Paano Mag-file ng Data Privacy Complaint sa NPC?

Binibigyan ng Data Privacy Act of 2012 (Republic Act No. 10173) ang bawat data subject (ang taong may-ari ng personal na impormasyon) ng karapatang magreklamo sa Commission (Section 16). Binibigyan din nito ang NPC ng kapangyarihang tumanggap ng mga reklamo, mag-imbestiga, ayusin ang mga ito sa alternative dispute resolution, magdesisyon at "award indemnity" (magbigay ng bayad-pinsala) (Section 7(b)).

Ayon sa Rule II, Section 1 ng 2021 NPC Rules of Procedure (as amended), puwedeng mag-file ang mga ito:

• Ang data subject na naapektuhan ng privacy violation o data breach.
• Isang representative, kung may special power of attorney siya.
• Isang magulang o guardian para sa menor de edad o sa taong sinasabing walang kakayahan (incompetent). Sapat na patunay ang birth certificate para sa magulang; para sa guardian, ang court order na nagtalaga sa kanya.
• Isang non-resident citizen, gaya ng OFW, na walang awtorisadong representative sa Pilipinas. Dapat notarized ang complaint ng Philippine Embassy o Consulate, o may apostille certificate.

Dagdag ng sariling page ng NPC, ang representative ng isang kompanya o ibang juridical entity ay kailangan ng special power of attorney na may board resolution at secretary's certificate. Mula nang lumabas ang NPC Circular No. 2024-01, puwedeng magsama-sama ang ilang partido bilang complainant o respondent sa iisang complaint.

Oo, bilang patakaran. Sinasabi ng Rule II, Section 2 na walang complaint na "shall be given due course" (bibigyan ng aksyon) maliban kung ipakita ng complainant na:

1. sinabihan niya nang nakasulat ang personal information controller, processor o kinauukulang entity tungkol sa privacy violation o breach, para makakilos ito; at
2. hindi gumawa ang entity ng napapanahon o naaangkop na aksyon, o hindi sumagot "within fifteen (15) calendar days from receipt of written information from the complainant" (sa loob ng 15 calendar days mula nang matanggap ang sulat ng complainant).

Puwedeng i-waive ng NPC ang hakbang na ito ayon sa sarili nitong pagpapasya:

• kung may sapat na dahilan (good cause shown) na maayos na sinabi at pinatunayan ng complainant; o
• kung seryosong paglabag sa Data Privacy Act ang reklamo, batay sa panganib ng pinsala, kasama ang kapag may grabe at hindi na maaayos na pinsala na NPC lang ang makakapigil o makakabawas, kapag walang maibibigay na simple, mabilis o sapat na remedyo ang respondent, o kapag lantarang ilegal ang ginawa ng respondent.

Itago ang kopya ng sulat mo at ang patunay na natanggap ito ng kompanya. Kailangan mong ilakip ang mga ito.

Itinatakda ng Rule II, Section 3 ang porma:

• Nakasulat, pirmado at verified. Dapat pirmado mo o ng abogado mo ang complaint at "verified in the format prescribed under the Rules of Court" (verified ayon sa porma ng Rules of Court).
• Ang mga sulatan ninyo ng respondent. Ilakip ang "any and all correspondence" (lahat ng sulatan) tungkol dito at isang pahayag kung ano ang ginawa ng respondent, kung mayroon, para ipakitang sinunod mo ang Section 2.
• Ebidensya. Kopya ng mga dokumento at affidavit ng mga testigo, kung mayroon.
• Certification against forum shopping. Dapat kasama ito ng complaint.

Puwedeng i-dismiss agad ang complaint na hindi sumusunod sa kinakailangang porma at laman. Tumatanggap din ang NPC page ng sinagutan at notarized na complaints-assisted form kapalit ng verified complaint.

Sinasabi ng Rule II, Section 5 na ang complaint ay "may be filed at any office of the NPC" (puwedeng i-file sa kahit anong opisina ng NPC). Apat na paraan ang nakalista sa NPC page: nang personal, sa registered mail, sa courier, o sa e-mail ayon sa pinapayagan ng Commission.

Walang aksyon sa complaint hangga't hindi bayad ang filing fee, maliban kung (Rule II, Section 4):

• ang complainant ay ang gobyerno o isang ahensya o korporasyon ng gobyerno na may sariling charter;
• indigent (mahirap) ang complainant, ayon sa depinisyon ng Rules of Court o ng isang NPC advisory; o
• i-waive ng NPC ang bayad dahil sa motion, kung may sapat na dahilan.

