华为云菲律宾隐私遵从性说明

华为云菲律宾隐私遵从性说明 文档版本1.0 发布日期2024-03-21 华为云计算技术有限公司 版权所有©华为云计算技术有限公司2024。保留一切权利。 非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。 商标声明 和其他华为商标均为华为技术有限公司的商标。 本文档提及的其他所有商标或注册商标，由各自的所有人拥有。 注意 您购买的产品、服务或特性等应受华为云计算技术有限公司商业合同和条款的约束，本文档中描述的全部或部分产品、服务或特性可能不在您的购买或使用范围之内。除非合同另有约定，华为云计算技术有限公司对本文档内容不做任何明示或暗示的声明或保证。 由于产品版本升级或其他原因，本文档内容会不定期进行更新。除非另有约定，本文档仅作为使用指导，本文档中的所有陈述、信息和建议不构成任何明示或暗示的担保。 华为云计算技术有限公司 地址：贵州省贵安新区黔中大道交兴功路华为云数据中心邮编：550029网址：https://www.huaweicloud.com/ 目录 1概述3 1.1适用范围3 1.2发布目的3 2华为云处理的个人数据4 3华为云责任共担模型5 4菲律宾隐私法规概述7 4.1法规背景介绍7 4.2角色划分及基本义务7 5华为云如何遵从菲律宾隐私法律要求10 5.1华为云在菲律宾隐私法律下的角色10 5.2华为云作为数据控制者，如何遵从隐私法律要求10 5.2.1华为云个人数据处理基本原则10 5.2.2华为云如何履行菲律宾隐私法律相关要求11 5.3华为云作为数据处理者，如何遵从隐私法律相关要求18 5.3.1华为云数据处理活动18 5.3.2华为云履行处理者的义务18 6客户遵从菲律宾隐私法律要求及注意事项23 6.1客户的隐私保护责任及注意事项23 6.2客户可选择的额外安全措施29 7结语33 8版本历史34 1概述 1.1适用范围 本文档提供的信息适用于华为云在菲律宾开放的产品和服务。 1.2发布目的 本文档旨在帮助客户了解： 1.华为云隐私保护责任共担模型； 2.菲律宾相关隐私法律的要求； 3.基于责任模型，华为云如何遵从菲律宾相关隐私法律的要求； 4.基于责任模型，客户可能需要遵从菲律宾相关隐私法律的要求以及注意事项； 5.华为云如何协助客户满足相关隐私合规要求。 2华为云处理的个人数据 华为云在向客户提供服务的过程中，通常会处理客户以下两类个人数据： 1.账号数据： 账号数据是指客户在与华为云的互动过程中，出于服务必要的目的提供给华为云的、与客户账号的创建或管理相关的个人数据。例如，客户创建账号时，向华为云提供的用户名、手机号码、邮箱地址；客户使用地址管理服务时，向华为云提供的收件人姓名、详细地址、邮政编码、手机号码。 华为云《隐私政策声明》所述实践适用于账号数据；华为云将依照《隐私政策声明》处理账号数据，如遵循数据最小化原则收集、存储和使用，采取适当的技术与组织措施保护账号数据安全等。 客户数据： 客户数据是指客户内容中包含的个人数据。 客户内容是指客户和/或客户的最终用户以任何格式在华为云服务上存储和处理的所有数据、软件、文本、图像、视频、音频等，以及上述数据通过服务产生的计算结果。 客户拥有并可以控制客户内容（包括客户数据）： 1)客户可以选择使用哪些华为云服务来处理客户内容。 2)客户可以选择客户内容的存储位置。 3)客户可以选择客户内容的安全保护方式。 4)客户可以管理及控制客户内容的访问权限。 华为云《数据处理附录》所述实践适用于客户数据，华为云将依照《数据处理附录》处理客户数据，如华为云仅按照客户指示处理客户数据，华为云获知客户数据泄露后，将及时通知客户，采取安全措施保护客户数据等。 3华为云责任共担模型 由于华为云客户拥有对其客户内容的所有权和控制权，华为云不了解或不知道客户在华为云服务上处理的客户内容，包括是否存在客户数据，是否被适用的隐私法保护。