DPA第4-6条及IRR第4、5条规定，DPA及IRR适用于位于或设立在菲律宾的涉及个人数据处理的自然人和法人。当满足以下任一条件时，DPA及IRR具有域外效力：

根据DPA第3条及IRR第3条，个人信息是指可以明显确定或通过持有信息的实体合理且直接确定个人身份，或与其他信息结合时能够直接且确定地识别个人身份的任何信息，无论该信息是否以物质形式记录。个人数据是指所有类型的个人信息。为行文统一，以下均以“个人数据”统称，不做严格区分。

敏感个人数据是指以下个人数据，包括：

DPA及IRR规定的义务主体包括个人数据控制者和个人数据处理者。

根据DPA第3条及IRR第3条，个人数据控制者（以下简称“PIC”）是指控制个人数据的收集、持有、处理或使用的个人或组织，包括指示其他个人或组织代表其收集、持有、处理、使用、传输或披露个人数据的个人或组织，但不包括按照其他个人或组织的指示执行上述功能的个人或组织，为个人、家庭或家庭事务收集、持有、处理或使用个人数据的个人。控制是指可以决定收集哪些数据或决定处理数据的目的或范围。个人数据处理者（以下简称“PIP”）是指个人数据控制者可委托或指示其处理个人数据的任何自然人、法人或其他机构。

根据IRR第46、47条及NPC第2022-04号通函《个人数据处理系统注册、有关自动化决策或画像的通知、数据保护官的任命以及国家隐私委员会注册标志》[7]（以下简称“第2022-04号通函”）第5条及《有关注册和合规的常见问题》[8]，符合以下任一条件的PIC或PIP被强制要求在国家隐私委员会注册系统（以下简称“NPCRS”，链接：https://npcregistration.privacy.gov.ph/）上注册所有数据处理系统（以下简称“DPS”）和数据保护官（以下简称“DPO”）：

不符合强制注册要求的PIC或PIP可自愿注册。不属于强制注册范围且不进行自愿注册的PIC或PIP应提交经公证的宣誓声明（见第2022-04号通函附件一[10]）。NPC可通过命令要求PIC或PIP提交相关证明文件。

PIC或PIP应在新实施的DPS启用或首任DPO任命生效之日起20天内进行注册。如注册信息发生重大修改（实体名称或营业地址修改），应在修改生效后 30 天内在注册系统上进行更新。如注册信息发生轻微修改（除重大修改外的修改），应在修改生效后10天内进行更新。具体注册详情请见NPC第2022-04号通函及《DPS和DPO注册指南》[11]。

注册有效期为自注册证书签发之日起一年，并需在到期日前30天续期。获得注册印章的PIC和PIP必须在其营业场所、办公室的主要入口或最显眼的地方展示该印章以确保所有数据主体都能看到。另外，NPC要求印章必须显示在PIC或PIP的主网站上，或者至少显示在全球网站上与菲律宾有关的网页上，并且只能通过如下任一方式显示：

• 指向隐私通知的可点击链接；
• 直接显示在隐私通知页面上。

DPA第12条及IRR第21条规定，仅在法律未禁止且满足以下任一情形时，才允许处理非敏感个人数据，包括：

• 同意，订立、履行合同所必需
• 履行法律义务所必需
• 保护数据主体重大利益所必需
• 为应对国家紧急状态、遵守公共秩序和安全所必需
• 为履行公共当局法定职责所必需
• 为追求个人数据控制者、第三方或数据披露接收方的合法利益所必需（除非宪法所保护的数据主体基本权利和自由更优先）。