Inilalarawan ng fees advisory ng NPC ang mga hakbang: ipadala ang sinagutang Service Request and Assessment Form (SRAF), kasama ang notarized na complaint form, sa complaints@privacy.gov.ph; hintayin ang SRAF na may assessed na halaga; magbayad sa Link.Biz.Portal, at piliin ang National Privacy Commission bilang merchant; saka ipadala ang proof of payment sa mga e-mail address na nasa advisory. Walang halagang nakasulat sa mga page na nabasa namin, kaya walang halagang sinasabi ang page na ito.

Ayon sa NPC page, may 30 calendar days ang mga Investigating Officer nito mula sa pagtanggap para bigyan ng due course ang complaint o i-dismiss ito without prejudice (puwede pang i-file ulit). Tantiya ng NPC na ang buong proseso, hanggang sa final adjudication, ay "should take about ten to twelve months" (mga sampu hanggang labindalawang buwan). Para sa data breach na dapat i-report ng kompanya, ang NPC ay "may already be acting on the matter before you even file the complaint" (puwedeng kumikilos na bago ka pa mag-file).

May kulong at multa ang mga paglabag sa batas. Ilang halimbawa:

Ang pinakamataas na parusa ang ipapataw kapag napinsala, naapektuhan o nasangkot ang personal information ng hindi bababa sa 100 tao (Section 35). Kapag kompanya ang lumabag, ipapataw ang parusa sa mga responsableng officer na sumali, o dahil sa gross negligence ay pumayag, sa krimen (Section 34). Sinusunod ng restitution (pagsasauli) ang Civil Code (Section 37).

Dalawang exclusion ang madalas lumabas:

• Personal o pambahay na gamit. Hindi isinasama ng Section 3(h) sa depinisyon ng personal information controller ang "An individual who collects, holds, processes or uses personal information in connection with the individual's personal, family or household affairs." Ibig sabihin, ang isang tao na humahawak ng personal information para sa sarili niyang personal, pampamilya o pambahay na gawain.
• Journalism, sining, literatura at research. Hindi isinasama ng Section 4(d) ang personal information na pinoproseso para sa journalistic, artistic, literary o research na layunin.

May mga kaso rin sa korte tungkol sa privacy online na hindi dumaan sa Data Privacy Act. Sa Vivares v. St. Theresa's College (G.R. No. 202666, 2014), isang kaso ng writ of habeas data, sinabi ng Supreme Court na ang Facebook user na gumagamit ng privacy tools ay may karapatan pa rin sa informational privacy, pero ang mga user ay "must be mindful enough to learn the use of privacy tools" (dapat matutong gumamit ng privacy tools). Hindi in-apply ng kasong iyon ang Data Privacy Act.

Gawa-gawa lang ang mga halimbawang ito para ipakita kung paano gumagana ang mga patakaran. Hindi ito payo para sa anumang totoong kaso.

Napadala ng bangko ni Ramon ang account statement niya, na may buong pangalan at balance niya, sa ibang customer nang hindi sinasadya. Sumulat si Ramon sa bangko tungkol dito at itinago ang receiving copy. Kung hindi gumawa ng tamang aksyon o hindi sumagot ang bangko sa loob ng 15 calendar days, puwede siyang mag-file ng verified complaint sa NPC, kasama ang sulat niya.

Itinapon ng isang clinic ang mga record ng pasyente sa bukas na basurahan sa labas. Ang maling pagtatapon ng sensitive personal information ay may parusang 1 hanggang 3 taon at ₱100,000 hanggang ₱1,000,000 (Section 27(b)), at ang pinakamataas na parusa ang ipapataw kung 100 o higit pang pasyente ang naapektuhan (Section 35).

Pinost ng kapitbahay ni Joy ang litrato ng ID ni Joy sa family group chat. Ang pribadong tao na kumikilos sa "personal, family or household affairs" ay hindi personal information controller sa ilalim ng batas, kaya puwedeng hindi tumama ang Data Privacy Act. Pero puwede pa ring sakop ito ng ibang batas.

Kung lending app na nagme-message sa contacts mo ang problema, tingnan ang Harassment ng online lending app.

Puwede kang mag-file sa NPC nang mag-isa. Kumausap ng abogado kung seryoso ang pinsala, kung gusto mong i-waive ng NPC ang 15-day na hakbang, kung gusto mo ring magsampa ng criminal case o humingi ng damages sa korte, o kung ikaw ang kompanya o officer na nirereklamo.

Kung hindi mo kayang magbayad ng abogado, tingnan ang Libreng legal na tulong sa Pilipinas.