因此作为华为云“责任共担”模型的一部分，客户应承担客户内容安全相关的责任。 在隐私保护要求可能适用于客户内容的情况下，“责任共担”模型帮助华为云和客户双方理解各自角色以及责任。 图2-1华为云责任共担模型 华为云：作为云服务提供商（CloudServiceProvider，简称CSP），安全责任在于保障云服务自身的安全，包括数据中心的物理基础设施和运行其上的基础服务、平台服务、应用服务等。 1)物理基础设施安全：华为云的区域、可用区和终端节点涉及机房、环境的安全管理，以及物理服务器和网络设备等设施的管理。 2)基础服务安全：指华为云提供的计算、网络、存储等方面的安全管理，包括云计算、云存储、云数据库等服务的底层管理（如虚拟化控制层）和使用管理（如虚拟主机），以及虚拟网络、负载均衡、安全网关、VPN、专线链路等。 3)平台服务安全：指在华为云中的微服务、管理、中间件等平台类的安全管理，包括平台的设计、开发、发布、配置和使用等。 4)应用服务安全：指在华为云中的支撑运维运营，以及支撑用户业务等应用系统的安全管理，包括应用的设计、开发、发布、配置和使用等。 客户：作为云服务的使用方，客户对其内容数据拥有所有权和控制权。客户决定他们使用华为云服务存储或处理的内容，因此只有客户才能确定使用华为云存储和处理的内容适合何种安全级别。客户还可以完全控制授权谁访问他们的内容数据，包括需要什么凭证。客户可以控制如何保护他们的内容数据，包括是否加密内容数据等，因此客户对其内容数据的安全性负责。客户内容数据由客户选择以及使用的云服务存储或处理，因此客户也应负责其使用的云服务内部的安全，对云服务定制配置并进行安全有效管理，包括但不限于虚拟网络、虚拟主机和访客虚拟机的操作系统，虚拟防火 墙、API网关和高级安全服务，各项云服务，租户数据，以及身份账号和密钥管理等方面的安全配置。如： 1)对于各项云服务，华为云提供客户执行特定安全任务所需的资源、功能和性能，而客户需负责各项可控资源的安全配置工作。 2)客户负责部署其虚拟网络的防火墙，网关和高级安全服务等的策略配置； 3)客户负责部署其虚拟网络、虚拟主机和访客虚拟机和容器等云服务所必需的安全配置和管理任务（包括更新和安全补丁）、容器安全管理（包括容器集群、节点和容器的安全配置、访问控制安全配置等）等 4)客户负责部署其自行部署在华为云的任何应用程序软件或实用程序进行安全管理。 4菲律宾隐私法规概述 4.1法规背景介绍 《菲律宾数据隐私法案》(DataPrivacyActof2012，简称“DPA”)：该法于2012年8月15日经菲律宾总统批准生效，适用于使用位于菲律宾境内的设备进行个人数据处理或在菲律宾境内通过办公室、分支机构或代理的个人数据处理行为，或发生在菲律宾境外但针对菲律宾居民或公民的个人数据处理行为。 《数据隐私法案实施细则》(ImplementingRulesandRegulationsoftheDataPrivacyActof2012，简称“DPA实施细则”)：该实施细则由菲律宾国家隐私委员会（简称“委员会”或“NPC”）于2016年8月24日颁布，进一步解释了个人数据保护的一般原则，以监督和确保DPA法案的规定得以有效实施。 《关于个人数据泄露管理的通知》(NPCCircularNo.16-03–PersonalDataBreachManagement)：该通知由委员会于2016年12月15日发布，提供了个人数据泄露管理的框架指南以及个人数据泄露的预防准则、响应程序和通知要求。 《数据共享协议》（NPCCircularNo.20-03-DataSharingAgreements）：该通知由委员会于2020年12月23日发布，提供了与数据共享协议相关的政策与要求。 