Kailangang magparehistro sa NPC? 1,000 sensitive records ang threshold

Mandatory ang pagpaparehistro ng Data Protection Officer (DPO) at mga data processing system (DPS) sa National Privacy Commission (NPC) kapag ang negosyo ay may 250 o higit pang empleyado, nagpoproseso ng sensitive personal information ng 1,000 o higit pang tao, o nagsasagawa ng pagprosesong malamang magdulot ng panganib sa mga karapatan at kalayaan ng data subjects, ayon sa FAQ ng NPC sa pagpaparehistro. Sa pamantayan para sa sensitive data, mga tao ang binibilang, hindi ang bilang ng rekord o file tungkol sa kanila.

Kung walang naaangkop na kondisyon para sa mandatory registration, maaaring kusang irehistro ng negosyo ang DPO at DPS nito. Kung hindi ito pipili ng voluntary registration, kailangan nitong maghain ng notarized Sworn Declaration and Undertaking (SDAU) para sa exemption sa DPS registration. Nananatili ang mga tungkulin nito sa ilalim ng Data Privacy Act kahit SDAU ang ihain.

Yes-or-no na pasya bago mag-apply sa NPCRS

Ang bawat tanong ay para sa personal information controller (PIC) o personal information processor (PIP) bilang entidad, hindi lamang sa isang tindahan, departamento o application. Sapat ang isang “oo” sa mga kondisyon ng mandatory registration; saka tukuyin ang lahat ng system na sakop ng paghahain.

1. May 250 o higit pang empleyado ba? Kung oo, mandatory ang rehistro ng DPO at DPS. Kung mas kaunti, sagutin ang kasunod na tanong.
2. Nagpoproseso ba ng sensitive personal information ng 1,000 o higit pang indibidwal? Kung oo, mandatory ang rehistro. Bilangin ang mga taong may ganitong datos, kahit maraming entry o magkakaibang file ang hawak tungkol sa iisang tao.
3. May pagproseso bang malamang makapanganib sa mga karapatan at kalayaan ng data subjects? Kung oo, mandatory ang rehistro kahit mababa ang dalawang naunang bilang. Ang DPS na gumagamit ng automated decision-making o profiling sa personal data ay kailangang irehistro sa lahat ng pagkakataon.
4. Kung “hindi” ang sagot sa lahat, nais bang kusang magparehistro? Kung oo, piliin ang voluntary registration sa NPC Registration System (NPCRS). Kung hindi, ihain ang notarized SDAU sa portal.

Sa pagsusuri ng panganib, mahalaga ang uri ng datos, layunin ng pagproseso at posibleng epekto ng desisyon sa tao. Maaaring maging mahalaga ang datos tungkol sa mga menor de edad, pasyente o iba pang taong mas mahina ang posisyon sa ugnayan sa nagpoproseso. Hindi nagbibigay ng awtomatikong exemption ang maliit na bilang ng empleyado kapag ang paraan ng pagproseso mismo ay sakop ng mandatory registration.

Aling mga data processing system ang ililista?

Sa paunang aplikasyon, ilagay ang lahat ng umiiral na DPS ng negosyong magpaparehistro, hindi lamang ang system na nagdala rito sa threshold. Maaaring electronic, manual o pinagsamang paraan ang pagproseso; kabilang sa saklaw ang web at mobile application na gumagamit ng personal data. Maghanda ng magkakahiwalay na paglalarawan para sa bawat system upang makita ang tunay nitong gamit.

Para sa bawat DPS, tipunin ang pangalan at maikling paglalarawan, layunin ng pagproseso, mga kategorya ng data subjects at datos, posibleng tumanggap ng datos, paglilipat sa labas ng Pilipinas, at pangkalahatang hakbang sa privacy at seguridad. Kasama sa registration details sa implementing rules ang pagtukoy kung may outsourcing o subcontracting. Kung may automated processing na nagiging tanging batayan ng desisyong may malaking epekto sa data subject, may kaugnay ding obligasyong ipaalam ito sa NPC.

