或者
- 處理可能對資料主體的權利和自由構成風險的資料。
登記的時點為2023年7月10日前或針對新系統,則為該系統啟動或指定生效之日起二十天內。
登記內容包含企業內部個資長及其聯繫資訊,以及資料處理系統。至於資料處理系統登記,當然不是僅僅明系統名稱即可,其中大概有二十個相關問題要答覆,目的都是為了確認個人資料健全管理。
筆者最近協助菲律賓進行隱私處理系統法定登記,從登記門檻到登記內容與當事知名事務所仔細確認,同樣的,法律文字看起來都很清楚明白,實際上應用的時候問題重重,然而只說這個登記制度還很新,也充滿了摸索的過程。鑒於菲律賓NPC對於隱私保護執行之決心,本篇希望對這個法定登記義務做簡單的介紹,有興趣到菲律賓投資設廠,或是打算以菲律賓做為共享服務中心之跨國公司對此法遵義務切不可忽略!