DPA第13条及IRR第22条规定，原则上禁止处理敏感个人数据和特权信息[12]，除非满足以下任一情形：

（1）数据主体在处理前已就特定目的给予同意，或在特权信息的情况下，交换各方在处理前已给予同意；

（2）现有立法规定了敏感个人数据或特权信息的处理，前提是此类立法不要求同意且确保对敏感个人数据或特权信息的保护；

（3）紧急情况下为保护数据主体或他人生命和健康所必需；

（4）为实现公共组织及协会的合法和非商业目的所必需，且同时满足处理仅限于与组织或协会的合法成员有关，敏感个人数据不会转移给第三方，处理前已获得数据主体的同意；

（5）医疗从业人员或医疗机构为医疗目的所必需且确保对个人数据的保护；

（6）处理涉及在诉讼中保护自然人或法人合法权益，建立、行使、辩护法律主张所必需，或根据法定职责提供给政府或公共权力机关的数据。

根据DPA第16条、IRR第34条，PIC应当在个人数据进入PIC处理系统之前或下个实际可行机会向数据主体提供如下信息，包括：

• 将输入系统的个人数据的描述；
• 正在或将要处理数据的目的；
• 当处理不是基于同意时的处理依据；
• 个人数据处理的范围和方法；
• 个人数据的接收者或接收者类别；
• 如果数据主体允许，用于自动化访问的方法以及此类访问被授权的程度，包括关于所涉及逻辑的有意义的信息，以及此类处理对数据主体的意义和预期后果；
• 个人数据控制者或其代表的身份和联系方式；
• 数据的存储期限；
• 数据主体所享有的权利，包括访问、更正、反对处理、投诉等。

根据NPC发布的第2023-04号通函《同意指南》[13]，以同意为基础处理个人数据的，应当在获取同意时以简洁声明提供以下信息，包括：

• 要处理的个人数据的描述；
• 使用同意作为基础的处理目的、性质、范围、持续时间和范围；
• PIC的身份；
• 数据主体权利及如何行使这些权利，并应通过分层隐私通知的方式（使用指向处理详细信息的链接）向数据主体提供进一步信息或补充细节。

PIC应为获取用户同意向数据主体提供的信息负责，提供的信息不足可能会导致同意无效。

通常而言，无论是基于同意还是其他合法性基础等，都需要提供隐私通知。以同意作为合法性基础，隐私通知应当与同意书或等效文件中获得数据主体的同意应当区分开来[14]。但如果同意书中已经提供了与特定处理活动相关的基本信息能够使数据主体做出理智决定，则针对该特定处理活动，无需再单独提供隐私通知。

隐私通知需要满足以下形式要求，包括：

• PIC应使用清晰明了的语言、以尽可能简单的方式向数据主体提供信息，避免使用复杂的句式或结构，便于数据主体访问。在手动获取同意的情形下，通知应当在考虑所用媒介（如纸质通知）基础上全面呈现，针对以电子形式处理个人数据，应当提供可轻松访问更全面通知的链接。
• 隐私通知中提供的信息应该具体明确，不得使用含糊、迂回、宽泛、易产生误解的表述，应确保一般用户能够理解通知所涵盖信息。
• PIC应在处理活动开始前或下个实际可行时点，为特定处理活动提供适当隐私通知。必需以易访问的方式提供信息，并且考虑到用户体验和用户界面，为此应通过分层隐私通知方式。该通知应包含最低限度的特定信息，并引导数据主体获取与当时即将进行的特定处理活动相关的更多详细信息。
• PIC可考虑采用创意方式，如动态或交互式信息图表、公告、语音通知、短视频，信息也可通过预先编写好的文本，在数据主体进入系统之前或之时进行传达。

有关个人数据处理的信息必须易于访问和理解，信息必须随时可用，并且应使用清晰、直白、一致、简明的表述，不得使用模糊、复杂难懂、易误解的表述（如复杂的技术用语、双重否定、以故意迂回的方式提供信息等），使用一般用户可理解的语言或方言。

根据IRR第19条，个人数据的保留时间不应超过必要期限。具体而言：

（1）个人信息的保留期限仅限于：

• 为实现所声明的、指定的、合法的目的，或与该目的相关的处理已终止；
• 为建立、行使或辩护法律索赔；
• 用于合法商业目的并且必须符合行业标准或获得有关政府机构批准。

（2）法律规定情形下可保留个人数据。

（3）个人数据应当以安全方式处置或丢弃以防止进一步处理、未经授权的访问或向任何其他方或公众披露，或损害数据主体的利益。

任何授权的进一步加工均应当有充分保障，具体而言：

（1）最初为声明的、指定的、合法的目的收集的个人数据可能会被进一步处理用于历史、统计或科学目的，并且在法律规定情况下可能会被存储更长时间，但须实施适当的组织、物理和技术安全措施。

（2）以汇总形式或以无法识别数据主体的形式保存的个人数据的保存时间可能会超过其声明的、指定的和合法的目的所需的时间。

（3）个人信息不得被永久保留以备尚未确定的可能未来用途。

根据DPA第14条及IRR第43-45条，PIC可以将个人数据处理工作分包或外包，但前提是PIC应当与PIP通过签订合同或者合理方式确保个人数据安全。PIP应当遵守数据保护立法及其与PIC的合同或法律行为中所规定义务。