Linawin din kung PIC ang negosyo, na nagpapasya kung bakit at paano ipoproseso ang datos, o PIP, na nagpoproseso sa tagubilin ng PIC. Kapag gumagamit ang PIC ng system-as-a-service, ito pa rin ang magrerehistro ng DPS at magpapahiwatig na sa service provider ginagawa ang pagproseso. Ang PIP na gumagamit ng sarili nitong DPS para sa datos ng PIC ay may sarili ring tungkulin sa pagpaparehistro kapag sakop ito ng mga kondisyon.

Mga dokumento at detalye bago isumite

Magsimula sa pormal na pagtatalaga ng DPO at isang email address na nakaugnay sa posisyon, sa halip na sa pangalan ng taong kasalukuyang humahawak nito. Isang DPO at isang natatanging DPO email ang irerehistro para sa bawat entidad. Sa gabay sa NPCRS application, inilalagay ang detalye ng organisasyon, pinuno, DPO at lahat ng umiiral na DPS bago i-export, pirmahan, ipanotaryo at i-upload ang form na ginawa ng system.

• Corporation: notarized Secretary’s Certificate na nagtatalaga ng DPO, o katumbas na appointment document na may patunay ng awtoridad ng pumirma; SEC Certificate of Registration, certified true copy ng pinakahuling General Information Sheet, at valid business permit.
• One Person Corporation: dokumento ng pagtatalaga ng DPO, SEC Certificate of Registration at valid business permit.
• Partnership: notarized Partnership Resolution, Special Power of Attorney o katumbas na dokumento ng pagtatalaga; SEC Certificate of Registration at valid business permit.
• Sole proprietorship: DTI Certificate of Registration at valid business permit. Kung ibang tao ang itinalagang DPO, kailangan din ang notarized na dokumentong pinirmahan ng sole proprietor para sa appointment.

Dapat tahasang sinasabi ng appointment document na itinalaga ang tao bilang DPO; maaaring tanggihan ang dokumentong awtorisasyon lamang ang nakasaad. Ang notarized DPO form na ia-upload ay ang system-generated form mula sa NPCRS. Pagkatapos ma-validate ang aplikasyon, susunod ang pagbabayad bago maging available ang Certificate of Registration at NPC Seal of Registration.

Kung SDAU ang tamang filing

Para sa negosyong hindi sakop ng mandatory registration at ayaw magparehistro nang boluntaryo, may hiwalay na daloy sa NPCRS para sa notarized SDAU. Ang abiso ng NPC tungkol sa SDAU ay nagsasaad na sa portal ito isinusumite, habang may kaukulang bayad ang paunang rehistro at renewal. Ang SDAU ay sariling deklarasyon ng negosyo na hindi ito sakop ng mandatory registration; hindi nag-iisyu ang NPC ng hiwalay na certificate of exemption.

Hindi kailangang i-renew ang SDAU kung hindi nagbabago ang mga kalagayang idineklara. Kapag nagbago ang dami ng empleyado, bilang ng taong may sensitive data, o uri ng pagproseso, kailangang muling suriin kung totoo pa ang deklarasyon. Kung umabot na sa kondisyon para sa mandatory registration, kailangan nang irehistro ang DPO at mga DPS sa NPCRS.

Mga deadline pagkatapos mag-file

Para sa sakop na negosyo, ang bagong DPS ay irerehistro sa loob ng 20 araw mula nang magsimula itong gumana, at ang unang DPO sa loob ng 20 araw mula sa bisa ng pagtatalaga. Nakatala rin sa gabay sa mga deadline ng NPC ang isang taong bisa ng Certificate of Registration at ang renewal sa loob ng 30 araw bago ito mag-expire. Sa renewal, tiyaking napapanahon ang listahan ng DPS, contact details at supporting documents.

Ang pagbabago sa pangalan ng entidad o pangunahing business address ay major amendment na kailangang ihain sa loob ng 30 araw mula sa bisa ng pagbabago. Ang iba pang update, gaya ng bagong DPO o pagbabago sa umiiral na DPS, ay minor amendment na kailangang gawin sa loob ng 10 araw. Panatilihing naaabot ang opisyal na DPO email dahil doon din ipinadadala ang mga abiso tungkol sa aplikasyon at renewal.

Basahin din:

• Posibleng EMB data breach: hindi pa kumpirmado kung tunay ang nakuhang records
• Na-deface ang test site ng DICT—hindi pa alam kung may data na naabot
• Hindi sapat ang system prompt: ikulong ang tools ng AI agent