Filippine: la privacy diventa seria (e il DPO non può più nascondersi)

Se sei un'azienda che opera nelle Filippine (o tratta dati di cittadini filippini), preparati: la National Privacy Commission (NPC) ha appena alzato l'asticella. Con la pubblicazione del Memorandum Circular n. 2024-01, la registrazione del Data Protection Officer (DPO) e dei sistemi di trattamento dati è diventata obbligatoria in due fasi. E no, non è una di quelle scadenze che puoi ignorare sperando che passi inosservata.

Perché dovrebbe interessarti (anche se non sei nelle Filippine)

La mossa dell'NPC segue il trend globale di responsabilizzazione: dopo il GDPR europeo, sempre più paesi richiedono trasparenza sui trattamenti. Le Filippine, con il loro Data Privacy Act (DPA) del 2012, sono state pioniere in Asia. Ora stanno passando dalle parole ai fatti.

La registrazione è suddivisa in due fasi: la Fase 1 riguarda la designazione del DPO (entro 30 giorni dalla nomina), mentre la Fase 2 impone la registrazione dei sistemi di trattamento che coinvolgono dati sensibili o di grandi volumi. Se pensi che sia noioso quanto leggere i Termini e Condizioni di un'app di meteo, hai ragione. Ma le multe? Quelle non sono affatto noiose.

Fase 1: Il DPO esce dall'ombra

Entro 30 giorni dalla designazione, ogni ente deve registrare il proprio DPO tramite il portale online dell'NPC. I dati richiesti includono nome, contatti, e una dichiarazione di conformità. Sembra semplice? Lo è, ma è anche il primo passo per evitare sanzioni fino a 5 milioni di pesos (circa 80.000 euro) per le violazioni più gravi.

Un consiglio da amico: non aspettare l'ultimo giorno. Il portale potrebbe andare in crash come un sito di biglietti per un concerto dei BTS. Meglio farlo con calma.

Fase 2: I sistemi sotto la lente

La Fase 2 è più corposa: richiede la registrazione di tutti i sistemi di trattamento che gestiscono dati personali sensibili (salute, biometria, orientamento sessuale, ecc.) o che trattano dati di oltre 1.000 persone all'anno. Devi descrivere finalità, categorie di dati, misure di sicurezza e trasferimenti internazionali.

È come fare l'inventario della dispensa, ma con conseguenze legali. Se hai un sistema che tiene traccia delle preferenze dei clienti per il marketing, probabilmente rientra. Se hai un database di dipendenti, idem. Insomma, quasi tutto.

Featured Snippet Bait: Cosa devo fare subito?

Se operi nelle Filippine, verifica se hai già un DPO designato. In caso contrario, nominalo entro 30 giorni e registralo. Poi, fai un censimento di tutti i trattamenti di dati sensibili o su larga scala. La scadenza per la Fase 2 è il 31 dicembre 2024. Non aspettare che sia troppo tardi.

Le sanzioni? Non scherzano

L'NPC può infliggere multe fino a 5 milioni di pesos per violazioni gravi, e la responsabilità penale personale per i dirigenti è prevista in caso di negligenza. Tradotto: se il DPO non è registrato, il CEO potrebbe finire nei guai. Non è il genere di notizia che vorresti leggere sul giornale.

Per fortuna, la registrazione è gratuita e si fa online. L'unico costo è il tempo per compilare i moduli. Ma se preferisci rischiare, ricorda: la privacy è come un ombrello, meglio averlo quando piove.

FAQ

Chi deve registrare il DPO nelle Filippine?

Tutti i titolari del trattamento (aziende, enti pubblici, organizzazioni) che trattano dati personali di cittadini filippini, indipendentemente dalla loro sede. Se hai un ufficio o clienti nelle Filippine, sei coinvolto.

Cosa succede se non registro il DPO entro 30 giorni?

L'NPC può emettere avvisi di conformità, ma in caso di violazioni accertate le sanzioni partono da 500.000 pesos fino a 5 milioni. Inoltre, la mancata registrazione può essere usata come prova di negligenza in caso di data breach.

La registrazione dei sistemi vale anche per le piccole imprese?

Sì, se trattano dati sensibili o dati di oltre 1.000 persone all'anno. Le microimprese con meno di 10 dipendenti e trattamenti limitati potrebbero essere esentate, ma è meglio verificare caso per caso con l'NPC.