合同或法律行为应规定以下内容：

（1）处理对象、期限、性质、目的、个人数据类型及数据主体类别、PIC的权利和义务以及分包合同规定的处理的地理位置；

（2）特别规定PIP应遵守如下要求：

• 仅根据PIC的书面指示处理个人数据，包括将个人数据传输到其他国家或国际组织，除非法律授权此类传输；
• 确保被授权处理个人数据的人员遵守保密义务；
• 实施适当的安全措施，并遵守数据保护立法相关规定；
• 未经PIC事先指示，不得再委托其他处理者，任何此类安排均应确保根据合同或法律行为履行相同的数据保护义务，并考虑到处理的性质；
• 通过适当的技术和组织措施，协助PIC在可能的范围内履行响应数据主体行使其权利的请求的义务；
• 在考虑处理性质和PIC可获得信息的情况下，协助PIC确保遵守数据保护立法相关规定；
• 根据PIC的选择，在处理服务结束后删除或返还所有个人数据（包括删除现有副本），除非法律授权存储；
• 向PIC提供所有必要信息以证明其遵守DPA规定义务，允许并协助由PIC或其指定的审计师进行审计、检查；
• 立即通知PIC其认为指示违反数据保护立法的情况。

除前述共享协议外，就数据共享情形，各PIC应建立并维护数据共享记录，其中应涵盖：

• 各方及其DPO的联系方式；
• 数据共享安排的法律依据；
• 已签署的数据共享协议副本（如有）；
• 从数据主体处获得同意的书面或电子证明（如适用）；
• 获得同意和撤回同意的日期（如适用）。

共享记录应保持准确并及时更新。此外，各方应采取措施确保共享个人数据的安全性，接受NPC审查，并定期审查数据共享协议，记录终止或续签协议期限的原因，如续签，还需记录协议更改内容。

在任何情况下，直接从数据主体处收集个人数据的PIC应在最快的切实可行时间内向数据主体通知前述透明度要求信息。

根据DPA第21条及IRR第50条，允许将数据转移至第三国。根据问责原则，各PIC均应对其控制或保管的个人数据负责，包括根据跨境安排和合作，外包或转移给PIP或第三方处理的信息，不论是在国内还是国际。PIC应遵守数据保护立法相关要求，PIC应通过合同或其他合理方式，在PIP或第三方处理个人信息时，为个人信息提供同等程度的保护。

根据NPC第2021-02号咨询意见《东盟示范合同条款和东盟数据管理框架使用指南》，缔约方可自愿通过东盟示范合同条款作为DPA第21条规定的提供同等保护水平的合同或其他合理手段之一。企业可自愿通过东盟数据管理框架作为东盟内部企业数据管理领域的最佳实践。根据NPC第2024-01号咨询意见《个人数据跨境转移的标准合同条款》，NPC不要求合同各方采用标准合同条款[16]，各方可自愿参考各类标准合同条款以满足相应问责制要求。

此外，菲律宾于2020年加入CBPR体系，菲律宾认可CBPR认证持有者满足参与经济体的隐私和数据保护标准。[17]但考虑到菲律宾尚未发布CBPR认证相关操作细则，该认证效果有待明确。

根据DPA第四章、IRR规则十三及NPC第2021-01号咨询意见《数据主体权利》，数据主体享有知情权、访问权、更正权、删除或阻止权、索赔权、可携权、反对权、投诉权。如数据主体死亡或丧失行为能力，数据主体的权利可随时转让给其继承人和受让人。

个人数据控制者应及时处理请求，处理期限不得超过收到请求和/或必要证明或补充文件后的30个工作日。如果请求复杂或数量较多，处理期限可延长不超过15个工作日，但必须通知数据主体或其授权代表延长的原因。

根据IRR第26条，PIC和PIP应指定一名或多名个人担任数据保护官（DPO）、合规官或以其他方式负责确保遵守数据保护立法规定。

根据NPC第2017-01号咨询意见《数据保护官的指定》，特定情况下允许PIC或PIP指定隐私合规官（COP）[18]，例如经NPC批准，集团可指定其中一家成员公司DPO，主要负责确保整个集团遵守所有数据保护政策，但集团内其他成员公司仍须设立COP。

关于任职资格，DPO应当具备隐私或数据保护方面的专业知识及履行职责所必需的可靠性。COP的最低资格应与其职能相称。DPO或COP需保持独立性、自主性以及避免利益冲突。PIC或PIP不应因执行DPO或COP的任务而惩罚或解雇DPO或COP。