《关于同意的指南》（NPCCircularNo.23-04–GuidelinesonConsent）：该通知由委员会于2023年11月7日发布，为使用同意作为处理个人数据的合法依据提供了指导。 4.2角色划分及基本义务 菲律宾隐私法规规定了数据主体、个人数据控制者、个人数据处理者三种角色。数据主体：个人数据被处理的个人。 个人数据控制者：指控制个人数据的收集、持有、处理或使用的自然人或组织，包括指示他人或组织收集、持有、处理、使用、转让或披露个人数据的自然人或组织。 个人数据处理者：指任何有权依照本法行事的自然人或法人，个人数据控制者可以将与数据主体有关的个人数据的处理工作外包给个人数据处理者。 数据主体享有了解和获取他们的个人数据、反对处理他们的个人数据、更新或者改正他们的个人数据、删除他们的个人数据、撤销同意、就未能保护其个人数据提出赔偿等权利。 个人数据处理者的基本义务包括：仅根据个人数据控制者的记录指示处理个人数据；确保对有权处理个人数据的人员承担保密义务；执行适当的安全措施，并遵守相应法规要求；未经个人数据控制者同意，不得再分包；通过相应措施，协助个人数据控制者并尽可能履行数据主体行使权利的要求；协助个人数据控制者遵守菲律宾隐私法律法规的要求；仅在必要时，或为实现所声明的、具体的和合法的目的，或当与目的相关的处理已经终止时，或为建立、行使或辩护法律索赔，或为合法的业务目的，保留个人数据；向个人数据控制者提供所有必要的信息，以证明其遵守了法律规定的义务，并允许个人数据控制者或其授权的其他审计机构进行审计；如果认为个人数据控制者的指令违法，应立即通知个人信息控制者；确保处理应维护数据主体的权利，包括拒绝、撤回同意或反对的权利，处理应透明，使数据主体充分了解处理的性质和程度；确保处理必须以与声明的、具体的和合法的目的相符的方式进行；确保处理的个人数据应充分、相关，并限于与处理目的相关的必要内容；在授权进一步处理时实施充分的保障措施。 个人数据控制者的基本义务包括： 1)通知及同意：除非具备其他法定事由外，在收集个人数据前，需告知数据主体收集其个人数据的目的等信息，并且征得其同意；同意应当以书面、电子或记录的方式证明；同意可以由合法代表或经数据主体特别授权的人代表数据主体发出；数据主体有权随时撤回其同意。 2)目的限制：个人数据控制者仅可以出于基于特定、明确和合法目的而处理个人数据。 3)数据主体权利：在处理个人数据的过程中，数据主体的权利应得到充分保障；数据主体享有了解和获取他们的个人数据、反对处理他们的个人数据、更新或者改正他们的个人数据、删除他们的个人数据、撤销同意、就因个人数据不准确、不完整、过时、虚假、非法获取或未经授权使用而遭受的任何损害要求赔偿等权利。 4)准确性：应确保个人数据准确、完整、无误、最新。 5)保护：个人数据控制者必须实施合理和适当的组织、物理和技术措施，以保护个人数据免受任何意外或非法破坏、更改和披露以及任何其他非法处理，以及免受自然危险。 6)保留限制：数据留存不得超过为实现处理目的所必需的最短时间。 7)转移限制：个人数据控制者应对其控制或保管的个人数据负责，不论该等信息在国内或国外，均需遵循跨境合作及安排：个人数据控制者应通过合同或其他方式约束第三方对个人数据的处理活动；个人数据控制者应指定负责处理个人数据保护相关事务的人员，并在任何数据主体提出请求时向其公开该人员的身份。 8)泄露通知：个人数据控制者应当建立数据泄露响应团队，实施相应政策和程序，以管理包含个人数据泄露在内的安全事件。在确信发生了个人数据泄露事件时，个人数据控制者应依法在72小时内将相关信息通知受影响的数据主体。下列情况中，个人数据控制者（或处理者，视情况而定）必须向NPC报告数据泄露事件：敏感的个人信息或任何其他可能用于启用身份欺诈的个人信息；个人数据被合理 地认为是由未经授权的人获取的；个人数据控制者或委员会认为，未经授权的获取可能会给任何受影响的数据主体带来具有严重损害的实际风险。 9