DPO或COP应为PIC或PIP的全职或正式员工。在私营部门，DPO或COP在理想情况下应为正式或永久职位。若DPO或COP的聘用是基于合同的，合同期限应当至少为两年。如DPO或COP离职，PIC或PIP应在合理期限内重新安排替代者，还可要求现任继续担任职位直至任命或雇佣替代者。PIC或PIP可外包或分包其DPO或COP的职能。

DPO的职责包括：

• 监督PIC或PIP遵守数据保护立法情况；
• 开展隐私影响评估；
• 就投诉和/或数据主体行权相关事宜向PIC或PIP提供建议；
• 确保PIC或PIP妥善处理数据泄露和安全事件，包括在规定期限内向NPC报告；
• 在组织内部宣传和培养隐私及数据保护意识；
• 通过采用隐私设计方法，推动制定、审查和/或修订与隐私和数据保护相关的政策、指南等文件；
• 作为联系人就数据隐私和安全相关事务与数据主体、NPC及其他机构沟通；
• 就数据隐私和安全相关事务与NPC合作、协调并寻求意见；
• 履行PIC或PIP分配的其他职责和任务以促进数据隐私和安全利益并维护数据主体的权利。

除（1）-（3）项职责，COP应履行DPO所有其他职责，并在适当情况下协助DPO履行职能。

PIC或PIP应通过提供资源、授予权限、邀请参会等方式保障DPO或COP有效履行职责。PIC或PIP至少需要在网站、隐私通知、隐私政策、隐私手册或隐私指南中公布DPO或COP的联系方式（包括职务或头衔、邮政地址、专用电话号码、专用电子邮件地址），除非应数据主体或NPC请求，否则可不提供姓名。关于DPO注册要求，请见前文第4点。

根据DPA第20条、IRR规则六，PIC或PIP应当实施合理、适当的组织、物理和技术安全措施以保护个人数据。PIC或PIP应考虑个人数据性质、处理风险、组织规模、运营复杂性、数据隐私最佳实践、安全实施成本等因素确定适当的安全级别。DPA规定必须实施的措施包括：

• 保护其计算机网络免遭意外、非法或未经授权的使用或干扰或妨碍其运行或可用性的保障措施；
• 个人数据处理的安全政策；
• 识别和访问计算机网络中合理可预见的漏洞，以及针对可能导致安全漏洞的安全事件采取预防、纠正和缓解措施的流程；
• 定期监控安全漏洞，并针对可能导致安全漏洞的安全事件采取预防、纠正和缓解措施。

此外，IRR从组织、物理、技术三个方面分别论述了具体的安全要求。NPC第2023-06号通函《政府和私营部门的个人数据安全-政府和私营部门的个人数据安全常见问题解答》详细说明了政府和私营部门个人数据安全的最低要求。

在知晓个人数据泄露后72小时内，依据现有信息进行通知。除非NPC批准延长时间，否则应在知晓泄露后5天内提交后续报告。

向NPC通知的内容应至少包括泄露事件的性质，可能涉及的敏感个人数据，实体为应对泄露事件所采取的措施、用于获取更多信息的联系人详情。通知应采取书面或电子形式，PIC必须得到通知已送达的确认。

除非经NPC批准后推迟或免予通知，否则应在知晓泄露后 72 小时内进行通知。

向数据主体通知的内容应包括泄露事件的性质，可能涉及的敏感个人数据，实体为应对泄露事件所采取的措施、用于获取更多信息的联系人详情、数据主体获得更多信息的指引、以及尽可能缓解泄露风险的建议。

通知应采取安全通信方式（如书面或电子）单独通知受影响的数据主体，除非NPC批准，可使用其他替代方式。

在NPC对泄露事件展开调查时予以配合。记录所有安全事件，并向NPC提交年度报告。此外，NPC推出了数据泄露通知管理系统（https://dbnms.privacy.gov.ph/login），个人数据泄露通知和年度报告可通过该平台进行提交。

有关个人数据泄露处置的更多详细信息，请见NPC第16-03号通函《个人数据泄露管理》。

菲律宾是联合国《1958年协定书》的缔约方。根据联合国有关R156的适用国家及生效时间文件（16.156）United Nations Regulation No. 156. UN Regulation on uniform provisions concerning the approval of vehicles with regards to software update and software updates management system）[20]，R156在2022年即对菲律宾生效。因此，车企在菲律宾同样应当遵循R156中关于OTA的相关要求。